DNS do Azure: zonas públicas e privadas, registros, delegação e aliases
Entenda a resolução DNS, hospede zonas públicas e privadas, delegue um domínio registrado, gerencie conjuntos de registros e TTL e conecte dinamicamente o ápice da zona a recursos do Azure com aliases.
Tempo de estudo sugerido: 65 minutos • Nível intermediário • Reescrita autoral baseada no módulo fornecido do Microsoft Learn e corrigida pela documentação vigente do DNS do Azure
Por João Ricardo Dutra••Conteúdo autoral completo
1. Transforme um domínio registrado em um projeto hospedado no
Imagine que uma organização comprou wideworldimporters.com de um registrador e está construindo o novo site no . Falta a hospedagem autoritativa: os clientes da Internet precisam converter o nome amigável no endereço do serviço hospedado no .
O hospeda os registros na infraestrutura da Microsoft e usa a mesma identidade, , ferramentas, suporte e cobrança do restante do ambiente. Este capítulo cobre a tarefa inteira: fundamentos, zonas públicas e privadas, delegação, conjuntos de registros, aliases, validação e limpeza.
Explicar consulta recursiva, , autoridade, e .
Criar e delegar uma zona pública e depois configurar e testar registros.
Criar uma zona privada e vincular as redes virtuais autorizadas a resolvê-la.
Usar aliases para conectar dinamicamente o ápice da zona a recursos compatíveis do .
Executar os dois exercícios fornecidos sem confundir endereços de exemplo com valores de produção.
O administrador responde por toda a cadeia: nome, zona, registro, delegação, destino, validação e ciclo de vida.
2. O converte nomes memorizáveis em respostas roteáveis
O Sistema de Nomes de Domínio integra a família /. Ele associa nomes como www.wideworldimporters.com a informações consumidas pelos clientes, normalmente um endereço . Dispositivos encaminham pacotes por endereço; pessoas e aplicações trabalham melhor com nomes.
O é um diretório global, hierárquico e distribuído entre muitos servidores de nomes. Um servidor pode atuar como resolvedor, que procura respostas para clientes, como servidor autoritativo, que guarda os registros de uma zona, ou exercer ambos os papéis em uma arquitetura maior.
3. e autoridade explicam a resolução
O resolvedor consulta primeiro o temporário. Uma resposta armazenada evita outra busca global até o expirar. Sem uma resposta utilizável, ele percorre a hierarquia ou consulta outros resolvedores até alcançar o servidor autoritativo da zona. O resultado volta ao cliente e costuma ser armazenado; uma busca sem correspondência retorna erro de nome não encontrado.
Na rede corporativa, DHCP ou política local normalmente fornece o endereço do resolvedor .
Em hotel ou rede externa, o provedor de Internet ou a rede de acesso costuma fornecê-lo.
O acelera consultas repetidas e também explica por que uma alteração não aparece imediatamente em todo lugar.
Servidores autoritativos mantêm a base de registros dos domínios e subdomínios delegados a eles.
O responde depressa; a autoridade fornece a resposta de origem quando não há .
4. Registros A e ligam a e
Famílias de endereços usadas pelos registros de host.
Família
Formato
Registro
Exemplo
Quatro octetos decimais de 0 a 255
A
127.0.0.1
Oito grupos hexadecimais, com compactação válida
2001:db8:85a3::8a2e:370:7334
Uma interface pode possuir as duas famílias e o pode publicar ambas. A cadeia do material fornecido continha um caractere não hexadecimal; o exemplo acima é válido e evita memorizar um endereço inválido.
5. Zonas guardam registros tipados e conjuntos de registros
Tipos comuns aceitos pelo .
Tipo
Finalidade
A /
Associar um nome a um ou mais endereços / .
Associar um nome a outro nome canônico; não pode coexistir com outro tipo no mesmo nome.
MX
Identificar os servidores de troca de email do domínio.
TXT
Publicar texto arbitrário, inclusive validação, DKIM e política SPF.
NS
Identificar servidores autoritativos e delegar uma zona ou zona filha.
