Restrinja emissores com CAA

Adicione um registro CAA a uma zona do Edge DNS para que só as autoridades certificadoras indicadas emitam certificados para seu domínio.

Última atualização

Ver como Markdown Configurar agente

Você pode restringir quais autoridades certificadoras (CAs) podem emitir certificados para seu domínio com um registro CAA no Edge DNS, pelo Azion Console, pela Azion CLI ou pela Azion API. O registro abaixo, 0 issue "letsencrypt.org" no apex @, indica o Let’s Encrypt como a CA autorizada a emitir para example.com. Para conhecer todas as tags e formatos de valor do CAA, consulte Tipos de registro.

A interface que você escolher define os pré-requisitos e as etapas para adicionar o registro.

Pré-requisitos

  • Uma zona para seu domínio no Edge DNS. Para criar uma, consulte Crie, edite ou exclua uma zona.
  • Nenhum registro CNAME no nome que recebe o registro CAA. Um CNAME bloqueia todos os outros tipos de registro no seu nome.
  • A permissão Edit Edge DNS. Consulte Permissões de equipes.

Adicione o registro CAA

O registro fica em @, o apex, e por isso cobre example.com. Substitua example.com pelo seu domínio e letsencrypt.org pela CA que você autoriza.

O Certificate Manager solicita os certificados de um workload ao Let’s Encrypt. Enquanto ele emitir certificados para seu domínio, mantenha letsencrypt.org no registro. Para saber como ele os emite e renova, consulte Emissão e renovação.

Para adicionar o registro pela Azion CLI, salve o registro como caa.json:

{"name":"@","type":"CAA","rdata":["0 issue \"letsencrypt.org\""],"ttl":3600}

Em seguida, crie o registro a partir do arquivo. Substitua <zone-id> pelo ID da sua zona:

azion create dns-record --zone-id <zone-id> --file caa.json

O comando imprime o ID do registro:

Created DNS record with ID 100782

A zona contém o registro CAA. Passe o valor por --file: --rdata recusa um valor que contém aspas duplas.

Para adicionar o registro pela Azion API, envie uma requisição POST para o endpoint de registros da zona. Substitua <zone-id> pelo id da sua zona:

Shell
01curl -X POST https://api.azion.com/v4/workspace/dns/zones/<zone-id>/records \
02 -H "Authorization: Token [TOKEN VALUE]" \
03 -H "Content-Type: application/json" \
04 -d '{"name":"@","type":"CAA","rdata":["0 issue \"letsencrypt.org\""],"ttl":3600}'

Um 201 retorna o registro:

JSON
01{
02 "state": "executed",
03 "data": {
04 "id": 100180,
05 "description": "",
06 "name": "@",
07 "ttl": 3600,
08 "type": "CAA",
09 "rdata": ["0 issue \"letsencrypt.org\""],
10 "policy": "simple",
11 "weight": 255
12 }
13}

A zona contém o registro CAA. Cada CA que você autoriza é uma string em rdata, e as aspas duplas em torno do nome da CA são escapadas dentro da string JSON.

Para adicionar o registro pelo Azion Console:

Abra a página Edge DNS

Acesse Azion Console > Edge DNS.

Abra a aba Records da zona

Na página Zones, selecione a linha da zona e, em seguida, selecione a aba Records.

Selecione + Record

A gaveta Create Record é aberta.

Informe o nome do apex

Em Name, informe @. O Console adiciona o domínio para você, então nunca digite o domínio.

Selecione o tipo CAA

Em Record Type, selecione CAA - Certification Authority Authorization.

Mantenha o TTL

Mantenha TTL (seconds) em 3600.

Informe o valor

Em Value, informe 0 issue "letsencrypt.org". Para autorizar outra CA, adicione o valor dela em uma nova linha.

Selecione Save

O Console mostra Edge DNS Record has been created, e o registro CAA aparece na tabela Records.

Um registro CAA em um nome que contém um CNAME é recusado com 19018 CNAME Record Already Exists For Domain. Um CNAME em outro nome da zona não o bloqueia. Como qualquer alteração, o registro pode levar alguns minutos para chegar a todos os nameservers. Para saber como as respostas são armazenadas em cache, consulte Como o Edge DNS funciona.

Verifique o registro

Para consultar o nameserver da Azion diretamente, sem o cache do seu resolver, substitua example.com pelo seu domínio:

dig +short @ns1.aziondns.net example.com CAA

A resposta lista os valores do registro CAA. Se ela não listar nada, consulte Solucionar problemas de Edge DNS.

Próximos passos

Emissão e renovaçãoComo a Azion solicita um certificado Let's Encrypt para os domínios de um workload.Adicione o registro TXT do Let's EncryptAdicione o registro TXT que um desafio DNS-01 verifica.Tipos de registroAs tags issue, issuewild e iodef, além de outros valores de CAA.Adicione, edite ou exclua um registroAltere ou remova o registro CAA depois.