Leçons du module (2/3)
Trust anchor et rollover automatisé
Trust anchor et rollover automatisé
Un rollover ne consiste pas à changer une clé en espérant qu’Internet suive. Les résolveurs et les parents peuvent conserver les données en cache pendant des durées différentes. La trust anchor de la racine peut être gérée automatiquement. À une délégation, CDS et CDNSKEY permettent à l’enfant de publier des informations qui peuvent aider le parent à mettre à jour le DS selon sa politique.
L’automatisation réduit le travail manuel mais ne supprime ni contrôles, ni autorisations, ni retour arrière. Vérifiez algorithme, digest, correspondance DS/DNSKEY, état des signatures et fenêtres de cache avant et après le changement.
Une procédure prudente définit ses prérequis, publie la nouvelle clé, attend la propagation, met à jour le parent, vérifie depuis des résolveurs indépendants et retire l’ancienne clé seulement une fois la transition terminée. Suivez les procédures compatibles avec votre bureau d’enregistrement et votre logiciel.
Références : RFC 5011 — gestion automatique des trust anchors · RFC 7344 — CDS/CDNSKEY · RFC 8078 — mise à jour du DS
Vérifiez votre compréhension
Choisissez la meilleure réponse. Les exemples utilisent des noms pédagogiques et n’envoient aucune requête réelle.
Que faut-il préserver pendant un rollover ?