2021 年 4 月 9 日
⾧崎県立大学情報システム学部教授 岡田 雅之
権威 DNS サービス調査 調査報告書
2020 年 4 月から実施の、⾧崎県立大学 岡田研究室と日本 DNS・オペレーターズ・グループの有志（dnsops.jp の有志）による共同研究である権威 DNS サービス調査について報告する。
1.

調査結果の概要
調査の進捗として、3 段階のフェーズに分割し研究を遂行することとなった。第一段階
では、dnsops.jp の有志と議論の上で決めた権威 DNS サービス事業者の調査を行った
ところ、それぞれのサービス仕様、詳細については用語・情報表記が提供事業者ごとに独自であった。そのため第一段階では、リストアップした事業者のサービスを Web などで情報収集することとなった。
第二段階では、各事業者のサービスをさらに深く調査し、別紙に定める様々な機能について一般的情報から得られる範囲で情報を取得し公開した。
これまでの調査結果から、各事業者の公開情報から収集する情報では現実的なサービス状況の把握は困難と考え、研究主体が自ら実際のサービスを利用することでその利用感、実態を把握することに至った。実際のサービス利用にあたっては相当に調査工数が必要と考えられることから、リストアップされたサービスから 6 社をピックアップし詳細な調査を行った。その結果、6 社はそれぞれ権威 DNS サービスについて様々な利用者を想定の有益なサービスを提供しており、その結果を報告会にて報告することとなった。

2.

調査手法
各段階における調査手法は次の通り。

2.1.

第一段階
dnsops.jp 有志と⾧崎県立大学による調査対象を決定するための議論を行い、12 社の権威 DNS サービスを調査することとした。調査の開始後、想定以上の調査時間を要したため、主観的に、特に注目が予想される権威 DNS サービスを複数ピックアップし調査を行った。その時点での調査結果は dnsops summer days 2020 において情報共有を行った。
2.2.

第二段階
第二段階では、権威 DNS サービスの調査にある程度習熟したこともあり、対象としたサービス提供会社 12 社のサービスを Web 公開情報から収集し整理した。第二段階の調査結果は 2020 年 11 月の InternetWeek2020 dnsops.jp BoF にて報告し、さらなる詳細情報の調査を求められた。

2.3.

第三段階
前回の報告では、実際に権威 DNS サービスを利用した場合にはどのような前提が想定されるのか、そのユーザーエクスペリエンスについて知りたいといった要望を得た。第三段階では、特に注目されると dnsops 有志が判断した 6 社を対象として調査を行った。
調査では、各事業者に所属するキーパーソンなど(いわゆる、人脈的なつながり)の手助けを得ることなく、すべて一般的なサービス利用窓口からサービス利用を行った。真正面からサービス利用を申し込むことで、本研究に携わる関係者の有利性を最小限にとどめ、実際にユーザが直面する可能性の高い現実に向き合うこととした。

3.

重点調査対象サービスの調査結果
重点調査対象サービスの結果については、別紙に定める機密性、完全性、可用性についてほぼ要件を満たしていることがわかった。一部、サービス利用開始における必要時間については賛否が分かれるところを、悪性サイトへ強力なサービスである権威 DNS サービスや付随する CDN サービスを提供することが無いよう、慎重な対応がなされていることも分かった。調査結果の概要は次の通り。
(ア) 別紙に定める調査仕様を、重点調査対象事業者はほぼ満たしている。満たしていない事項についても軽微な逸脱であり、調査仕様自体の改善により修正される程度の問題である。
(イ) どの事業者の権威 DNS サービスも、ある程度前提知識を持つ、教員、大学生(学部 4 年生)によりサービス設定、ゾーン設定が可能であった。
(ウ) 概ね、料金体系は明確でクエリ数、ゾーン数、レコード数などのパラメターを当てはめることにより、算出が可能であった。
(エ) DNSSEC のサービス提供については、サービス提供事業者が憂慮する懸案を根拠に提供を行わない旨を主張している事業者が、調査期間中にサービス提供開始を行う等、サービス提供に進展が見られた。また、1 社を除き DNSSEC の機能が提供され、実際に複数事業者の DNSSEC 機能を試用したところ、オンプレミスでの

DNSSEC 運用と比較し平易な運用で DNSSEC が導入できる展望を得ることができた。
(オ) しかしながら、DNSSEC の秘密鍵のエクスポートができないこと、調査対象事業者において、RRSIG を含むゾーンの転送が難しいこと、等から複数事業者のネームサーバの混在運用においては DNSSEC 運用が事実上難しいことも明確となった。
4.

