Menonaktifkan penandatanganan DNSSEC - Amazon Route 53

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menonaktifkan penandatanganan DNSSEC

Langkah untuk menonaktifkan penandatanganan DNSSEC Route 53 dapat beragam, tergantung pada rantai kepercayaan yang menjadi bagian dari zona yang di-hosting.

Misalnya, zona yang di-hosting Anda mungkin memiliki zona induk yang memiliki catatan Delegation Signer (DS), sebagai bagian dari rantai kepercayaan. Zona yang di-hosting mungkin juga adalah zona induk untuk zona anak yang telah mengaktifkan penandatanganan DNSSEC, yang merupakan bagian lain dari rantai kepercayaan. Selidiki dan tentukan rantai kepercayaan penuh untuk zona yang di-hosting sebelum Anda mengambil langkah untuk menonaktifkan penandatanganan DNSSEC.

Rantai kepercayaan untuk zona yang di-hosting yang mengizinkan penandatanganan DNSSEC harus dibatalkan secara hati-hati saat Anda menonaktifkan penandatanganan. Untuk menghapus zona yang di-hosting dari rantai kepercayaan, Anda menghapus semua catatan DS yang ada untuk rantai kepercayaan yang mencakup zona yang di-hosting ini. Ini berarti Anda harus melakukan hal berikut, agar dapat:

  1. Menghapus catatan DS yang dimiliki zona yang di-hosting untuk zona anak yang merupakan bagian dari rantai kepercayaan.

  2. Hapus catatan DS dari zona induk. Lewati langkah ini jika Anda memiliki pulau kepercayaan (tidak ada catatan DS di zona induk dan tidak ada catatan DS untuk zona anak di zona ini).

  3. Jika Anda tidak dapat menghapus catatan DS, untuk menghapus zona dari rantai kepercayaan, hapus catatan NS dari zona induk. Untuk informasi selengkapnya, lihat Menambahkan atau mengubah server nama dan merekatkan catatan untuk domain.

Langkah-langkah tambahan berikut memungkinkan Anda memantau efektivitas langkah-langkah individual untuk menghindari masalah ketersediaan DNS di zona Anda.

Cara menonaktifkan penandatanganan DNSSEC

  1. Pantau ketersediaan zona.

    Anda dapat memantau zona untuk ketersediaan nama domain Anda. Ini dapat membantu Anda mengatasi masalah apa pun yang mungkin memerlukan mundur selangkah setelah Anda mengaktifkan penandatanganan DNSSEC. Anda dapat memantau nama domain Anda dengan sebagian besar lalu lintas dengan menggunakan pencatatan kueri. Untuk informasi selengkapnya tentang menyiapkan pencatatan kueri, lihatMemantau Amazon Route 53.

    Pemantauan dapat dilakukan melalui skrip shell, atau melalui layanan berbayar. Namun, seharusnya tidak menjadi satu-satunya sinyal untuk menentukan apakah rollback diperlukan. Anda mungkin juga mendapatkan umpan balik dari pelanggan Anda karena domain tidak tersedia.

  2. Temukan DS TTL saat ini.

    Anda dapat menemukan DS TTL dengan menjalankan perintah Unix berikut:

    dig -t DS example.com example.com

  3. Temukan NS TTL maksimum.

    Ada 2 set catatan NS yang terkait dengan zona Anda:

    • Catatan NS delegasi — ini adalah catatan NS untuk zona Anda yang dipegang oleh zona induk. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut:

      Pertama temukan NS zona induk Anda (jika zona Anda adalah example.com, zona induknya adalah com):

      dig -t NS com

      Pilih salah satu catatan NS dan kemudian jalankan yang berikut ini:

      dig @one of the NS records of your parent zone -t NS example.com

      Sebagai contoh:

      dig @b.gtld-servers.net. -t NS example.com

    • Catatan NS dalam zona — ini adalah catatan NS di zona Anda. Anda dapat menemukan ini dengan menjalankan perintah Unix berikut:

      dig @one of the NS records of your zone -t NS example.com

      Sebagai contoh:

      dig @ns-0000.awsdns-00.co.uk. -t NS example.com

      Perhatikan TTL maksimum untuk kedua zona.

  4. Hapus catatan DS dari zona induk.

    Hubungi pemilik zona induk untuk menghapus catatan DS.

    Rollback: masukkan kembali catatan DS, konfirmasikan penyisipan DS efektif, dan tunggu TTL NS (bukan DS) maksimum sebelum semua resolver mulai memvalidasi lagi.

