企业域名管理系统, 也就是那个英语叫做
这些事情包括什么, 包括域名的注册、解析、还有SSL证书的管理以及DNS的管理。把这些东西整合到一个统一的控制台里面去, 从而使得对域名的全生命周期可以做到看得见、管得住、控得稳。这是适用于那些每年管理的域名数量超过了50个的中大型企业, 也包括多品牌集团。
核心功能模块
目前人们所看到的那个情况, 就是在一套完整的企业域名管理系统通常来说的话它都是包含了这五个具体的功能模块的。
通过进行自动信息的同步操作, 能够把注册的具体资料记录下来, 这些具体的资料里就包含了到期的时候是哪一天、当前是由哪一位持有者所拥有、以及归属于哪一个特定的部门, 这样做的目的就是为了完全杜绝域名因为过期而丢失的这种风险状况发生。
解析与DNS管理: 这个功能支持批量进行修改, 比如说A记录、CNAME记录、MX记录等等这些类型的记录, 当做出变更操作的时候, 系统是可以审计的, 同时也可以进行回滚。
SSL证书的生命周期是这样一个过程, 就是在它快要到期之前, 系统会发出自动预警, 这个预警分成了三个档次, 一个是提前三十天, 一个是提前十五天, 还有一个是提前七天, 同时它还支持对那些需要进行续签的证书进行批量操作, 以及通过点击一次键的方法来把它们全部部署好。
在安全合规这一方面, 要把DNSSEC强制开启, 要是发现解析异常了就立刻进行告警, 还要把操作日志全部留下来并且留下痕迹, 这样才能满足等保还有行业里的审计要求。
通过提供开放的接口, API与自动化能够与企业现有的ITSM系统和CI/CD系统完成对接, 这样一来, 就可以让域名变更的流程实现自动化的管理。
选型三大关键标准
在选择型号的这个过程当中, 建议大家围绕着下面所提到的这三个主要的方面, 一个一个地去进行核对并且确认。
1. 功能覆盖度
需要来确认一下, 当前的这个系统它到底支不支持那个多注册商的聚合管理这个东西。同时还需要看清楚, 它能不能对gTLD还有那些各种各样由国家或者地区使用的后缀ccTLD进行统一的管理。
一个功能算比较完整的企业级的域名管理系统, 它应该要把从域名的注册开始、直到续费、再到解析处理, 以及后续证书的整个全链路都覆盖进去。这样做主要是为了去避免那种因为要使用好几套不同的工具拼凑在一起的情况, 从而导致了管理上出现的断层问题。
2. 安全与合规能力
重点核查工作之中需要关注的一个点, 是查看该系统是否支持DNSSEC技术。另外一个重点是看它有没有对操作步骤实施双因子认证。再有就是要看它有没有提供那种基于角色的细粒度权限控制方案, 专业术语叫RBAC。
还要看它是否具备完整的审计日志功能。对于那些属于金融行业或者政务领域的企业来说, 它们有一个必须要进行的确认动作, 就是去确定这套系统到底通没通过等保三级这一项标准。同时还要去确认这套系统是不是拿到了ISO 27001的认证证书。
3. 成本与扩展性
你要核算那个按照域名数量、还有功能模块以及API调用量来收钱的那个计费模式, 同时要警惕那些隐形的收费项目。同时你还要确认一下这个系统是不是支持私有化部署也好, 或者是混合云架构也好, 以及当你的域名规模翻倍了以后, 它有没有那种横向扩展的能力。
像市场上有的gname.xin这样的平台, 他们就提供面对中型企业的比较轻量级的方案, 这种方案可以让你根据需要去订阅, 也可以进行弹性的扩容, 这样就能很有效地把初始投入的门槛给降低了。
部署落地"三步走"
在这一步骤中, 也就是第1到2周的时间范围内进行资产盘点这个工作。首先要导出企业拥有的全部域名的清单。接着要对这些域名的归属部门还有到期时间进行梳理。最后再把这些信息导入系统里, 用来建立起一个基准的账目台账。
第二步（第3-4周）权限与流程配置。这个步骤是按照部门来划分管理角色的。还要设定变更的审批流程。具体的规定是, 如果是新注册的情况, 需要二级审批。如果是解析变更, 一级审批就可以。另外, 要配置告警阈值和通知渠道。
第三步（持续运营）: 每个月都会去执行一次域名巡检, 这个动作会检查解析是不是保持一致, 还有证书的有效期到没到期，以及Dnssec的状态怎么样。在每一个季度结束的时候, 还会再复核一下权限是怎么分配的, 同时也把审计日志重新审核一遍。
高频疑难与应对
跨注册商迁移这件事, 我们需要先提前72把域名给解锁了, 也就是把那个叫unlock的状态给弄好, 去拿到EPP转移码, 等迁移操作完成了以后, 要在48小时之内把这个NS切换的过程给弄完, 顺便验证一下解析有没有搞定。
微服务架构下面临子域名爆发式增长的问题, 我们采取通配符解析技术并配合统一的命名规范来进行操作。这样做可以避免逐个手动添加记录的情况发生。同时, 所选择的必须支持单条解析规则秒级生效的系统, 以确保能够及时调整解析策略。
证书管理混乱这一点需要解决, 具体做法就是把所有的证书全部放到系统的台账里面去进行统一管理, 然后把各个服务器本地的自动续期功能给关掉, 这样做的目的是为了让系统里的记录变成唯一正确的权威来源, 一旦到期了, 就由系统自己去触发那个续签的流程。
这个企业域名管理系统的本质是什么, 它实际上就是把那个被分散在各地, 像杂乱事务一样处理的域名, 给升级成了可以量化衡量, 可以进行审计检查的数字化资产, 所以, 如果你想要把那些安全风险真正关进制度的笼子里去, 你就必须要把对的工具选好, 并且要把相应的流程建设好。
