Come firmare la zona DNS pubblica di Azure con DNSSEC (anteprima)

Questo articolo illustra come firmare la zona DNS con Domain Name System Security Extensions (DNSSEC).This article how to sign your DNS zone with Domain Name System Security Extensions (DNSSEC).

Per rimuovere la firma DNSSEC da una zona, vedere Come annullare la firma della zona DNS pubblico di Azure.

Nota

La firma della zona DNSSEC è attualmente in ANTEPRIMA.
Vedere le condizioni per l'utilizzo supplementari per le anteprime di Microsoft Azure per termini legali aggiuntivi che si applicano a funzionalità di Azure in versione beta, in anteprima o in altro modo non ancora disponibili a livello generale.
Questa anteprima DNSSEC viene offerta senza la necessità di eseguire la registrazione in un'anteprima. È possibile usare Cloud Shell per firmare o annullare la firma di una zona con Azure PowerShell o l'interfaccia della riga di comando di Azure. La firma di una zona usando il portale di Azure è disponibile nell'aggiornamento successivo del portale.

Prerequisiti

• La zona DNS deve essere ospitata da DNS pubblico di Azure. Per altre informazioni, vedere Gestire le zone DNS.
• La zona DNS padre deve essere firmata con DNSSEC. La maggior parte dei domini di primo livello principali (.com, .net, .org) è già firmata.

Firmare una zona con DNSSEC

Per proteggere la zona DNS con DNSSEC, è prima necessario firmare la zona. Il processo di firma della zona crea un record del firmatario di delega (DS) che deve quindi essere aggiunto alla zona padre.

Azure portal

Per firmare la zona con DNSSEC usando il portale di Azure:

1. Nella home page di portale di Azure cercare e selezionare Zone DNS.

2. Selezionare la zona DNS e quindi nella pagina Panoramica della zona selezionare DNSSEC. È possibile selezionare DNSSEC dal menu nella parte superiore o in Gestione DNS.

   

3. Selezionare la casella di controllo Abilita DNSSEC .

   

4. Quando viene richiesto di confermare che si vuole abilitare DNSSEC, selezionare OK.
   

   

5. Attendere il completamento della firma della zona. Dopo la firma della zona, esaminare le informazioni di delega DNSSEC visualizzate. Si noti che lo stato è: Firmato ma non delegato.

   

6. Copiare le informazioni sulla delega e usarle per creare un record DS nella zona padre.

   1. Se la zona padre è un dominio di primo livello , ad esempio , .comè necessario aggiungere il record DS nel registrar. Ogni registrar ha un proprio processo. Il registrar potrebbe richiedere valori come tag chiave, algoritmo, tipo di digest e digest della chiave. Nell'esempio illustrato di seguito sono riportati i valori seguenti:

      Tag chiave: 4535
      Algoritmo: 13
      Tipo digest: 2
      Digest: 7A1C9811A965C46319D94D1D4BC6321762B632133F196F876C65802EC5089001

      Quando si specifica il record DS al registrar, il registrar aggiunge il record DS alla zona padre, ad esempio la zona TLD (Top Level Domain).

   2. Se si è proprietari della zona padre, è possibile aggiungere un record DS direttamente all'elemento padre. L'esempio seguente illustra come aggiungere un record DS alla zona DNS adatum.com per la zona figlio secure.adatum.com quando entrambe le zone sono ospitate tramite DNS pubblico di Azure:

      

   3. Se non si è proprietari della zona padre, inviare il record DS al proprietario della zona padre con istruzioni per aggiungerlo nella propria zona.

7. Quando il record DS è stato caricato nella zona padre, selezionare la pagina delle informazioni DNSSEC per la zona e verificare che sia visualizzata la firma e la delega stabilita . La zona DNS è ora completamente firmata DNSSEC.