SOA
Descrever a autoridade e os parâmetros administrativos da zona.
PTR
Fazer o mapeamento reverso de um endereço para um nome.
SRV
Publicar localização, protocolo, porta, prioridade, peso e destino de um serviço.
CAA
Indicar quais autoridades certificadoras podem emitir certificados para o domínio.
Curinga
Responder por nomes correspondentes quando não existe registro explícito mais específico.
O administra registros em conjuntos: valores com o mesmo nome proprietário e o mesmo tipo compartilham um conjunto e um . Um conjunto A pode ter dois endereços de servidor. O padrão permite somente um SOA e apenas um por nome. O tipo SPF obsoleto não deve ser usado; publique SPF como TXT.
Nome mais tipo identifica o conjunto; ele pode conter vários valores quando o padrão permite.
6. O define a duração do , não uma promessa de propagação
Time to live define por quanto tempo um cliente ou resolvedor recursivo pode manter o conjunto antes de consultar novamente. No , o pertence ao conjunto. Um valor de 3.600 segundos significa uma hora. Valores menores podem antecipar alterações planejadas depois que antigos expiram, mas aumentam consultas e não obrigam todos os resolvedores a atualizar no mesmo instante.
7. O que o fornece — e onde fica o registro do domínio
O Público do fornece hospedagem autoritativa distribuída globalmente. A zona é um recurso do e integra do , de Atividades, bloqueios, ,, CLI do , e SDKs. Pode hospedar registros para serviços do e destinos externos.
Segurança: atribua funções de privilégio mínimo, audite alterações do plano de controle e proteja zonas críticas com bloqueios.
Consistência operacional: reutilize credenciais, automação, cobrança, suporte e práticas de implantação do .
Alta disponibilidade: o serviço autoritativo é distribuído pela infraestrutura global de servidores de nomes.
Limite de escopo: o hospeda e gerencia o domínio, mas normalmente não vende o nome. Compre por Domínios do ou por um registrador e delegue-o.
8. Correção atual: o Público do aceita
A página exportada afirma que o não aceita Extensões de Segurança do . Essa informação está obsoleta. Zonas do Público do podem ser assinadas com . A assinatura acrescenta registros criptográficos e uma cadeia de confiança para que resolvedores validem autoridade de origem, integridade e negação autenticada de existência, reduzindo respostas falsificadas.
não criptografa consultas nem substitui o controle de acesso. O administrador assina a zona e publica as informações DS exigidas no pai ou registrador conforme o procedimento vigente. O administra registros de assinatura como DNSKEY e RRSIG; DS e TLSA também são relevantes em zonas assinadas.
9. Crie a zona pública, obtenha os servidores e delegue o domínio
Crie a zona na assinatura e no grupo de recursos pretendidos, usando exatamente o nome público do domínio. A zona é global, embora o grupo tenha localização.
Leia o conjunto NS criado automaticamente e copie os quatro servidores de nomes do , incluindo o ponto final quando o registrador exigir um FQDN.
Entre no registrador e substitua os valores NS autoritativos pelos quatro servidores atribuídos àquela zona. Isso é delegação de domínio.
Aguarde o vencimento dos de delegação e consulte o registro SOA criado automaticamente com nslookup.
Depois de validar a delegação, adicione ou finalize os registros necessários para web, email e outros serviços.
Uma zona com o mesmo nome pode existir em outro grupo ou assinatura, mas terá servidores diferentes. O registrador precisa apontar para a instância exata que será autoritativa.
Criar a zona não muda a Internet; a delegação no registrador torna o autoritativo.
10. Verifique a delegação e configure registros de aplicação
Após a delegação, execute `nslookup -type=SOA wideworldimporters.com`. A resposta deve identificar um servidor primário atribuído pelo e os dados SOA. Dez minutos é uma espera mínima comum no tutorial, mas a convergência depende dos TTLs anteriores e dos .
Campos de dois conjuntos comuns.
