Échec de la validation de l'ancre de confiance DNSSEC suite au renouvellement de la CA racine interne

Question

Échec de la validation de l'ancre de confiance DNSSEC suite au renouvellement de la CA racine interne

Jean Martin 40

Les zones internes signées avec DNSSEC signalent des erreurs de validation sur les clients du domaine après la migration de l'autorité de certification (CA) racine de la PKI d'entreprise. Comment re-signer les zones DNSSEC et mettre à jour les ancres de confiance sur l'ensemble des serveurs DNS internes ?

Souhaitez-vous également les commandes précises (PowerShell ou BIND) pour effectuer cette opération sur votre infrastructure ?

0 commentaires

1 réponse

Votre réponse

Answer 1

BONJOUR Jean Martin

Pour résoudre cela et mettre à jour les ancres de confiance sur tous les serveurs internes, vous devez exécuter des commandes PowerShell spécifiques sur votre serveur maître de clé DNS. Ouvrez une invite PowerShell élevée et exécutez Remove-DnsServerTrustAnchor -Name « yourdomain.com » -Force pour purger complètement l'ancrage cassé. Pour appliquer la nouvelle, vous devez extraire l'enregistrement DNSKEY actif directement de la zone resignée et l'intégrer à la commande de création d'ancrage en exécutant Get-DnsServerResourceRecord -ZoneName « yourdomain.com » -RRType « DNSKEY » | Add-DnsServerTrustAnchor -Name « yourdomain.com ». Parce que l'ancre Trust est stockée dans la partition DNS de la forêt, Active Directory répliquera automatiquement cette clé mise à jour sur tous les autres serveurs DNS. Enfin, exécutez Clear-DnsServerCache sur les serveurs pour vider les échecs de validation précédemment mis en cache et forcer l'utilisation immédiate de la nouvelle ancrage cryptographique.

J'espère que cette réponse vous a apporté des informations utiles. Si c'est le cas, veuillez cliquer sur «** accepter la réponse **». Si vous avez des questions, n'hésitez pas à laisser un commentaire.

VPHAN