調査結果の詳細版と今後について
調査結果の詳細については次の Google Spread Sheet に公開している。

https://docs.google.com/spreadsheets/d/1sM6r6pscUS4Ujngp2qQsreQNrUKFe3A
32GDavDMvbM4/edit#gid=0

本調査は重点調査対象において、権威 DNS サーバサービスを平易に利用することができ、課金体系も概ね明確であることが分かった。今後は、さらに調査対象を広めつつ、DNSSEC の機能などの詳細を継続して把握するべく調査を継続してゆきたいと考える。
調査結果のフィードバックについては次の QR コードからご指摘いただきたい。

・ユーザー用https://docs.google.com/forms/d/e/1FAIpQLSfHxB_qfOAKqhlcffkwRgnu4vwhYygGHusPkb0Vt4SI5ttlw/viewform
・事業者用
https://docs.google.com/forms/d/e/1FAIpQLSd4j3iW1bbnlaJOc4lEMlfUNU9GP
gDEMiNA-C0-jqnbqNa3OA/viewform5.

付記
本研究は、dnsops.jp の有志と⾧崎県立大学により、DNS Summer days 2020 への協賛金の一部を共同研究に必要な費用として実施した。
以上

別紙
権威 DNS サービス調査仕様素案 (v0.1)■背景
インターネットサービスの多様化により、サービス情報を提供する汎用デー タベースとして DNS の役割が増加している。それにともない新しいリソース レコードの定義や、既存リソースレコード(特に TXT レコード)のユースケース追加などが行われている。
一般的な組織の権威 DNS サーバ運用者は DNS プロトコルや新しいインターネットサービスの専門家ではないため、すべてのリソースレコードを理解し正しく設定できることは期待できない。現代においては、一般的な組織における権威 DNS サーバの自前運用は設定ミスや大量クエリによるサービス障害の原因となり得るため、推奨されない。
組織のシステム管理部門やサービス提供部門が、それぞれの目的に沿って適切な権威DNS を運用可能とするため、国内外で提供されている代表的な権威 DNS サービスの機能一覧作成が望まれる。
本調査は、そのような機能一覧となることを目的としている。
■調査項目
利用目的に沿って適切な権威 DNS サービスを容易に選択できるようになることを念頭に、以下の観点で権威 DNS サービスの機能を調査する。
(1) 機密性- ISO27017 対応- サービスコンソールへのログインに多要素認証が使えること- RBAC 機能があること- ゾーン転送に対応している場合、TSIG が使用可能であること- サブドメイン名ハイジャック対策の有無(2) 可用性- 権威 DNS サーバが地域的・ネットワーク的に異なる複数拠点に展開されていること- 適切な閾値でレスポンスレートリミットが可能であること- 他の権威 DNS サービスとセカンダリ構成をとることが可能なこと- 指定した地域でサービスが利用可能であること- SLA の規定があること- 更新処理が DR 構成になっていること（3)完全性- バックアップの有無、頻度、保存期間- DNSSEC に対応していること(鍵管理が可能であること)(4) 利便性- 専門知識を有しないユーザが目的のレコードに適切な設定を容易に行えること(GUI を備えるなど)- 大量のレコードを一括して登録可能であること(API を備えているなど)- リソースレコードのシンタックスチェックが可能であること- ゾーンデータの変更履歴を閲覧できること- 1 つ前の設定に容易に巻き戻しできること- Cname flattening に対応していること- コントロールパネルが多言語化(日本語化)されていること、もしくは平板な英語であること(5) リソースレコード- A,AAAA,CNAME,MX,NS,TXT,SRV はほぼ必須- CAA に対応していること- （DNSSEC に対応していれば）DS に対応していること(6) サポート- 運用レポートが作成されること- 技術的な QA のサポートが受けられること- 受付時間 (24H365D, 営業日 9 17 など）- 連絡手段（電話、メール、web、チャットなど）- コスト（問い合わせ１件あたりの追加コスト）- レスポンス時間に関する SLA の有無- 障害連絡方法（電話、メール、web、チャット）- 障害連絡時間に関する SLA の有無

(7) コスト・契約- 課金体系が明確であること- 契約期間や契約解除方法が明確であること→自動更新有り無し なども- 契約申し込みについてパターンを調査してもらう（ex. 個人 or 法人、 Web or 書類、 クレカ or 請求書 …
- 逆引きゾーンの登録に対応しているか（全て対応、自社 prefix のみ、非対応）【観点を確定したのち、各観点の調査項目をブレークダウンし確定する】
以上