Uw Openbare DNS-zone van Azure ondertekenen met DNSSEC

In dit artikel leest u hoe u uw DNS-zone ondertekent met DNSSEC (Domain Name System Security Extensions).

Als u DNSSEC-ondertekening uit een zone wilt verwijderen, raadpleegt u Hoe u de ondertekening van uw openbare Azure DNS-zone ongedaan kunt maken.

Vereisten

• De DNS-zone moet worden gehost door Openbare DNS van Azure. Zie DNS-zones beheren voor meer informatie.
• De bovenliggende DNS-zone moet zijn ondertekend met DNSSEC. De meeste belangrijke domeinen op het hoogste niveau (.com, .net, .org) zijn al ondertekend.

Een zone ondertekenen met DNSSEC

Als u uw DNS-zone wilt beveiligen met DNSSEC, moet u eerst de zone ondertekenen. Tijdens het zoneondertekeningsproces wordt een DS-record (delegeringsondertekening) gemaakt die vervolgens moet worden toegevoegd aan de bovenliggende zone.

Azure-portal

Ga als volgende te werk om uw zone te ondertekenen met DNSSEC via Azure Portal:

1. Zoek en selecteer DNS-zones op de startpagina van Azure Portal.

2. Selecteer uw DNS-zone en selecteer vervolgens op de pagina Overzicht van de zone DNSSEC. U kunt DNSSEC selecteren in het menu bovenaan of onder DNS-beheer.

   

3. Schakel het selectievakje DNSSEC inschakelen in.

   

4. Wanneer u wordt gevraagd om te bevestigen dat u DNSSEC wilt inschakelen, selecteert u OK.
   

   

5. Wacht tot het ondertekenen van de zone is voltooid. Nadat de zone is ondertekend, controleert u de informatie over DNSSEC-delegering die wordt weergegeven. U ziet dat de status is: Ondertekend, maar niet gedelegeerd.

   

   Notitie

   Als uw Azure-netwerkconfiguratie geen controle van delegering toestaat, wordt het hier weergegeven overdrachtsbericht onderdrukt. In dit geval kunt u een openbaar DNSSEC-foutopsporingsprogramma gebruiken om de overdrachtsstatus te controleren.

6. Kopieer de overdrachtsgegevens en gebruik deze om een DS-record te maken in de bovenliggende zone.

   1. Als de bovenliggende zone een domein op het hoogste niveau is (bijvoorbeeld: .com), moet u de DS-record toevoegen bij uw registrar. Elke registrar heeft een eigen proces. De registrar kan om waarden vragen, zoals de sleuteltag, het algoritme, het digesttype en de sleutelsamenvating. In het voorbeeld dat hier wordt weergegeven, zijn deze waarden:

      Sleuteltag: 4535
      Algoritme: 13
      Samenvattingstype: 2
      Digest: 7A1C9811A965C46319D94D1D4BC6321762B63213F196F876C65802EC508901

      Wanneer u de DS-record aan uw registrar opgeeft, voegt de registrar de DS-record toe aan de bovenliggende zone, zoals de TLD-zone (Top Level Domain).

   2. Als u eigenaar bent van de bovenliggende zone, kunt u zelf rechtstreeks een DS-record toevoegen aan de bovenliggende zone. In het volgende voorbeeld ziet u hoe u een DS-record toevoegt aan de DNS-zone adatum.com voor de onderliggende zone secure.adatum.com wanneer beide zones worden gehost met azure Public DNS:

      

   3. Als u niet de eigenaar bent van de bovenliggende zone, stuurt u de DS-record naar de eigenaar van de bovenliggende zone met instructies om deze toe te voegen aan de zone.

7. Wanneer de DS-record is geüpload naar de bovenliggende zone, selecteert u de DNSSEC-informatiepagina voor uw zone en controleert u of ondertekende en delegatie wordt weergegeven. Uw DNS-zone is nu volledig met DNSSEC ondertekend.

   

   Notitie

   Als uw Azure-netwerkconfiguratie geen controle van delegering toestaat, wordt het hier weergegeven overdrachtsbericht onderdrukt. In dit geval kunt u een openbaar DNSSEC-foutopsporingsprogramma gebruiken om de overdrachtsstatus te controleren.

