Site icon Mr. 沙先生

DNS 設定 CAA 記錄授權可簽發的憑證 (AWS ACM)

前陣子使用 AWS ACM 去申請 SSL 憑證,遇到公司的網域有設定 CAA 記錄而無法申請,所以來了解一下什麼是 CAA 記錄授權

在目前來說全球簽發 SSL/TLS 憑證的機構越來越多,記得已經過百個,也因此 SSL/TLS 憑證的安全性更受考驗,曾經在 2015 年時賽門鐵克 (Symantec) 因為誤發了憑證數量高達 3 萬多個,導致 Google 直接把 Symantec 的憑證安全等級降低,這對一個資安業者來說是非常大的商譽減損 (曾誤發憑證遭Google降安全評等,賽門鐵克把數位憑證業務賣了!)

CAA record 是定義在 RFC 6844 中,由 CA/Browser 在 2017 年時決議於 2017 年 9 月起強制所有憑證簽發的機構必須在簽發前先檢查 CAA 記錄,確保不會在簽發機構單方面的失誤而導致錯發,由 CAA 記錄更可以多一層 DNS Owner 的確認。

而 CAA record 分為兩種記錄:

用戶端可以用 dig caa 查看允許的機構

$ dig caa google.com

而在 AWS ACM 這個案例,就是必須要信任以下其中一個網域即可

另外把 AWS ACM 的 CAA 授權網域申請文件給貼上來「AWS Certificate Manager Configure a CAA Record

Exit mobile version