送信ゾーン転送でマルチ署名者 DNSSEC を設定する

送信ゾーン転送では、Cloudflare をプライマリ DNS プロバイダーのまま、1 つ以上のセカンダリプロバイダーで可用性と耐障害性を高めます。

送信ゾーン転送で DNSSEC を使う場合は、マルチ署名者 DNSSEC を設定してください。Cloudflare をプライマリとして設定したあと、次の手順で DNSSEC を有効にします。

始める前に

次の点に注意してください。

この手順では、ほかの DNS プロバイダーもマルチ署名者 DNSSEC に対応している必要があります。
ダッシュボードで実行できる手順もありますが、現時点ではプロセス全体を完了できるのは API だけです。
DNS Settings ↗ で DNSSEC と Multi-signer DNSSEC を有効にすると、次の最初の手順だけを置き換えられます。セットアップを完了するには、このチュートリアルの残りの手順も実行してください。

手順

Edit DNSSEC Status エンドポイントを使い、ゾーンの DNSSEC を有効にし、マルチ署名者 DNSSEC をアクティブにします。次の例のように、status を active、dnssec_multi_signer を true に設定します。

Required API token permissions

At least one of the following token permissions is required:

DNS Write

Edit DNSSEC Statusbash

curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/dnssec" \
	--request PATCH \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"status": "active",
		"dnssec_multi_signer": true
	}'

外部プロバイダーの ZSK を、ゾーン上に DNSKEY レコードを作成して Cloudflare に追加します。

curl 'https://api.cloudflare.com/client/v4/zones/{zone_id}/dns_records' \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>" \
--header "Content-Type: application/json" \
--data '{
  "type": "DNSKEY",
  "name": "<ZONE_NAME>",
  "data": {
    "flags": 256,
    "protocol": 3,
    "algorithm": 13,
    "public_key": "<PUBLIC_KEY>"
  },
  "ttl": 3600
}'

DNSKEY レコードが Cloudflare からセカンダリプロバイダーへ転送されたら、Cloudflare の ZSK を取得し、DNSKEY レコードに手動で追加します。

現時点では、ZSK は自動では転送されません。API、または割り当て済みの Cloudflare ネームサーバーへのクエリのいずれかで取得できます。

API の例:

curl 'https://api.cloudflare.com/client/v4/zones/{zone_id}/dnssec/zsk' \
--header "X-Auth-Email: <EMAIL>" \
--header "X-Auth-Key: <API_KEY>"

コマンドラインクエリの例:

$ dig <ZONE_NAME> dnskey @<CLOUDFLARE_NAMESERVER> +noall +answer | grep 256

レジストラに、プロバイダーごとに 1 件ずつ DS レコードを追加します。Cloudflare の DS レコードは、DNS Settings ↗ ページの DS Record で確認できます。

レジストラのネームサーバー設定には、マルチ署名者 DNSSEC セットアップで使うすべてのプロバイダーのネームサーバーを含めてください。

Cloudflare をプライマリとして DNSSEC を設定する

始める前に

手順