Registro
Nome
Destino
A
Host relativo, como webserver1 ou www
Vida do do conjunto
Endereço do serviço
Alias relativo, como www
Vida do do conjunto
Nome canônico, como de aplicativo ou função
Não crie e A com o mesmo nome. O ápice já contém NS e SOA, portanto um convencional não cabe ali. Use um alias A/ quando um recurso compatível do precisar aparecer no ápice.
11. Zonas privadas resolvem dentro de redes virtuais vinculadas
O Privado do hospeda nomes que não são publicados na Internet e não requer registrador. Crie a zona privada — por exemplo, private.wideworldimporters.com — e um vínculo de rede virtual para cada VNet que deva resolver os registros.
Um vínculo de resolução permite consultar a zona sem registrar automaticamente nomes de VMs.
Com registro automático, o mantém registros A de VMs compatíveis na NIC primária quando elas são criadas, alteradas, paradas ou excluídas.
Uma zona privada pode vincular várias VNets; uma VNet resolve várias zonas, mas só pode ter registro automático em uma zona privada.
Zonas pública e privada podem compartilhar o nome para de horizonte dividido, respondendo conforme a origem.
Para resolução híbrida entre e ambiente local, o Resolvedor Privado de fornece encaminhamento de entrada e saída sem servidores em VMs.
O vínculo concede resolução; o registro automático é uma opção adicional de ciclo de vida.
12. Laboratório 1: pré-requisitos e segurança
O primeiro exercício opcional requer assinatura ativa e grupo de recursos. Ler o procedimento já ensina a tarefa; executá-lo cria recursos cobrados. Um grupo exclusivo facilita a limpeza se nenhum recurso compartilhado for colocado nele.
Use uma assinatura própria e autorizada; a referência antiga a sandbox pode não corresponder ao ambiente atual.
Use uma zona de teste exclusiva como wideworldimportsXXXX.com.
O endereço 10.10.10.10 é dado de documentação, não servidor público alcançável.
Nunca altere os NS de um domínio de produção para realizar o exercício.
13. Laboratório 1: crie a zona pública e inspecione os padrões
No , abra Zonas e escolha Criar.
Em Básico, selecione assinatura e grupo de recursos e informe o nome exclusivo da zona.
Revise, crie e abra o recurso depois da implantação.
Abra Conjuntos de registros. O criou NS e SOA no ápice automaticamente.
Anote os quatro valores NS, necessários para delegação real e teste direto do servidor autoritativo.
14. Laboratório 1: adicione um registro A e teste a resposta
Valores do exercício de registro A.
Configuração
Valor
Significado
Nome
www
Forma www.wideworldimportsXXXX.com.
Tipo
A
Mapeia ; use para .
Conjunto de aliases
Não
Armazena diretamente o endereço.
/ unidade
1 hora
Resolvedores podem manter a resposta por uma hora.
Endereço
10.10.10.10
Valor seguro de exemplo, não site roteável pela Internet.
Um conjunto A pode conter vários ; acrescente-os ao mesmo conjunto. Para testar sem possuir ou delegar o domínio de exemplo, consulte diretamente um servidor autoritativo no : `nslookup www.wideworldimportsXXXX.com ns1-xx.-.com`. A resposta esperada é 10.10.10.10.
Consultar diretamente um servidor atribuído valida a zona antes da delegação pública.
15. O ápice da zona exige tratamento especial
O ápice é o nome mais alto da zona: o próprio wideworldimporters.com. Também é chamado domínio raiz, domínio simples ou apex e costuma ser representado por `@` ou nome relativo vazio. NS e SOA já ocupam esse nome.
O padrão impede que um convencional coexista com esses registros. Conjuntos de alias resolvem cenários compatíveis de recursos do sem colocar um no ápice.
16. Registros de alias apontam dinamicamente para recursos do
Alias é uma qualificação aplicada a um conjunto A, ou . Em vez de armazenar endereço ou nome estático, o conjunto referencia um recurso compatível do ou outro conjunto do mesmo tipo na zona. O consulta o destino atual durante a resolução.
Destinos destacados pelo módulo e pela documentação atual.
Destino
Por que usar alias
Recurso de público SKU Standard
Acompanhar o ciclo do endereço sem valor A/ fixo.
