DNS・名前解決 / DNS/TLS
CAAとは
Certification Authority Authorization。どの認証局が証明書を発行してよいかをDNSで示すレコードです。
用語集内のカードを見る詳細な図解
ドメイン管理者許可するCAを決める
権威DNSCAAレコードを公開
CA発行確認CAが発行前に照会
証明書発行許可されれば発行する
- サブドメイン継承を確認
- iodef通知先を管理
- CA切替時は事前変更する
この記事で学べること
CAAを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- CAAを読むときの前提
- 発行できるCAを制御する
- サブドメイン継承を見る
- 通知と変更手順を決める
- 変更証跡と引き継ぎ
実務メモ
許可CA、継承、TTLを証明書申請前に確認する
どこで効くか
CAAは公開証明書の発行元制御、CA切替、SaaSやCDN導入、ワイルドカード証明書申請で効きます。DNS側の制御なので、証明書申請前に確認します。
残す証跡
証跡には対象ドメイン、権威DNSのCAA回答、issue、issuewild、iodef、TTL、親ドメインや委任ゾーンの値、申請先CA、発行結果を残します。
避けたい誤解
対象FQDNにCAAがなくても親ドメインのCAAが効くことがあります。旧CAだけ許可したままCA切替を行うと発行に失敗します。CA表記ゆれやTTL残存にも注意します。サブゾーン委任も確認します。
まず確認すること
- 権威DNSでCAAを確認する
- 申請先CAの指定文字列を照合する
- サブドメイン継承とTTLを確認する
CAAを読むときの前提
CAA（Certification Authority Authorization）は、どのCAがドメインの証明書を発行してよいかをDNSで示すレコードです。公開CAは発行前にCAAを確認し、許可されていない場合は発行できません。
実務では、権威DNS、サブドメイン継承、issue、issuewild、iodef、CA表記、TTL、CA切替時の反映タイミングを確認します。
証跡には、対象ドメイン、権威DNS回答、CAA値、許可CA、ワイルドカード扱い、TTL、確認リゾルバ、確認時刻を残します。
発行できるCAを制御する
CAAは証明書発行元を制御するためのDNSレコードです。特定CAだけを許可すると、想定外CAからの発行を抑えられます。一方で、正規のCA切替やSaaS導入時に発行失敗の原因になります。
証明書申請前に、使用するCAがCAAで許可されているかを確認します。CAによって指定文字列が異なるため、公式の表記を確認します。
- issueで許可CAを確認する。
- issuewildでワイルドカード発行を確認する。
- CA指定文字列を正確に記録する。
サブドメイン継承を見る
CAAは対象名に直接レコードがない場合、親ドメインのCAAが参照されます。サブドメイン単位で別CAを使う場合は、継承により意図しない制限がかかることがあります。
証明書発行失敗時は、対象FQDNだけでなく親ドメイン側のCAA、委任先ゾーン、権威DNS差分を確認します。社内外DNSで値が違う場合もあります。
- 対象FQDNと親ドメインのCAAを確認する。
- 委任されたサブゾーンの値を確認する。
- 権威DNSへ直接問い合わせる。
通知と変更手順を決める
CAAのiodefを使うと、発行ポリシー違反などの通知先を示せます。ただし、通知を受け取る運用がなければ活用できません。
CA切替や証明書自動更新では、CAA変更、TTL、発行再試行、戻し手順を同じ作業計画に入れます。DNS変更と証明書発行を別々に扱うと、切替当日に詰まりやすくなります。
- iodef通知先の運用を確認する。
- CA切替前にCAAを変更する。
- TTLと発行予定時刻を合わせる。
変更証跡と引き継ぎ
CAA対応では、対象ドメイン、許可CA、変更理由、TTL、権威DNS確認結果、証明書発行結果を残します。DNSレコードだけでなく、どの証明書申請に効く変更かを明記します。
引き継ぎでは、DNS管理者、PKI管理者、Web基盤担当、関連語としてCA、CSR、DNS、権威DNSを残すと確認しやすくなります。
- 変更前後のCAA回答を保存する。
- 発行に使うCAと照合する。
- サブドメインへの影響を記録する。
関連語
同じ主要カテゴリの用語
DNS・名前解決の学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。