View a markdown version of this page

KMS-Schlüssel- und ZSK-Verwaltung in Route 53 - Amazon Route 53

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

KMS-Schlüssel- und ZSK-Verwaltung in Route 53

In diesem Abschnitt wird die aktuelle Vorgehensweise beschrieben, die Route 53 für Ihre Zonen mit aktivierter DNSSEC-Signatur verwendet.

Anmerkung

Route 53 verwendet die folgende Regel, die sich ändern könnte. Alle zukünftigen Änderungen werden die Sicherheitslage Ihrer Zone oder die von Route 53 nicht beeinträchtigen.

Wie Route 53 die benutzt AWS KMS mit deinem KSK verbunden

In DNSSEC wird der KSK verwendet, um die Ressourceneintragssignatur (RRSIG) für den DNSKEY-Ressourcendatensatz zu generieren. Alle ACTIVE KSKs werden in der RRSIG-Generation verwendet. Route 53 generiert ein RRSIG, indem es den aufruft Sign AWS KMS API für den zugehörigen KMS-Schlüssel. Weitere Informationen finden Sie unter Signieren im AWS KMS -API-Handbuch. Diese RRSIGs werden nicht auf das Limit für Ressourcendatensätze der Zone angerechet.

Ein RRSIG läuft ab. Um zu verhindern, dass die RRSIGs ablaufen, werden sie regelmäßig aktualisiert, indem sie alle ein bis sieben Tage regeneriert werden.

Die RRSIGs werden außerdem jedes Mal aktualisiert, wenn Sie eine dieser APIs aufrufen:

Jedes Mal, wenn Route 53 eine Aktualisierung durchführt, generieren wir 15 RRSIGs, um die nächsten Tage abzudecken, falls auf den zugehörigen KMS-Schlüssel nicht zugegriffen werden kann. Für die Schätzung der KMS-Schlüsselkosten können Sie von einer regulären Aktualisierung am Tag ausgehen. Ein KMS-Schlüssel könnte durch versehentliche Änderungen der KMS-Schlüsselrichtlinie unzugänglich werden. Der unzugängliche KMS-Schlüssel setzt den Status des zugehörigen KSK auf ACTION_NEEDED. Wir empfehlen dringend, diesen Zustand zu überwachen, indem Sie eine einrichten CloudWatch Alarm, wann immer ein DNSSECKeySigningKeysNeedingAction Es wurde ein Fehler festgestellt, da bei der Validierung von Resolvern nach Ablauf des letzten RRSIG die Suche fehlschlägt. Weitere Informationen finden Sie unter Überwachung gehosteter Zonen mithilfe von Amazon CloudWatch.

Wie Route 53 den ZSK Ihrer Zone verwaltet

Jede neue gehostete Zone mit aktivierter DNSSEC-Signatur hat einen ACTIVE Zonensignaturschlüssel (ZSK). Der ZSK wird für jede gehostete Zone separat generiert und gehört Route 53. Der aktuelle Schlüsselalgorithmus ist ECDSAP256SHA256.

Wir werden innerhalb von sieben bis 30 Tagen nach Beginn der Signatur eine regelmäßige ZSK-Rotation in der Zone durchführen. Derzeit verwendet Route 53 die Pre-Publish Key Rollover-Methode. Weitere Informationen finden Sie unter Pre-Publish Rollover des Zonensignaturschlüssels. Diese Methode führt einen anderen ZSK in die Zone ein. Die Rotation wird alle sieben bis 30 Tage wiederholt.

Route 53 wird die ZSK-Rotation aussetzen, wenn einer der KSK der Zone im ACTION_NEEDED-Status ist, da Route 53 die RRSIGs für DNSKEY-Ressourcendatensätze nicht regenerieren kann, um die Änderungen im ZSK der Zone zu berücksichtigen. Die ZSK-Rotation wird automatisch fortgesetzt, nachdem die Bedingung gelöscht wurde.