権威DNSの完全ガイド：仕組み・主要レコードから運用・冗長化・セキュリティ対策まで徹底解説
エバープレイ編集部はじめに — 「権威DNS」とは何か
インターネットにおける名前解決を担うDNS（Domain Name System）は、大きく分けて「権威（authoritative）サーバ」と「再帰的リゾルバ（recursive resolver）」に役割が分かれています。本稿では「権威DNS」とは何か、動作原理、関連するレコードや運用・セキュリティ上の注意点、確認方法までをできるだけ詳しく解説します。
権威DNSの定義と役割
権威DNSとは、あるドメイン（ゾーン）について正しいDNSレコードを持ち、公式な回答（権威ある回答）を返すDNSサーバのことです。具体的には、example.com のゾーンデータ（SOA、NS、A、AAAA、MX、TXTなど）を保持・管理し、その内容に基づいて問い合わせに対して答えます。権威サーバの回答は「non-authoritative（非権威）」なキャッシュ回答とは異なり、そのゾーンの原本（術語では“authoritative source”）に基づく真の情報です。
基本用語の整理
- ゾーン（zone）：DNSで管理される名前空間の単位。例：example.com のゾーンには example.com 以下のレコードが含まれる。
- SOA（Start of Authority）レコード：ゾーンの管理情報（シリアル、リフレッシュ間隔、リトライ、有効期限など）を保持する必須レコード。
- NSレコード：そのゾーンを担当する権威サーバの一覧。親ゾーンは子ゾーンに対する委任時にNSを登録する。
- グルー（Glue）レコード：委任先ネームサーバのホスト名が子ゾーン内にある場合、親ゾーンにIPアドレスを付与してループを回避するためのレコード。
- 権威応答 vs 非権威応答：権威サーバからの回答は authoritative; キャッシュされた結果は non-authoritative と表示される。
主な機能と仕組み
権威DNSサーバは、ゾーンファイル（静的に配置したファイル）やデータベース、API経由で提供されるゾーンデータを用いて応答します。運用形態としては一般に「マスター（プライマリ）／スレーブ（セカンダリ）」モデルが使われます。マスターがゾーンの原本を保持し、スレーブはAXFR/IXFRといったゾーン転送で同期します（AXFR: フル転送、IXFR: 差分転送）。
委任とグルーの役割
DNSの階層モデルでは親ゾーン（例：.com）に子ゾーン（example.com）が委任されます。親ゾーンは子ゾーンのNSレコードを持ち、クライアントはまずTLDのNSに問い合わせてから実際の権威サーバへたどり着きます。もし委任先ネームサーバが example.com のサブドメイン（ns1.example.com）のように子ゾーンの名前を使う場合、親ゾーンに該当ネームサーバのIP（グルー）を登録しておかないと名前解決の循環参照が発生します。
よく使われるレコードと権威応答の例
- A/AAAA：IPv4/IPv6アドレス
- CNAME：別名（Canonical Name）
- MX：メール交換レコード
- TXT：任意テキスト（SPFやドメイン所有確認などで利用）
- SRV：サービス位置情報
- PTR：逆引き（ただし逆引きゾーンは通常ISPやホスティング事業者が管理）
権威サーバはこれらのレコードの正本を提供し、問い合わせに対して「このレスポンスは権威ある（AAフラグが立っている）」ことを示すことができます。
キャッシュとの違いとTTLの重要性
再帰的リゾルバは権威サーバから得た結果をTTL（Time To Live）に従ってキャッシュします。これにより応答速度が向上しますが、キャッシュされた回答は「非権威（non-authoritative）」です。ゾーンオーナーはTTLを調整することでレコード変更の反映速度とDNSクエリ負荷のバランスを取ります。短TTLは変更を早く反映するが負荷増、長TTLは負荷低下だが反映が遅れるというトレードオフがあります。
運用上の設計と冗長性
権威DNSは可用性が極めて重要です。主な対策：
- 複数のネームサーバ（最低2台以上）を用意し、異なるネットワーク・地点に配置する
- Anycastによる地理分散（同一IPを複数ロケーションに配置）で応答速度と耐障害性を向上
- マスター/スレーブ構成で冗長化、ゾーン転送の保護
- 監視（応答時間、誤応答、シリアル不整合など）と自動アラート
セキュリティ対策
権威DNSには各種攻撃や誤設定リスクがあります。主な対策は以下のとおりです。
- DNSSEC：応答の整合性と改ざん検知を目的とした署名。公開鍵のチェーンを用いて権威応答の真正性を保証します（クライアント側の検証が前提）。
- TSIG：ゾーン転送や動的更新における認証（共有鍵）に利用される技術。
- ACLやIP制限：ゾーン転送(AXFR/IXFR)は必要な相手だけに限定する。
- レートリミティングや応答レート制限（RRL）：DDoSや反射攻撃緩和のための応答制御。
- Response Policy Zones（RPZ）：ブロッキング／リライティングポリシーで悪性ドメインを制御。
- ログの保全と監査：不正な更新や異常なクエリを検出するため。
運用時に注意するポイント
- SOAのシリアル管理：複数のマスターがある場合はシリアルの運用ルールを明確にする（例：日付+リビジョン、インクリメント方式など）。
- TTL切替の計画：大きな切り替え前には事前にTTLを短くして段取りを整える。
- 委任とグルーの整合：ネームサーバ名を移動・変更する際は親ゾーンのNS/グルーも忘れずに更新。
- ゾーン転送設定：AXFRを無制限に公開しない。必要なスレーブだけを許可する。
- テスト環境の分離：公開権威ゾーンとテスト用のゾーンを混在させない。
トラブルシューティングと確認コマンド
実際の運用で使う代表的なコマンド例（dig/host/nslookup）：
- 権威サーバの一覧を確認：dig NS example.com +short
- 特定サーバに直接問い合わせ（SOAを確認して権威か判別）：dig @ns1.example.com example.com SOA
- フルトレース：dig +trace example.com（ルートから辿る）
- ゾーン転送確認（許可された場合）：dig @ns1.example.com example.com AXFR
権威サーバからの応答には AA（Authoritative Answer）フラグやSOAの内容（シリアル、キャッシュ期限の指示）を確認して、応答が本当に権威由来かを判断できます。
近年の動向：クラウド、Anycast、マネージドDNS
パブリッククラウドやマネージドDNSサービスの普及により、Anycastを使った高速かつ耐障害性の高い権威DNS構成が一般的になりました。さらに、GeoDNSやレイテンシベースルーティング、APIによる動的なレコード操作といった機能が運用を容易にしています。一方で、サービス依存やベンダーロックイン、プライバシー・規制面の注意も必要です。
まとめ
権威DNSはインターネットの名前解決における「正本」を提供する重要なコンポーネントです。設計・運用に際しては可用性、整合性（DNSSEC等）、転送や更新の認証（TSIG）、監視・ログ、TTL設計といった多方面の考慮が必要です。トラブル時にはdig等のツールでSOAやNS、AAフラグを確認することが第一歩になります。
参考文献
- RFC 1034 - Domain Names - Concepts and Facilities
- RFC 1035 - Domain Names - Implementation and Specification
- RFC 1995 - Incremental Zone Transfer in DNS
- RFC 2136 - Dynamic Updates in the Domain Name System (DNS UPDATE)
- RFC 2845 - Secret Key Transaction Authentication for DNS (TSIG)
- RFC 4033 - DNS Security Introduction and Requirements
- IANA — Root Zone Database (Root servers)
- Cloudflare Learning - What is DNS?
投稿者プロフィール
