1. 简介

1. 简介

[RFC7344] 通过让 child 发布描述候选 DS 参数的 CDS 和/或 CDNSKEY records, 自动化 DNSSEC delegation trust maintenance. [RFC7477] 指定 CSYNC records, 用于表示对 delegation 的 NS 和 glue records 的期望更新. Registries 和 Registrars 等 parent-side entities 可使用这些 records 更新 delegation 的对应 parent-side RRsets.

只查询一个 authoritative nameserver 在理想条件下可行, 但当 CDS/CDNSKEY/CSYNC RRsets 因 replication lag, KSK rollover, 或 multi-signer operation [RFC8901] 而在 authoritative nameservers 间不一致时会失败. 在 multi-signer setup 中, 单个 provider 不应能从 delegation 中移除另一个 provider 的 trust anchors 或 nameservers.

本文档要求 parent-side entities 在依据 CDS/CDNSKEY 或 CSYNC records 行动前, 确保 child 的 nameservers 之间具有 plausible consistency. 读者应熟悉 DNSSEC [RFC9364], 特别是 [RFC4033], [RFC4034], [RFC4035], [RFC7344], and [RFC7477].

1.1. 需求表示

本文档中的关键词 "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "NOT RECOMMENDED", "MAY", and "OPTIONAL" 只有在全部大写出现时, 才按 BCP 14 [RFC2119] [RFC8174] 中的描述解释.

1.2. 术语

Multi-provider setup 是多个 providers 独立为一个 domain 运行 authoritative DNS service 的组合. Multi-signer setup 是针对 DNSSEC-enabled domain 的 multi-provider setup, 其中有多个独立 signing entities [RFC8901]. 其他术语遵循 [RFC7344].