Windows ServerのDNS、DHCP、およびActive Directoryは、当初はエンタープライズのコアサービスを確実に担いますが、環境が拡大するにつれて設計上の限界に達し、一元的な可視性、自動化、および監査制御が失われてしまいます。Active DirectoryはDNSサーバーに依存しないため、チームはレプリケーションを中断することなく統合を行うことができます。 標準ツールでは対応しきれなくなった組織に対して、BlueCat Integrityは、複雑なマルチプラットフォーム環境全体にわたるDNS、DHCP、およびIPAMの完全な統合を実現します。
Microsoft DNSを「設定したら後は放っておけばよい」とみなすのは危険です。なぜなら、その稼働率は約90％にとどまるため、 高可用性サービスにとって許容できないレベルの信頼性をもたらすこと、また、DNSが障害を起こすと、Active Directory、認証、およびアプリケーション間トラフィックがすべて機能しなくなるためです。
Microsoft DNSはActive Directoryと連携して自動展開されるため、管理者は一度設定すればそれ以上手を加える必要がないという傾向があります。しかし、「機能性の高いIT組織において『90％のケース』というのは、ひどい指標です」。コールセンター、グローバルな負荷分散、および認証においては、そのようなギャップは許容できません。
DNSはネットワークの基盤となるバックプレーンです。社内外のあらゆるリソースがDNSに依存しており、Active DirectoryもDNSなしでは機能しません。適切に管理されたDNSは可視性も提供します。DNSファイアウォールは悪意のあるクエリを遮断し、DHCPやIPAMはネットワーク上で誰がアドレスを要求しているかを明らかにします。
Read article
When organizations don't leverage the power of DNS, they're missing out on network security, visibility, etc. How can we convince executives they need DNS?
DNSはクエリを階層的に解決します。キャッシュされた回答を持たない再帰サーバーは、正しいトップレベルドメイン（TLD）サーバーを特定するためにルートサーバーにクエリを送信し、 権威ネームサーバーへの参照を追跡し、設定されたTTLに従って結果をキャッシュします。
ルートDNSサーバーは階層構造の最上位に位置し、すべてのトップレベルドメインを列挙するルートゾーンを提供し、IANAによって管理されています。「ルートDNSサーバーは、文字通りインターネット全体のDNSを稼働させるサーバーであり」、「ルートDNSサーバーがなければ、インターネットは機能しなくなる」のです。
ルートサーバーは13台しかないように見えますが、これは当初のIPv4の制限によるものです。現在、これら13の論理ホスト名のそれぞれは、高可用性を備えた世界中に分散したクラスタの背後に配置されています。このチェーンとそのキャッシュ動作を理解することが、あらゆる解決失敗を診断するための基本となります。
Read article
DNS root servers are authoritative servers that direct top level domain queries and list the 13 root hostnames, operators, and IP addresses.
ネットワークの変更は影響範囲が不釣り合いに広いため、またDNSがほぼすべてのサービスの基盤となっているため、まずネットワークチームが非難の対象となります。 その結果、DNSに関する誤解が、IT部門全体において誤った診断、責任のなすり合い、インシデント解決の遅延を招いています。
「『Mean Time to Innocence（無実が証明されるまでの平均時間）』という概念がありますが、これは冗談のようですが、事実でもあります。『原因がネットワークではないと証明されるまでは、常にネットワークが原因だ』というものです。」たった一つの変更が全員に混乱をもたらす可能性があるため、ネットワークエンジニアは慎重かつ防御的になり、組織内のサイロ化を助長してしまうのです。
DNSは環境の「酸素」と表現されることがあります。問題は、Active Directoryの信頼関係の問題など、アプリケーションや認証の障害として表面化します。現代の動的なインフラストラクチャではネーミングが不可欠であり、ネットワークに関する基礎知識と、役割を横断した共通言語の必要性が高まっています。
Read article
In the spirit of breaking down barriers, IT professionals discuss guilty networks, speaking up the stack, and essential career skills.
いいえ。Active DirectoryはAD統合型DNSを必要としません。Active DirectoryはDNSサーバーに依存せず、そのDNS更新メカニズムを適切にサポートするあらゆるプラットフォーム上で正常に動作します。 SRVレコード、およびセキュアな動的更新。
「Active DirectoryはAD統合DNSでのみ機能する」という根強い誤解があります。専門家のガイダンスは、「Active DirectoryはAD統合DNSでのみ機能するという誤解を否定」し、「Active DirectoryがDNSシステムに実際に何を求めているかを明らかに」しています。
ADに真に必要なのは、特定のベンダーの統合モデルへの強固な結合ではなく、そのDNS更新メカニズムに対する適切なサポートです。確立されたベストプラクティスに従い、代替プラットフォーム上でAD DNSをホストすることで、ADの機能を損なうことなく、運用面およびアーキテクチャ上のメリットが得られます。
Read article
Graham Lockwood, Senior Solution Architect at BlueCat, discusses what Active Directory really needs from a DNS system and denounces AD and DNS myths.