Perfil do Gerenciador de Tráfego do
Colocar roteamento no ápice com alias A/, respeitando restrições atuais de externos.
de do
Expor site apoiado por no ápice onde não é permitido.
do
Usar domínio de marca no de front-end.
Outro conjunto da mesma zona
Referenciar conjunto do mesmo tipo e escolher quais registros são aliases.
O alias acopla a resolução ao ciclo de vida do recurso do .
17. Benefícios e restrições dos aliases
Evitar referências pendentes: excluir o destino esvazia o alias em vez de manter um endereço possivelmente reatribuído.
Acompanhar alterações de endereço automaticamente durante a resolução.
Hospedar aplicações balanceadas no ápice por um perfil compatível do Gerenciador de Tráfego.
Apontar o ápice diretamente a compatíveis de e .
Usar A, ou como tipo base; opções variam conforme o destino.
Registrar Microsoft.Network nas assinaturas da zona e do destino e conferir limites vigentes antes de projetos grandes.
18. Laboratório 2: implante o ambiente de destino do alias
O segundo exercício opcional coloca o site atrás de um balanceador de carga. No , clone `://github.com/MicrosoftDocs/mslearn-host-domain--.git`, entre no diretório, conceda execução a setup.sh e rode-o somente após revisar o script e confirmar a assinatura ativa.
O script cria , duas NICs, duas VMs, rede virtual, público, balanceador e regras e conecta as NICs ao pool de back-end. Guarde o recurso myPublicIP. Implantação e indexação no portal podem levar alguns minutos.
19. Laboratório 2: crie o alias no ápice e valide a carga
Valores do alias fornecido.
Configuração
Valor
Nome
Vazio, representando wideworldimportsXXXX.com no ápice
Tipo
A
Conjunto de aliases
Sim
Tipo de alias
Recurso do
Recurso do
myPublicIP
1 hora no formulário ilustrado
Abra a zona, adicione o conjunto e selecione myPublicIP. Se o recurso ainda não estiver listado, aguarde e atualize. Com domínio real delegado, resolva o nome do ápice. O exercício copia o público, abre-o no navegador e verifica na página qual das duas VMs atendeu a solicitação balanceada.
O aponta para o recurso do ; o balanceador escolhe um back-end íntegro.
20. Verificação de conhecimento e raciocínio administrativo
Respostas da verificação fornecida.
Pergunta
Resposta correta
Motivo
O que o permite?
Gerenciar e hospedar domínio registrado e seus registros.
O registro permanece no registrador; o fornece hospedagem e gerenciamento.
Quais controles de segurança foram destacados?
do , de Atividades e bloqueios.
Controlam acesso, auditam mudanças e protegem contra alteração ou exclusão acidental.
Qual registro associa um nome a um ou mais endereços?
A para ou para .
Vários endereços da mesma família podem compartilhar o conjunto correspondente.
21. Armadilhas da AZ-104 e correções atuais
O hospeda zonas; o domínio só aponta para elas depois da delegação aos quatro servidores exatos.
SOA e NS do ápice nascem e são excluídos automaticamente com a zona.
A mapeia ; mapeia ; mapeia um nome para outro nome.
Política SPF pertence a TXT, não ao tipo SPF obsoleto.
não coexiste com outro tipo no mesmo nome nem ocupa o ápice convencional.
controla , não uma hora exata de propagação global.
Zona privada usa vínculos de VNet, não delegação de registrador; registro automático é opcional.
Aliases são conjuntos A// que referenciam destinos compatíveis, não regras arbitrárias de redirecionamento.
Ao contrário do export antigo, o Público do aceita assinatura .
O antigo era inválido; grupos hexadecimais só aceitam 0–9 e a–f.
22. Revisão compacta, recordação ativa e recursos
Versão resumida de cada assunto principal.
Tópico
Lembre-se
Resolução
Consulte ; na falta, encontre autoridade; mantenha a resposta pelo .
Zona pública
Crie, copie quatro NS, delegue no registrador e verifique SOA.
