维护DNS服务时，通知上级服务进行变更是一项令人烦恼的任务。对于相对稳定的nameserver记录来说，这已经足够麻烦。然而，如果按照最佳实践操作DNSSEC，则需要定期生成密钥材料。这些材料随后需要发送给上级，以便其更新自己的记录。虽然一些服务提供更新API，但这些API往往具有供应商特定性，而且有许多服务要求用户手动通过会员门户更新/上传这些更改。dnsoperator-to-rrr-protocol是注册协议扩展（regext）IETF工作组的一个工作项目，它通过允许服务运营商通过DNS更改隐式地执行这些更新来解决这些问题，以及其他问题。这个过程通过客户端从上级服务请求令牌并将该令牌放入自己的DNS区域来启动，以证明其控制权。一旦完成，上级服务从子区域获取CDS/CDNSKEY记录，根据这些记录构建适当的DS记录，并将它们放置在相应的上级区域中。未来的DNSSEC状态和NS记录的更改将通过DNSSEC进行验证，以确保信任链的维护。
协议机制
该协议允许服务运营商通过DNS更改隐式地执行更新，从而减轻维护负担。客户端首先从上级服务请求令牌，并将该令牌放入自己的DNS区域，以证明其控制权。然后，上级服务从子区域获取CDS/CDNSKEY记录，并构建相应的DS记录，放置在上级区域中。通过这种方式，服务运营商可以在不要求客户访问上级服务门户或在该门户中执行操作的情况下，代表其客户运营和维护DNS服务。
数据与取舍
目前，一些APNIC成员仍在使用2012年生成的密钥。该协议对DNSSEC的依赖可能会帮助提高DNSSEC的普及率。APNIC工作人员通过编写协议的测试实现并调查潜在的测试部署场景来参与这一努力。原文未给出具体数据，但该协议的实施可能会减少因密钥过时而导致的安全风险。
实际意义
对于运维和网络工程师来说，该协议的实际意义在于简化了DNSSEC的维护过程，减少了手动更新记录的需要，提高了DNSSEC的普及率。这有助于提高网络的安全性，并减少因密钥过时而导致的安全风险。
结尾：该协议为第三方DNS运营商与注册商/注册机构之间的交互提供了一种新的机制，有助于简化DNSSEC的维护过程，提高网络的安全性。对于运维和网络工程师来说，了解并应用这一协议将有助于提高他们的工作效率，并确保网络服务的稳定性和安全性。
原文: APNIC Blog（2016-10-10）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog