# 新しいサーバー向けのドメイン、DNS、TLS カットオーバーランブック | SwissOctet Insights https://swissoctet.com/ja/insights/dns-tls-cutover-runbook/ SwissOctet / インサイト / Web & onion Web & onion 応用 · 4分で読めます 新しいサーバー向けのドメイン、DNS、TLS カットオーバーランブック ホスト名のルーティング、証明書、ロールバックをまとめて準備し、移行によってサイトのアイデンティティや安全な接続を壊すことなくサーバーを変更できるようにしてください。 SwissOctet編集部 ガイドを保存 リンクをコピー このページの内容 01 名前と依存関係を棚卸しする 02 新しいサーバーでホスト名ルーティングを準備する 03 証明書の検証方法を選択する 04 DNS を変更する前にキャッシュ期間を計画する 05 DNS と TLS を個別に検証する 06 ロールバックもデータの判断にする 07 切り替え後にサイトを観察する 実践チェックリスト 出典と参考資料 ライブラリに戻る 直接の答え 意図したホスト名用にサーバーと証明書を準備し、公開 DNS を変更する前にアプリケーションをテストし、移行中は古い環境を利用可能な状態に保ってください。権威レコード、キャッシュされた応答、TLS を個別に検証してください。DNS の更新だけでは、正しいアプリケーションと証明書が提供されていることを確認できません。 01 名前と依存関係を棚卸しする メインドメイン、エイリアス、API エンドポイント、アプリケーションコールバックを含む、サイトが使用するすべてのホスト名をリストアップしてください。登録と権威 DNS を誰が管理しているかを記録してください。アプリケーションをホストしても、そのドメインが自動的に登録されたり、サーバー運営者にそのレコードの管理権が与えられたりするわけではありません。新しい環境が検証されるまで、既存環境へのアクセスを保持してください。 移行で保持すべきメールおよび第三者検証レコードも特定してください。ウェブサイトの移行では、DNS ゾーン全体を安易に置き換えるべきではありません。意図したアドレスとロールバック値を含むレコード単位の変更計画を作成してください。認証情報は非公開で保管してください。ランブックに必要なのは、実際のパスワードや API トークンではなく、担当者と手順です。 02 新しいサーバーでホスト名ルーティングを準備する 接続を受け取るマシンは、そのホスト名に対して意図したアプリケーションを提供する必要があります。公開ドキュメントルートを非公開の設定や認証情報から分離して、ウェブサーバーまたはホスティングパネルを適切に設定してください。サーバーのアドレス経由で到達する一般的なウェルカムページだけでなく、必要なすべての名前とリダイレクトをテストしてください。 公開変更の前に、意図したホスト名を新しいエンドポイントに送る制御されたテスト方法を使用してください。該当する場合は、ログイン、アップロード、アプリケーションが生成するリンクを確認してください。テスト中に本番のアクションを重複させる可能性のあるジョブは無効にしてください。テストでは、実際のメール送信、支払い処理、古い本番データベースの意図しない変更を行うことなく、アプリケーションの動作を証明する必要があります。 03 証明書の検証方法を選択する 証明書の発行には、要求された名前に対する制御の証明が必要です。Let's Encrypt は検証方法として HTTP-01 と DNS-01 を文書化しています。HTTP 検証は、必要なチャレンジを正しく提供することに依存します。DNS 検証は指定された DNS レコードを使用し、ワイルドカード発行をサポートできます。実際のデプロイに適合し、安全に維持できる方法を選択してください。 可能な限り、検証用認証情報のスコープを狭く保ってください。DNS の自動化は、広範な DNS 認証情報が複数のウェブサイトに影響を与える可能性があるため、特に慎重に扱う必要があります。証明書の更新と、更新されたファイルが提供プロセスにどのように届くかを計画してください。初回の発行が成功することは有用ですが、サイトには機能する更新プロセスと、実際に提示している証明書の監視も必要です。 04 DNS を変更する前にキャッシュ期間を計画する DNS レコードには、リゾルバが応答をキャッシュする際に使用する Time to Live があります。レコードの変更は、キャッシュされたすべての結果を即座に置き換えるわけではありません。移行に短い TTL が有利な場合は、以前にキャッシュされた応答が期限切れになるのに十分な早さで調整を計画してください。設計した移行を処理できるよう、古い環境と新しい環境の両方を維持してください。 この例示的な手順は、準備と公開カットオーバーを分離しています。そのタイミングは、ドメイン、リゾルバの動作、アプリケーションに合わせて調整する必要があります。これは普遍的な伝播スケジュールではありません。ライブ書き込みを伴う移行には、アプリケーション固有のデータカットオーバーも必要です。そうしないと、2つの機能するウェブサーバーが異なるデータセットへの変更を受け入れる可能性があります。 段階 アクション 続行する前の条件 準備 レコードを棚卸しし、新しいエンドポイントを設定する アプリケーションが意図した名前で機能する 証明書 証明書を発行してインストールする 正しいチェーンとホスト名が検証される 移行 計画された DNS レコードのみを更新する データカットオーバーとロールバックが定義されている 観察 権威結果とクライアント結果を確認する ユーザージャーニーが新しいエンドポイントを通じて成功する 完了 検証後に古いサービスを廃止する 残存トラフィックと復旧ニーズを確認する 05 DNS と TLS を個別に検証する まず権威レコードを確認し、次に移行に関与するクライアントまたはリゾルバからの応答を比較してください。