7.3. CLI での DNS 正引きゾーンの設定
コマンドライン (CLI) を使用して、新しい DNS 正引きゾーンを Identity Management (IdM) サーバーに追加できます。
DNS 正引きゾーンを使用すると、特定のゾーンの DNS クエリーを別の DNS サーバーに転送できます。たとえば、Active Directory (AD) ドメインの DNS クエリーを AD DNS サーバーに転送することができます。
前提条件
- 管理者権限のあるユーザーアカウントを使用して CLI にアクセスする。
- DNS サーバーを正しく設定している。
手順
AD ドメインの DNS 正引きゾーンを作成し、
--forwarderオプションを使用してリモート DNS サーバーの IP アドレスを指定します。ipa dnsforwardzone-add ad.example.com --forwarder=192.168.122.3 --forward-policy=first
# ipa dnsforwardzone-add ad.example.com --forwarder=192.168.122.3 --forward-policy=firstCopy to Clipboard Copied! Toggle word wrap Toggle overflow
設定に新しい正引きゾーンを追加した後に、/var/log/messages システムログに DNSSEC 検証の失敗に関する警告が表示される場合があります。
named[2572]: no valid DS resolving 'host.ad.example.com/A/IN': 192.168.100.25#53
named[2572]: no valid DS resolving 'host.ad.example.com/A/IN': 192.168.100.25#53
DNSSEC (Domain Name System Security Extensions) は、DNS データをデジタル署名で保護し、攻撃から DNS を保護します。このサービスは、IdM サーバーでデフォルトで有効になっています。リモート DNS サーバーが DNSSEC を使用していないため、警告が表示されます。リモート DNS サーバーで DNSSEC を有効にします。
リモートサーバーで DNSSEC 検証を有効にできない場合は、IdM サーバーで DNSSEC を無効にすることができます。
-
IdM サーバー上の
/etc/named/ipa-options-ext.confファイルを開きます。 以下の DNSSEC パラメーターを追加します。
dnssec-validation no;
dnssec-validation no;Copy to Clipboard Copied! Toggle word wrap Toggle overflow - 設定ファイルを保存して閉じます。
DNS サービスを再起動します。
systemctl restart named
# systemctl restart namedCopy to Clipboard Copied! Toggle word wrap Toggle overflow
DNSSEC は、IdM ではテクノロジープレビューとして提供されていることに注意してください。
検証
nslookupコマンドを、リモート DNS サーバーの名前で使用します。Copy to Clipboard Copied! Toggle word wrap Toggle overflow ドメイン転送が正しく設定されている場合、
nslookup要求はリモート DNS サーバーの IP アドレスを表示します。