Azure-CLI

1. Een zone ondertekenen met behulp van de Azure CLI:

# Ensure you are logged in to your Azure account
az login

# Select the appropriate subscription
az account set --subscription "your-subscription-id"

# Enable DNSSEC for the DNS zone
az network dns dnssec-config create --resource-group "your-resource-group" --zone-name "adatum.com"

# Verify the DNSSEC configuration
az network dns dnssec-config show --resource-group "your-resource-group" --zone-name "adatum.com"

2. Haal de overdrachtsgegevens op en gebruik deze om een DS-record te maken in de bovenliggende zone.

U kunt de volgende Azure CLI-opdracht gebruiken om de gegevens van de DS-record weer te geven:

az network dns zone show --name "adatum.com" --resource-group "your-resource-group" | jq '.signingKeys[] | select(.delegationSignerInfo != null) | .delegationSignerInfo'

Voorbeelduitvoer:

  {
    "digestAlgorithmType": 2,
    "digestValue": "0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C",
    "record": "26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C"
  }

U kunt ook DS-gegevens verkrijgen met behulp van dig.exe op de opdrachtregel:

dig adatum.com DS +dnssec

Voorbeelduitvoer:

;; ANSWER SECTION:
adatum.com.        86400   IN      DS      26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C71 00EA776C

In deze voorbeelden zijn de DS-waarden:

• Sleuteltag: 26767
• Algoritme: 13
• Samenvattingstype: 2
• Digest: 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Als de bovenliggende zone een domein op het hoogste niveau is (bijvoorbeeld: .com), moet u de DS-record toevoegen bij uw registrar. Elke registrar heeft een eigen proces.

4. Als u eigenaar bent van de bovenliggende zone, kunt u zelf rechtstreeks een DS-record toevoegen aan de bovenliggende zone. In het volgende voorbeeld ziet u hoe u een DS-record toevoegt aan de DNS-zone adatum.com voor de onderliggende zone secure.adatum.com wanneer beide zones zijn ondertekend en gehost met azure Public DNS:

az network dns record-set ds add-record --resource-group "your-resource-group" --zone-name "adatum.com" --record-set-name "secure" --key-tag <key-tag> --algorithm <algorithm> --digest <digest> --digest-type <digest-type>

5. Als u niet de eigenaar bent van de bovenliggende zone, stuurt u de DS-record naar de eigenaar van de bovenliggende zone met instructies om deze toe te voegen aan de zone.

Powershell

1. Meld uw zone aan en controleer deze met behulp van PowerShell:

# Connect to your Azure account (if not already connected)
Connect-AzAccount

# Select the appropriate subscription
Select-AzSubscription -SubscriptionId "your-subscription-id"

# Enable DNSSEC for the DNS zone
New-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

# Verify the DNSSEC configuration
Get-AzDnsDnssecConfig -ResourceGroupName "your-resource-group" -ZoneName "adatum.com"

2. Haal de overdrachtsgegevens op en gebruik deze om een DS-record te maken in de bovenliggende zone.

Get-AzDnsDnssecConfig -ResourceGroupName "dns-rg" -ZoneName "adatum.com" | Select-Object -ExpandProperty SigningKey | Select-Object -ExpandProperty delegationSignerInfo

Voorbeelduitvoer:

DigestAlgorithmType DigestValue                                                      Record
------------------- -----------                                                      ------
                  2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C 26767 13 2 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

In deze voorbeelden zijn de DS-waarden:

• Sleuteltag: 26767
• Algoritme: 13
• Samenvattingstype: 2
• Digest: 0B9E68FC1711B4AC4EC0FCE5E673EDB0AFDC18F27EA94861CDF08C7100EA776C

3. Als de bovenliggende zone een domein op het hoogste niveau is (bijvoorbeeld: .com), moet u de DS-record toevoegen bij uw registrar. Elke registrar heeft een eigen proces.

4. Als u eigenaar bent van de bovenliggende zone, kunt u zelf rechtstreeks een DS-record toevoegen aan de bovenliggende zone. In het volgende voorbeeld ziet u hoe u een DS-record toevoegt aan de DNS-zone adatum.com voor de onderliggende zone secure.adatum.com wanneer beide zones zijn ondertekend en gehost met azure Public DNS. Vervang <sleuteltag>, <algoritme>, <digest en <digest-type>> door de juiste waarden uit de DS-record die u eerder hebt opgevraagd.

$dsRecord = New-AzDnsRecordConfig -DnsRecordType DS -KeyTag <key-tag> -Algorithm <algorithm> -Digest <digest> -DigestType <digest-type>
New-AzDnsRecordSet -ResourceGroupName "dns-rg" -ZoneName "adatum.com" -Name "secure" -RecordType DS -Ttl 3600 -DnsRecords $dsRecord

5. Als u niet de eigenaar bent van de bovenliggende zone, stuurt u de DS-record naar de eigenaar van de bovenliggende zone met instructies om deze toe te voegen aan de zone.

Volgende stappen

• Meer informatie over het ongedaan maken van een DNS-zone.
• Meer informatie over het hosten van de zone voor reverse lookup voor uw IP-adresbereik dat is toegewezen aan uw internetprovider in Azure DNS.
• Meer informatie over het beheren van omgekeerde DNS-records voor uw Azure-services.