SOAレコードとは？DNSゾーンの権限を解説

SOAは Start of Authority（権限の開始）の略です。SOAレコードは、ゾーンのエイペックスに必須のDNSレコードで、そのゾーンに関する管理情報とタイミング情報を保持しています。プライマリネームサーバーの名前、責任者の項目、シリアル番号、そしてセカンダリの権威サーバーが使ういくつかのタイマーを示します。ウェブサイトのIPアドレスを返すものではなく、一般的な状態の証明書でもありません。管理者や診断ツールは、ゾーンがどのようにバージョン管理されているか、セカンダリサーバーが更新の確認時期をどう判断しているかを理解するために、SOAのデータを調べます。その値は運用上のメタデータであり、DNSプロバイダーの管理モデルと整合している必要があります。

SOAレコードのフィールド

典型的なSOAレコードには、ゾーンのモデルにおけるプライマリのソースサーバーを示すMNAMEと、ゾーン管理者の連絡先情報をエンコードしたRNAMEが含まれます。さらに、シリアル番号、リフレッシュ間隔、リトライ間隔、有効期限の間隔、ネガティブキャッシュのTTL値も含まれます。具体的な表示はツールによって異なり、プロバイダーが管理するDNSでは、一部のフィールドが抽象化されたり、自動的に維持されたりすることもあります。RNAMEは、通常のメールアドレスの綴りではなく、DNSの構文を使います。従来は、エスケープされていない最初のドットが、アットマークを表します。ほとんどのユーザーは、このレコードを手動で編集する必要はありませんが、委任や同期の調査では役に立つことがあります。

シリアルは、運用上、最もよく話題になる値です。従来のプライマリ／セカンダリ構成のDNSでは、セカンダリサーバーが自分のシリアルをプライマリと比較し、プライマリのバージョンのほうが新しければ、更新を要求します。シリアルは必ずしも日付ではなく、汎用的なタイムスタンプとして解釈してはいけません。最近のプロバイダーは、独自のコントロールプレーンを通じてゾーンの更新を配布することがありますが、見えているSOAのシリアルは、異なる権威サーバーが同じバージョンを持っているように見えるかを判断する助けになります。シリアルが異なる場合は、プロバイダー内で想定される伝播を見込み、複製が壊れていると結論づける前に、プロバイダーが文書化している挙動を確認してください。

SOAとネガティブキャッシュ

SOAは、ネガティブキャッシュにも関わっています。ネガティブキャッシュとは、名前や要求されたレコードが存在しなかったという情報を、リゾルバーがどのくらい保持してよいかということです。実際に有効なネガティブキャッシュの存続期間は、DNSの標準とSOAのフィールドに従いますが、リゾルバーの挙動やプロバイダーの表示によって、ユーザーに見える内容が複雑になることがあります。これが、ゾーンが正しく設定されていても、新しく作成したレコードがすぐには現れないことがある理由の1つです。以前の否定の答えが、しばらくキャッシュに残っていることがあります。その間に同じリゾルバーでクエリを繰り返すと、同じく存在しない結果が表示されることがあります。別のリゾルバーに問い合わせるか、権威側のデータを確認すれば、キャッシュの影響と、レコードの欠落とを見分けやすくなります。

• ゾーンレベルの権限やシリアルの情報が必要なときに、SOAを調べます。
• ドメインにどのネームサーバーが委任されているかは、NSレコードで確認します。
• アドレスに関する問いにはAとAAAAを使います。SOAはアドレスのレコードではありません。
• シリアルの違いが障害を示すと決めつける前に、権威サーバー同士を比較します。
• プロバイダーが管理するSOAのフィールドは、運用上の影響を理解しないまま変更しないようにします。

SOA検索が役立つ場面

SOA検索は、権威サーバー間でレコードの変更が食い違って見えるとき、ゾーンが最近転送されたとき、あるいはネガティブキャッシュが新しい名前に関係しているときのトラブルシューティングに役立ちます。通常のウェブサイトの障害で、最初に行うチェックになることはまれです。まず影響を受けているホスト名とレコードタイプから始め、証拠がゾーンレベルの問題を示している場合にだけ、委任とSOAを調べます。SOAの応答では、ウェブサイトに到達できること、メールサーバーがメッセージを受け付けること、すべての再帰キャッシュが更新されたことを確認できません。

DNSデータの全体像はDNSレコードタイプの解説、キャッシュのタイミングについてはDNS TTLとはをご覧ください。的を絞ったDNS検索では、基本的な比較に必要な公開の応答を確認できます。SOAは本来の役割にとどめておいてください。ゾーンの権限と連携を記述するものであり、アドレス、メール、ポリシーのレコードは、それぞれ別の問いに答えます。この区別を押さえておけば、すべてのDNSフィールドをウェブサイトのアドレスの可能性があるものとして扱うよりも、SOAレコードがずっと理解しやすくなります。

SOAの値を当て推量で編集しない

マネージドDNSプラットフォームは、SOAのシリアルとタイマーを自動的に生成し、維持していることがよくあります。別のゾーンからシリアルをコピーしたり、プロバイダーのモデルを理解せずにタイミングの項目を下げたりしても、伝播が改善されないまま、混乱を招くことがあります。SOAデータを編集する前に、プロバイダーのドキュメントを確認し、手動での制御が許可されているかを判断してください。セカンダリDNSサービスが関わっている場合は、その転送とリフレッシュのワークフローが、サポートされている構成に従っていることを確認します。ほとんどのウェブサイトの所有者にとっては、SOAを変更するよりも観察するほうが役に立ちます。権威を比較し、シリアルを控え、プロバイダーに、サーバー同士が同じ状態に収束したかを尋ねてください。インシデントの証拠は保存しておきますが、自分で権威DNSを意図的に運用しているのでない限り、プロバイダーの同期の仕組みの一部であるフィールドは、DNSホストに管理させてください。