Risoluzione dei problemi relativi alla firma DNSSEC

Le informazioni contenute in questa sezione consentono di risolvere i problemi relativi alla firma DNSSEC, inclusi i problemi di abilitazione, disabilitazione e con le chiavi di firma delle chiavi (KSK).

Abilitazione di DNSSEC

Prima di iniziare ad abilitare la firma DNSSEC, assicurati di aver letto i prerequisiti riportati in Configurazione della firma DNSSEC in Amazon Route 53.

Disabilitazione di DNSSEC

Per disabilitare in modo sicuro il DNSSEC, Route 53 verificherà se la zona di destinazione si trova nella catena di attendibilità. Verifica se l'elemento padre della zona di destinazione ha dei record NS e dei record DS della zona di destinazione. Se la zona di destinazione non è risolvibile pubblicamente, ad esempio se riceve una risposta SERVFAIL durante l'interrogazione di NS e DS, Route 53 non sarà in grado di determinare se è sicuro disabilitare DNSSEC. Puoi contattare la tua zona principale per risolvere questi problemi e riprovare a disabilitare il DNSSEC in un secondo momento.

Lo stato della KSK è Operazione necessaria

Un KSK può cambiare il suo stato in Azione necessaria (o ACTION_NEEDED in KeySigningKeystato) quando Route 53 DNSSEC perde l'accesso a un server corrispondente (a causa di una modifica delle autorizzazioni o dell'eliminazione). AWS KMS key AWS KMS key

Se lo stato di una KSK è Action needed (Azione richiesta), significa che alla fine causerà un'interruzione della zona per i client che utilizzano i resolver di convalida DNSSEC e tu dovrai agire rapidamente per evitare che una zona di produzione diventi irrisolvibile.

Per risolvere il problema, assicurati che la chiave gestita dal cliente su cui si basa la tua KSK sia abilitata e abbia le corrette autorizzazioni. Per ulteriori informazioni sulle autorizzazioni richieste, consulta Autorizzazioni delle chiavi gestite dal cliente di Route 53 richieste per la firma DNSSEC.

Dopo aver corretto il KSK, attivalo nuovamente utilizzando la console o il AWS CLI, come descritto in. Fase 2: abilitazione della firma DNSSEC e creazione di una KSK

Per evitare che questo problema si verifichi in futuro, prendi in considerazione l'aggiunta di una Amazon CloudWatch metrica per tracciare lo stato del KSK, come suggerito in. Configurazione della firma DNSSEC in Amazon Route 53

Lo stato della KSK è Errore interno

Quando un KSK presenta lo stato di errore interno (o INTERNAL_FAILURE in uno KeySigningKeystato), non è possibile lavorare con nessun'altra entità DNSSEC finché il problema non viene risolto. È necessario intervenire prima di poter utilizzare la firma DNSSEC, incluso l'utilizzo di questa KSK o di un'altra KSK.

Per risolvere il problema, prova nuovamente ad attivare o disattivare la KSK.

Per risolvere il problema quando lavori con le API, prova ad abilitare la firma (EnableHostedZoneDNSSEC) o disabilitare la firma (DNSSEC). DisableHostedZone

È importante correggere i problemi Errore internoquanto prima. Non è possibile apportare altre modifiche alla zona ospitata fino a quando non si corregge il problema, ad eccezione delle operazioni per risolvere Errore interno.