  5. Konfirmasikan penghapusan DS efektif.

    Jika zona induk ada di layanan DNS Route 53, pemilik zona induk dapat mengonfirmasi propagasi penuh melalui API. GetChange

    Jika tidak, Anda dapat secara berkala menyelidiki zona induk untuk catatan DS, dan kemudian menunggu 10 menit setelahnya untuk meningkatkan kemungkinan penghapusan catatan DS disebarkan sepenuhnya. Perhatikan bahwa beberapa pendaftar telah menjadwalkan penghapusan DS, misalnya sekali sehari.

  6. Tunggu DS TTL.

    Tunggu sampai semua resolver telah kedaluwarsa catatan DS dari cache mereka.

  7. Nonaktifkan penandatanganan DNSSEC dan nonaktifkan kunci penandatanganan kunci (KSK).

    CLI

    Hubungi DisableHostedZoneDNSSEC dan DeactivateKeySigningKeyAPI.

    Sebagai contoh:

    
aws --region us-east-1 route53 disable-hosted-zone-dnssec \
            --hosted-zone-id $hostedzone_id

aws --region us-east-1 route53 deactivate-key-signing-key \
            --hosted-zone-id $hostedzone_id --name $ksk_name
    Console

    Untuk menonaktifkan penandatanganan DNSSEC

    1. Masuk ke AWS Management Console dan buka konsol Route 53 di https://console.aws.amazon.com/route53/.

    2. Di panel navigasi, pilih Zona yang di-hosting, lalu pilih zona yang di-hosting dengan penandatanganan DNSSEC yang ingin Anda nonaktifkan.

    3. Di tab Penandatanganan DNSSEC, pilih Nonaktifkan penandatanganan DNSSEC.

    4. Di halaman Nonaktifkan penandatanganan, pilih salah satu opsi berikut, tergantung skenario Anda untuk zona dengan penandatangan DNSSEC yang dinonaktifkan.

      • Zona induk saja — Zona ini memiliki zona induk dengan catatan DS. Dalam skenario ini, Anda harus menghapus catatan DS zona induk.

      • Zona anak saja — Zona ini memiliki catatan DS untuk rantai kepercayaan dengan satu atau lebih zona anak. Dalam skenario ini, Anda harus menghapus catatan DS zona.

      • Zona induk dan anak — Zona ini memiliki catatan DS untuk rantai kepercayaan dengan satu atau lebih zona anak dan zona induk dengan catatan DS. Dalam skenario ini, lakukan hal-hal berikut, untuk dapat:

        1. Menghapus catatan DS zona.

        2. Menghapus catatan DS zona induk.

        Jika Anda memiliki pulau kepercayaan, Anda dapat melewati langkah ini.

    5. Tentukan apa TTL untuk setiap catatan DS yang Anda hapus di Langkah 4. , Pastikan periode TTL terpanjang telah kedaluwarsa.

    6. Pilih kotak centang untuk mengonfirmasi bahwa Anda telah mengikuti langkah-langkah secara berurutan.

    7. Ketik Nonaktifkan di bidang, seperti yang ditampilkan, lalu pilih Nonaktifkan.

    Untuk menonaktifkan kunci penandatanganan kunci (KSK)

    1. Masuk ke AWS Management Console dan buka konsol Route 53 di https://console.aws.amazon.com/route53/.

    2. Di panel navigasi, pilih Zona yang dihosting, lalu pilih zona yang dihosting yang ingin Anda nonaktifkan kunci penandatanganan kunci (KSK).

    3. Di bagian Tombol penandatanganan kunci (KSK), pilih KSK yang ingin Anda nonaktifkan, dan di bawah Tindakan, pilih Edit KSK, atur status KSK ke Tidak Aktif, lalu pilih Simpan KSK.

    Rollback: panggilan ActivateKeySigningKeydan EnableHostedZoneDNSSEC API.

    Sebagai contoh:

    
aws --region us-east-1 route53 activate-key-signing-key \
            --hosted-zone-id $hostedzone_id --name $ksk_name

aws --region us-east-1 route53 enable-hosted-zone-dnssec \
            --hosted-zone-id $hostedzone_id

  8. Konfirmasikan penonaktifan penandatanganan zona efektif.

    Gunakan Id dari EnableHostedZoneDNSSEC() panggilan untuk menjalankan GetChangeuntuk memastikan bahwa semua Server DNS Route 53 telah berhenti menandatangani tanggapan (status =INSYNC).

  9. Amati resolusi nama.

    Anda harus mengamati bahwa tidak ada masalah yang mengakibatkan resolver memvalidasi zona Anda. Biarkan 1-2 minggu untuk memperhitungkan waktu yang dibutuhkan pelanggan Anda untuk melaporkan masalah kepada Anda.

  10. (Opsional) Bersihkan.

    Jika Anda tidak akan mengaktifkan kembali penandatanganan, Anda dapat membersihkan KSK DeleteKeySigningKeydan menghapus kunci yang dikelola pelanggan terkait untuk menghemat biaya.