ユースケース:侵害されたアクティブキーを取り消す方法

最終公開日 : Sep 25, 2026
次の手順を実行して、侵害されたアクティブキーを取り消します。
注意点：
  • オーバーラップ期間:スムーズに移行できるように、古いキーと新しいキーの両方がアクティブになる時間を重複させることをお勧めします。
  • DNSKEY TTL 値:TTL は DNS レコードがキャッシュされる期間を決定します。新しいキーを有効にできるように、適切な TTL 値を設定します。
  • 伝播時間:侵害された鍵の取り消しを計画するときは、新しい鍵が使用可能になるまでにすべての GSLB サイトで更新されるまでにかかる時間を必ず考慮してください。
  • 親ゾーンの更新遅延:親ゾーンの DS レコードを更新するときは、遅延が発生する可能性があることに注意してください。これらの遅延は、ドメインのセキュリティと信頼性に影響を与える可能性があります。レジストラには、親ゾーンの DS レコードを更新するための特定のタイムラインと要件があります。
このユースケースでは、既存のキーはキー 1 とキー 2 です。キー 1 はアクティブで、DNSKEY RRSET への署名に使用されます。キー2はスタンバイキーで、DNSKEY RRSetにはありますが、RRSetへの署名には使用されていません。アクティブキー (キー 1) が危険にさらされた場合は、以下を実行してください：
  1. キーの作成 3
    コマンドプロンプトで入力します：
create dns key -zoneName example.com -fileNamePrefix Key3.ksk -keytype ksk -keysize 1024 -algorithm rsASHA256
  1. sign zone コマンドを使用してキー 2 を有効にします。 コマンドプロンプトで入力します：
    sign dns zone example.com -keyName Key2.ksk
    Done
  1. 親ゾーンの新しいキーの DS レコードを更新します。
  2. 新しいキーがすべての GSLB サイトで更新されているかどうかを確認します。
  3. 侵害されたアクティブキー (キー 1) を取り消す
    コマンドプロンプトで入力します：
    set dns key Key1.ksk -revoke
  4. DNSSEC キーの状態を監視する
  5. 侵害されたキー (キー 1) を削除する
    注:
    キー (キー 1) を取り消しても、明示的に削除しない限りシステムに残ります。自動ロールオーバーオプションを設定すると、手動で削除しない限り、設定された有効期限後にシステムがキーを自動的にロールオーバーします。自動ロールオーバー処理中に、必要に応じて使用できる新しいキーが作成されます。
    コマンドプロンプトで入力します：
    rm dns key Key 1
    これで、キー 2 がアクティブキー、キー 3 がスタンバイキーになりました
注:
失効手順は ZSK キーでも同じですが、キーを削除した後に親ゾーンを更新する点が異なります。
Related information