DNSSECとDNS over HTTPSは、それぞれ異なる問題を解決します。DNSSECは信頼の連鎖を通じてDNSデータの完全性を認証するのに対し、DoHはプライバシー保護のためにDNSの転送を暗号化します。 どちらも、複雑さ、鍵管理、およびエンタープライズレベルの可視性に関して、運用上のトレードオフをもたらします。
DNSSECは、個々のレコードではなくレコードセットに署名します。ゾーン署名鍵がRRSIGレコード内の署名を生成し、鍵署名鍵がDNSKEYに公開された公開鍵を検証し、親ゾーン内のDSレコードが各レベルを信頼の連鎖として結びつけます。 いずれかのリンクで検証に失敗した場合、リゾルバーは偽造された応答をクライアントに渡すのではなく、SERVFAILを返します。セキュリティ上の利点は大きいですが、運用面においてチームは行き詰まってしまいます。「DNSSECは信頼の連鎖を通じて発信元認証を提供しますが、設定や保守が困難です。」 ゾーンに変更があるたびに再署名が必要となり、鍵の定期的および緊急のロールオーバーも必要で、たった一つのミスでゾーンが利用不能になってしまう。
DoHは逆の仕組みで動作します。プライバシー保護のために転送中のDNSを暗号化しますが、これにより「平文のDNSに依存する従来のエンタープライズ監視を妨げ」、エンタープライズの管理外にある少数のパブリックリゾルバーに解決処理が集中してしまいます。 DNS Flag Dayは、コンプライアンスを強制する機能として、これら両方の取り組みと並行して機能します。これは「本質的に、DNSプロバイダーに対し、古くなった、あるいは故障した、コンプライアンスに準拠していないシステムを撤去するよう促す警鐘」でした。
Read article
DNSSEC authenticates DNS queries and responses by using cryptographic digital signatures. Learn more and how BlueCat can help to make implementation easier.
各チームは、DNS、DHCP、およびIPAMを単一の「真実の源」として一元化し、単一の管理画面で管理できるプラットフォームを探すべきです。 セルフサービス型の自動化をサポートし、DNSSEC、フェイルオーバー、ネットワークセグメンテーションといったコンプライアンス要件を全環境にわたって徹底します。
「共有サービスアーキテクチャには規模と複雑さが伴うため、分散型DNSでは扱いにくく、エラーが発生しやすくなる。そのため、一元化されたDNSが必要となる。」 共有サービスに関する分析が指摘するように、DNS に関して複数の「真実の源」を維持することは、「エラーに起因するネットワーク障害というトラブルを招くだけであり、その解決には多大な時間を要する」ことになります。これは、前述した断片化とは正反対の状況です。
このプラットフォームは、自動化とDevOpsのためのセルフサービスプロビジョニングを提供し、ハイブリッドおよびマルチクラウド環境全体でDNSを統合し（クラウドごとのインスタンスに分断されることなく）、さらに「DNSSEC、フェイルオーバー機能、ネットワークセグメンテーションなどの標準要件に準拠したネットワークを実現」する必要があります。
Read article
DNS is not only a key foundation of shared IT services, but also delivers the functionality which makes those shared services thrive. 
MicrosoftのネイティブDNSおよびDHCPでは対応しきれなくなったチームは、分散したWindowsサーバーをエンタープライズDDIプラットフォーム「BlueCat Integrity」に置き換えることで統合を図り、DNS、DHCP、およびIPAMの管理をエンタープライズガバナンスの下に統合しています。 Active DirectoryはDNSサーバーに依存しないため、ADゾーンはダウンタイムなしで段階的に移行できます。
IntegrityはBlueCatの中核となるDDIソフトウェアスイートであり、Address Managerと分散型のBlueCat DNS/DHCPサーバーを組み合わせることで、断片化されたDNS、DHCP、IPAMを単一の信頼できる情報源に統合するとともに、企業全体にわたるデバイス、ユーザー、IPアドレスの関係性に関する洞察を提供します。 ハブ・アンド・スポーク型アーキテクチャにより、大規模な統合が現実的になります。1 台のエンタープライズグレードのアプライアンスが、追加のインフラコストをかけずに数千台の DNS/DHCP サーバーを管理し、1,000 台以上のサーバーが N-2 リリースサポートの下で 1 台の Address Manager に接続されます。また、このモデルは、一括切り替えではなく段階的なアップグレードに対応しています。
ガバナンスは、プラットフォームの上に重ねられるのではなく、プラットフォームに組み込まれています。ロールベースのアクセス制御により、異なる権限レベルを持つ複数の管理ユーザーが定義され、ネットワークテンプレートとIPモデリングツールが一貫性を確保し、ベンダーに依存しないRESTful OpenAPIが操作を自動化に公開するため、プロビジョニングはもはやチケットに依存しなくなりました。 DNSおよびDHCPのフェイルオーバーにより、IPv4とIPv6の両方で稼働時間を維持し、バックアップおよびリカバリのオプションはオンプレミスとクラウドの両方の展開をカバーし、Prometheusベースのリアルタイムメトリクスにより、ダウンタイムになる前に問題を可視化します。
あるグローバルメーカーは、Microsoft DHCP を置き換え、27 箇所の生産拠点にまたがる約 15,000 の IP アドレスを単一の管理コンソールで一元管理するようになりました。
Read article
BlueCat Integrity X is a software suite that centralizes and automates mission-critical DNS, DHCP, and IP address management (DDI) services across…
Read article
Tame network complexity with Integrity's full-stack DDI management platform and get visibility and control over your DNS, DHCP, and IPAM.
適切な道筋は、環境の規模やガバナンス要件によって異なります。その範囲は、信頼性のギャップの定量化から、統合DNSからのActive Directoryの分離、さらにはガバナンスの確立されたDDIプラットフォームへの企業全体の統合に至るまで多岐にわたります。
Windows Serverのネットワーク基礎機能やエンタープライズDDIの統合を検討しているチームから寄せられるよくある質問。
まだご質問がありますか？
BlueCatの担当者から具体的な回答を得ましょう。