   

Interfaccia della riga di comando di Azure

1. Firmare una zona usando l'interfaccia della riga di comando di Azure:

# Ensure you are logged in to your Azure account
az login

# Select the appropriate subscription
az account set --subscription "your-subscription-id"

# Enable DNSSEC for the DNS zone
az network dns dnssec-config create --resource-group "your-resource-group" --zone-name "adatum.com"

# Verify the DNSSEC configuration
az network dns dnssec-config show --resource-group "your-resource-group" --zone-name "adatum.com"

2. Ottenere le informazioni di delega e usarle per creare un record DS nella zona padre.

È possibile usare il comando seguente dell'interfaccia della riga di comando di Azure per visualizzare le informazioni sui record DS:

az network dns zone show --name "adatum.com" --resource-group "your-resource-group" | jq '.signingKeys[] | select(.delegationSignerInfo != null) | .delegationSignerInfo'

Output di esempio:

  {
    "digestAlgorithmType": 2,
    "digestValue": "0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C",
    "record": "26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C"
  }

In alternativa, è anche possibile ottenere informazioni DS usando dig.exe nella riga di comando:

dig adatum.com DS +dnssec

Output di esempio:

;; ANSWER SECTION:
adatum.com.        86400   IN      DS      26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C71 00EA776C

In questi esempi i valori di DS sono:

• Tag chiave: 26767
• Algoritmo: 13
• Tipo digest: 2
• Digest: 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Se la zona padre è un dominio di primo livello , ad esempio , .comè necessario aggiungere il record DS nel registrar. Ogni registrar ha un proprio processo.

4. Se si è proprietari della zona padre, è possibile aggiungere un record DS direttamente all'elemento padre. L'esempio seguente illustra come aggiungere un record DS alla zona DNS adatum.com per la zona figlio secure.adatum.com quando entrambe le zone sono firmate e ospitate usando DNS pubblico di Azure:

az network dns record-set ds add-record --resource-group "your-resource-group" --zone-name "adatum.com" --record-set-name "secure" --key-tag <key-tag> --algorithm <algorithm> --digest <digest> --digest-type <digest-type>

5. Se non si è proprietari della zona padre, inviare il record DS al proprietario della zona padre con istruzioni per aggiungerlo nella propria zona.

PowerShell

1. Firmare e verificare la zona usando PowerShell:

# Connect to your Azure account (if not already connected)
Connect-AzAccount

# Select the appropriate subscription
Select-AzSubscription -SubscriptionId "your-subscription-id"

# Enable DNSSEC for the DNS zone
New-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

# Verify the DNSSEC configuration
Get-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

2. Ottenere le informazioni di delega e usarle per creare un record DS nella zona padre.

Get-AzDnsDnssecConfig -ResourceGroupName "dns-rg" -ZoneName "adatum.com" | Select-Object -ExpandProperty SigningKey | Select-Object -ExpandProperty delegationSignerInfo

Output di esempio:

DigestAlgorithmType DigestValue                                                      Record
------------------- -----------                                                      ------
                  2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C 26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

In questi esempi i valori di DS sono:

• Tag chiave: 26767
• Algoritmo: 13
• Tipo digest: 2
• Digest: 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Se la zona padre è un dominio di primo livello , ad esempio , .comè necessario aggiungere il record DS nel registrar. Ogni registrar ha un proprio processo.

4. Se si è proprietari della zona padre, è possibile aggiungere un record DS direttamente all'elemento padre. L'esempio seguente illustra come aggiungere un record DS alla zona DNS adatum.com per la zona figlio secure.adatum.com quando entrambe le zone sono firmate e ospitate usando DNS pubblico di Azure. Sostituire <key-tag>, <algorithm>, <digest> e <digest-type> con i valori appropriati del record DS sottoposto a query in precedenza.

$dsRecord = New-AzDnsRecordConfig -DnsRecordType DS -KeyTag <key-tag> -Algorithm <algorithm> -Digest <digest> -DigestType <digest-type>
New-AzDnsRecordSet -ResourceGroupName "dns-rg" -ZoneName "adatum.com" -Name "secure" -RecordType DS -Ttl 3600 -DnsRecords $dsRecord

5. Se non si è proprietari della zona padre, inviare il record DS al proprietario della zona padre con istruzioni per aggiungerlo nella propria zona.

Passaggi successivi

• Informazioni su come annullare la firma di una zona DNS.
• Informazioni su come eseguire l'hosting della zona di ricerca inversa per l'intervallo di indirizzi IP assegnato dal provider di servizi Internet in DNS Azure.
• Informazioni su come gestire i record di DNS inverso per i servizi di Azure.