Leçons du module (2/3)
KSK, ZSK et rollover
KSK, ZSK et rollover
Certaines opérations distinguent la key-signing key (KSK), qui signe les données DNSKEY, de la zone-signing key (ZSK), qui signe les autres RRset. Les logiciels et modèles de gestion varient : vérifiez la configuration utilisée au lieu de supposer que tous les opérateurs suivent le même schéma.
Un rollover est une transition distribuée. Les résolveurs et les parents peuvent conserver les données en cache pendant des durées différentes. La méthode prudente consiste à publier et vérifier la nouvelle clé, à garder ancienne et nouvelle disponibles pendant le chevauchement requis, à mettre à jour le DS parent si nécessaire, puis à retirer l’ancienne une fois la transition achevée.
Planifiez les étapes, prérequis, points de contrôle et retour arrière. N’exposez jamais une clé privée pour simplifier le renouvellement.
Vérifiez votre compréhension
Choisissez la meilleure réponse. Ce quiz fonctionne localement et n’envoie aucune requête DNS réelle.
Pourquoi publier souvent l’ancienne et la nouvelle clé ensemble ?