יכול להיות שחלק מהמידע בדף הזה או כולו לא רלוונטי ל-Trusted Cloud by S3NS.
הפעלת DNSSEC
בדף הזה מוסבר איך להפעיל ולהשבית תוספי אבטחה של DNS (DNSSEC) אצל רשם הדומיינים.
מידע נוסף על DNSSEC זמין בסקירה הכללית על DNSSEC.
הפעלת DNSSEC אצל רשם הדומיין
אחרי שמפעילים את DNSSEC בתחומים ציבוריים מנוהלים קיימים, צריך להפעיל את DNSSEC אצל רשם הדומיינים. כדי להפעיל את DNSSEC, יוצרים רשומת DS לדומיין באזור ההורה, כדי שמפתרנים יוכלו לזהות שהדומיין מופעל באמצעות DNSSEC ולתקף את הנתונים שלו.
לכל רשם יש תהליך שונה ליצירת רשומת ה-DS הזו. רשם דומיינים רבים משתמשים בטופס באתר. מידע נוסף זמין במסמכי התיעוד של הרשם.
אחרי שמפעילים את DNSSEC, רשומת ה-DS צריכה להופץ בכל ה-DNS. התהליך הזה עשוי להימשך 24 שעות או יותר, בהתאם לערכי אורך החיים (TTL) שהגדרתם לרשומות ה-DNS ולהתנהגות השמירה במטמון של פותרי ה-DNS השונים.
לפני שמפעילים את DNSSEC בדומיינים חשובים, צריך לבדוק היטב את הגדרות ה-DNS.
אחזור רשומות DS
כדי לקבל רשומות DS של האזור, מבצעים את הפעולות הבאות:
המסוף
במסוף Trusted Cloud , עוברים לדף Create a DNS zone.
כניסה לדף Create a DNS zone
לוחצים על הדומיין שבו רוצים ליצור את רשומות ה-DS.
לוחצים על הגדרת רשם.
מעתיקים את רשומות ה-DS מתיבת הדו-שיח. רשומות ה-DS דומות לזו:
18311 8 2 1A347FBF4EDA76375760AEB183E3B0081C9D8BE63384637D46ED5F6C010F961B
gcloud
משתמשים בפקודה gcloud dns dns-keys list.
gcloud dns dns-keys list \
--filter='type=keySigning' --format='value(ds_record())' \
--zone=MANAGED_ZONE_NAME
מחליפים את מה שכתוב בשדות הבאים:
MANAGED_ZONE: שם האזור המנוהל
הפלט אמור להיראות כך:
18311 8 2 1A347FBF4EDA76375760AEB183E3B0081C9D8BE63384637D46ED5F6C010F961B
השבתת DNSSEC אצל רשם הדומיין
לפני שמשביתים את DNSSEC באזור מנוהל שעדיין רוצים להשתמש בו, צריך להשבית את DNSSEC באזור אצל רשם הדומיינים כדי לוודא שמפתרנים שמאמתים את DNSSEC עדיין יכולים לפתור שמות באזור.
כדי להשבית את DNSSEC, מסירים את כל רשומות ה-DS של הדומיין מתחום ההורה. הפעולה הזו מונעת ממסוררי DNS להשתמש ב-DNSSEC כדי לאמת את נתוני הדומיין.
אחרי שמסירים את רשומות ה-DS מהרשם, צריך להמתין עד שההסרה של רשומת ה-DS תופץ לכל המפצים כדי שתוכלו להשבית את DNSSEC באזור. התהליך הזה עשוי להימשך 24 שעות או יותר, בהתאם לזמן האחזור להפצה שנגרם על ידי האחסון במטמון של הרשם, של המרשם ושל המפַתח.
אחרי שתאשרו שרשומת ה-DS הוסרה מהרשם ושאין יותר גישה אליה למפענחים, תוכלו להשבית את DNSSEC לאזור בבטחה.
המאמרים הבאים
אלא אם צוין אחרת, התוכן של דף זה הוא ברישיון Creative Commons Attribution 4.0 ודוגמאות הקוד הן ברישיון Apache 2.0. לפרטים, ניתן לעיין במדיניות האתר Google Developers. Java הוא סימן מסחרי רשום של חברת Oracle ו/או של השותפים העצמאיים שלה.
עדכון אחרון: 2025-06-27 (שעון UTC).
