1. 更新する必要のあるレコードを表示します。ipa dns-update-system-records --dry-run コマンドを使用します。

   $ ipa dns-update-system-records --dry-run
    IPA DNS records:
      _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
      _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

2. 外部の DNS GUI を使用してレコードを更新します。

1. ipa dns-update-system-records --dry-run コマンドに --out オプションを付けて実行します。このオプションは、生成するファイルのパスを指定します。

   $ ipa dns-update-system-records --dry-run --out dns_records_file.nsupdate
    IPA DNS records:
      _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
      _kerberos-master._udp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

   生成されたファイルには、nsupdate ユーティリティーで使用可能な形式の必須の DNS レコードが含まれます。
2. 生成されるレコードは以下に依存します。
   • レコードが更新されるゾーンの自動検出
   • そのゾーンの権威サーバーの自動検出
   通常とは異なる DNS 設定を使用してる場合、またはゾーン委任がない場合は、nsupdate は適切なゾーンやサーバーを検出できないことがあります。その場合は、生成されるファイルの最初に以下のオプションを追加してください。
   • server で、nsupdate がレコードを送信する権威 DNS サーバーのサーバー名もしくはポートを指定します。
   • zone で、nsupdate がレコードを見つけるゾーンのゾーン名を指定します。
   例:

   $ cat dns_records_file.nsupdate
   zone example.com.
   server 192.0.2.1
   ; IPA DNS records
   update delete _kerberos-master._tcp.example.com. SRV
   update add _kerberos-master._tcp.example.com. 86400 IN SRV 0 100 88 ipa.example.com.
   [... output truncated ...]

手順32.1 TSIG を使用した nsupdate リクエストの送信

1. 以下の前提条件を満たしていることを確認します。
   • お使いの DNS サーバーが TSIG 向けに設定されている必要があります。サーバー設定の例については、BIND、PowerDNS、Knot DNS 1 + Knot DNS 2 + Knot DNS 3 を参照してください。
   • DNS サーバーとそのクライアントの両方に共有キーがある必要があります。
2. nsupdate を実行し、以下のいずれかのオプションで共有秘密を提供します。
   • -k では、TSIG 認証キーを提供します。

     $ nsupdate -k tsig_key.file dns_records_file.nsupdate

   • -y では、キーの名前と Base64 でエンコードされた共有秘密から署名を生成します。

     $ nsupdate -y algorithm:keyname:secret dns_records_file.nsupdate

手順32.2 GSS-TSIG を使用した nsupdate リクエストの送信

1. 以下の前提条件を満たしていることを確認します。
   • お使いの DNS サーバーが GSS-TSIG 向けに設定されている必要があります。サーバー設定の例については、BIND、PowerDNS、Windows DNS を参照してください。

   注記

   この手順では、Kerberos V5 プロトコルが GSS-API のテクノロジーとして使用されることを前提としています。
2. DNS 更新リクエストを送信するには、レコードの更新が可能なプリンシパルと認証を行い、nsupdate に -g オプションを追加して実行し、GSS-TSIG モードを有効にします。

   $ kinit principal_allowed_to_update_records@REALM
   $ nsupdate -g dns_records_file.nsupdate