正しい権威値と古いキャッシュ値が共存することがあります。すべての接続がすでに新しいアドレスを使用していると仮定せず、ブラウザが到達するエンドポイントを検査してください。移行を理解できるよう、観察結果にタイムスタンプを付けてください。 TLS については、実際のクライアント接続を通じて、意図したホスト名、証明書の有効性、チェーンを検証してください。必要なすべてのエイリアスとリダイレクトパスを検査してください。Mozilla の TLS ドキュメントでは、サーバー認証と混合コンテンツの問題について説明しています。ページとそのサブリソースは安全に配信される必要があります。あるホスト名の証明書が、別のアプリケーションエンドポイントを自動的にカバーするわけではありません。 06 ロールバックもデータの判断にする DNS のロールバックはトラフィックをリダイレクトできますが、新しいアプリケーションで行われた書き込みを元に戻すことはできません。カットオーバー前にそのデータをどのように扱うかを定義してください。静的な公開の場合、ロールバックは簡単かもしれません。アップロードや注文を受け付けるサービスの場合、アプリケーションの状態には明確な担当者と調整手順が必要です。 コメント付きの小規模な出版サイトを移行することを想像してください。最終データをコピーする間、メンテナンス期間または制御された読み取り専用の移行を準備できます。再開手順をテストし、古いデプロイを準備しておいてください。DNS の変更を整合性計画の代わりとして使用するのではなく、アプリケーションに合ったアプローチを選択してください。 07 切り替え後にサイトを観察する 新しいエンドポイントがトラフィックを受信した後、実際のユーザージャーニー、エラー率、証明書の提示、バックグラウンドタスクを検証してください。バックアップが意図したアプリケーションとデータをカバーしていることを確認してください。廃止前に古いサーバーへのアクセスを確認し、復旧とロールバックのニーズが解決したら不要な認証情報を削除してください。最終的な DNS と証明書の設定を記録してください。 SwissOctet のウェブホスティングまたはコンピュートを選択する際は、その構成における実際のドメイン、証明書、管理責任を確認してください。カタログはホスティング先とリソースを提供しますが、ドメインがすでに接続されていることや、証明書の更新が設定されていることを確認するものではありません。デプロイ計画において、これらの手順を具体的かつ検証可能に保ってください。 行動に移す 実践チェックリスト。 ✓ すべてのホスト名を棚卸しし、無関係な DNS レコードを保持する。 ✓ 公開カットオーバー前にホスト名ルーティングをテストする。 ✓ 適切な証明書チャレンジを選択して自動化する。 ✓ TTL の変更とデータ移行を計画する。 ✓ 個別のチェックで DNS と TLS を検証する。 ✓ ロールバックアクセスを保持し、元に戻す前に新しい書き込みを解決する。 チェックリストをダウンロード よくある質問 重要な詳細。 A レコードを変更すると HTTPS が有効になりますか？ + いいえ。DNS はエンドポイントを選択しますが、そのエンドポイントには正しいホスト名ルーティングと、有効でインストール済みの証明書が依然として必要です。 何か問題が発生した場合、DNS レコードだけを元に戻せますか？ + トラフィックはリダイレクトできますが、アプリケーションの書き込みには別途対応が必要です。移行前にデータのロールバックまたは調整計画を定義してください。 ワイルドカード証明書は常に必要ですか？ + いいえ。実際のホスト名に応じて証明書の名前と検証を選択してください。ワイルドカードには特定のカバレッジと検証要件があり、普遍的な移行の近道ではありません。 主要参考文献 出典へ。 これらの参考文献は、このガイドの技術的概念をサポートしています。本番システムを変更する前に最新のドキュメントを確認してください。 Let's Encrypt: チャレンジの種類 letsencrypt.org IETF RFC 1034: DNS の概念と機能 datatracker.ietf.org Mozilla MDN: Transport Layer Security developer.mozilla.org SwissOctetによる編集ガイダンス。例は例示目的です。サービス仕様、利用可能なオプション、契約条件は別途確認する必要があります。 知識をつなぐ 関連インフラ。 Canvas Web スイス Vector VPS スイス Pulse NVMe スイス スレッドを維持 次のフィールドノート。 すべてのガイドを探索 フィールドノート / 01 + クラウドとVPS 基盤 推測せずにVPSを選ぶ方法 アプリケーションのアイデアを有用なリソース予算に変換し、CPU、メモリ、ストレージ、転送量をまとめて比較しましょう。 4分で読めます ガイドを読む フィールドノート / 02 + Web & onion 基盤 WebホスティングかVPSか: 自分が所有したい作業を選ぶ すべてのウェブサイトにとってVPSが自動的な次のステップであると扱うのではなく、アプリケーション要件、制御、メンテナンス責任を比較しましょう。 6 分で読めます ガイドを読む フィールドノート / 03 + Web & onion 応用 アプリケーションを見落とさずにオニオンサービスを公開する 制御されたバックエンドの公開、慎重なコンテンツレビュー、サービスキーの復旧、明示的なオーディエンスアクセスモデルを備えた、正当なオニオン公開を計画してください。 4分で読めます ガイドを読む