[[["התוכן קל להבנה","easyToUnderstand","thumb-up"],["התוכן עזר לי לפתור בעיה","solvedMyProblem","thumb-up"],["סיבה אחרת","otherUp","thumb-up"]],[["חסרים לי מידע או פרטים","missingTheInformationINeed","thumb-down"],["התוכן מורכב מדי או עם יותר מדי שלבים","tooComplicatedTooManySteps","thumb-down"],["התוכן לא עדכני","outOfDate","thumb-down"],["בעיה בתרגום","translationIssue","thumb-down"],["בעיה בדוגמאות/בקוד","samplesCodeIssue","thumb-down"],["סיבה אחרת","otherDown","thumb-down"]],["עדכון אחרון: 2025-06-27 (שעון UTC)."],[[["\u003cp\u003eThis page provides instructions on how to activate and deactivate Domain Name System Security Extensions (DNSSEC) at your domain registrar.\u003c/p\u003e\n"],["\u003cp\u003eActivating DNSSEC requires creating a DS record for your domain in the parent zone through your registrar, which allows resolvers to validate your domain's data.\u003c/p\u003e\n"],["\u003cp\u003eThe process of propagating the DS record after activation can take 24 hours or more, depending on TTL values and DNS resolver caching.\u003c/p\u003e\n"],["\u003cp\u003eDeactivating DNSSEC involves removing all DS records for your domain from the parent zone at your domain registrar, which must fully propagate before DNSSEC can be disabled for the zone.\u003c/p\u003e\n"],["\u003cp\u003eThe DS record can be acquired through the Google Cloud console, or by using the gcloud dns dns-keys list command.\u003c/p\u003e\n"]]],[],null,["# Activate DNSSEC\n\nThis page describes how to activate and deactivate Domain Name System Security\nExtensions (DNSSEC) at your domain registrar.\n\nTo learn about DNSSEC, see the [DNSSEC overview](/dns/docs/dnssec).\n\nActivate DNSSEC at your domain registrar\n----------------------------------------\n\nAfter you [enable DNSSEC for existing managed public\nzones](/dns/docs/dnssec-config#enabling), you must activate DNSSEC at your\ndomain registrar. To activate DNSSEC, you create a DS record for your domain\nin the parent zone so that resolvers can identify that your domain is\nDNSSEC enabled and can validate its data.\n\nEach registrar has a different procedure to create this DS record. Many\nregistrars use a website form. For more information, see the documentation\nof your registrar.\n\nAfter you activate DNSSEC, the DS record must propagate throughout the entire\nDNS. This process can take 24 hours or more, depending on the time to live (TTL)\nvalues that you set for your DNS records and the caching behavior of different\nDNS resolvers.\n\nBefore you activate DNSSEC on important domains, test your DNS configuration\nthoroughly.\n\n### Get DS records\n\nTo get DS records for your zone, follow these steps: \n\n### Console\n\n1. In the Google Cloud console, go to the **Create a DNS zone** page.\n\n [Go to Create a DNS zone](https://console.cloud.google.com/networking/dns/zones/~new)\n2. Click the zone for which you want the DS records.\n\n3. Click **Registrar setup**.\n\n4. Copy the DS records from the dialog. The DS records are similar to the\n following:\n\n ```\n 18311 8 2 1A347FBF4EDA76375760AEB183E3B0081C9D8BE63384637D46ED5F6C010F961B\n ```\n\n \u003cbr /\u003e\n\n### gcloud\n\nUse the [`gcloud dns dns-keys list` command](/sdk/gcloud/reference/dns/dns-keys/list). \n\n```\ngcloud dns dns-keys list \\\n--filter='type=keySigning' --format='value(ds_record())' \\\n--zone=MANAGED_ZONE_NAME\n```\n\nReplace the following:\n\n- \u003cvar translate=\"no\"\u003eMANAGED_ZONE\u003c/var\u003e: the name of the managed zone\n\nYour output is similar to the following: \n\n```\n18311 8 2 1A347FBF4EDA76375760AEB183E3B0081C9D8BE63384637D46ED5F6C010F961B\n```\n\nDeactivate DNSSEC at your domain registrar\n------------------------------------------\n\nBefore you disable DNSSEC for a managed zone that you still want to use,\nyou must deactivate DNSSEC for your zone at your domain registrar\nto help ensure that DNSSEC-validating resolvers can still resolve\nnames in the zone.\n\nTo deactivate DNSSEC, remove all DS records for your domain from the parent\nzone; this action prevents resolvers from using DNSSEC to validate your\ndomain data.\n\nAfter you remove the DS records from the registrar, you must wait for the\nremoval of the DS record to propagate to all resolvers before you can turn off\nDNSSEC for the zone. This process might take 24 hours or longer, depending on\nthe propagation latency incurred by the registrar, registry, and resolver\ncaching.\n\nAfter you confirm that the DS record is removed from your registrar and is no\nlonger accessible to the resolvers, you can safely\n[disable DNSSEC for the zone](/dns/docs/dnssec-config#disabling).\n\nWhat's next\n-----------\n\n- To get information about specific DNSSEC configurations, see [Use advanced\n DNSSEC](/dns/docs/dnssec-advanced).\n- To find solutions for common issues that you might encounter when using Cloud DNS, see [Troubleshooting](/dns/docs/troubleshooting).\n- To get an overview of Cloud DNS, see [Cloud DNS overview](/dns/docs/overview)."]]
