組織ドメインとサブドメインを分けるメリット
- 柔軟なポリシー管理: 組織ドメインとサブドメインで異なるDMARCレコードを使用することで、異なるポリシーを独立して設定できます。たとえば、組織ドメインではDMARCポリシーを “none” に設定しておき、同時にサブドメインではDMARCポリシーを “quarantine” や “reject” に設定することができます。このようにポリシーを細かく制御することで、各ドメインに最適なセキュリティレベルを確保できます。
- セキュリティ強化: サブドメインには、組織ドメインよりも制御が難しい可能性があります。例えば、外部のユーザーが独自のサブドメインを作成したり、サブドメインを利用してメールを送信したりすることがあるかもしれません。このような場合、サブドメインでより厳格なDMARCポリシーを適用することで、不正な活動やドメインの乗っ取りを防止できます。
- ドメインの独立性: 組織ドメインとサブドメインで異なるDMARCレコードを使用することで、それぞれのドメインの独立性を維持できます。例えば、異なるビジネスユニットや部門が独自のサブドメインを持っている場合、それぞれのサブドメインが独自のセキュリティポリシーを持つことが可能です。
- 問題の特定とトラブルシューティング: 組織ドメインとサブドメインで異なるDMARCレコードを使用すると、問題が発生した際にトラブルシューティングしやすくなります。たとえば、特定のサブドメインでDMARCエラーが発生している場合、そのサブドメインのDMARCレコードを確認してポリシーや設定を調整しやすくなります。
- レポートの精度向上: 組織ドメインとサブドメインで異なるDMARCレコードを使用することで、それぞれのドメインに対するDMARCレポートを個別に受け取ることができます。これにより、ドメインごとのメールの配信状況やセキュリティの評価がより正確に行えます。
これらのメリットを考慮すると、特に大規模な組織や複数のサブドメインを持つ組織では、組織ドメインとサブドメインで異なるDMARCレコードを使用することがセキュリティと管理の面で有益であると言えます。ただし、DMARCの設定や管理には理解と慎重さが必要なので、適切な対策を検討することが重要です。
パターンごとのDMARCレコード構成
親ドメインとサブドメインのDMARCレコードの設定方法
1. 親ドメイン（組織ドメイン）のDMARCレコードの設定
親ドメインのDMARCレコードは、例えば以下のような形式になります：
v=DMARC1; p=none; rua=mailto:your@email.com; ruf=mailto:your@email.com
この例では、以下のパラメータが設定されています：
- v (Version): DMARCのバージョンを示す。
- p (Policy): ポリシーを “none” に設定。DMARCレポートのみを受け取り、メールの配信は変更されない。
- rua (Aggregate Report URI): DMARCレポートを送信するメールアドレス。
- ruf (Forensic Report URI): フォレンジックレポートを送信するメールアドレス。
このDMARCレコードは、親ドメイン（組織ドメイン）のDNSレコードに追加されます。
2. 子ドメイン（サブドメイン）のDMARCレコードの設定
子ドメインのDMARCレコードは、例えば以下のような形式になります：
v=DMARC1; p=quarantine; rua=mailto:your@email.com; ruf=mailto:your@email.com
この例では、以下のパラメータが設定されています：
- v (Version): DMARCのバージョンを示す。
- p (Policy): ポリシーを “quarantine” に設定。DMARCポリシーに違反したメールはスパムフォルダに移動される。
- rua (Aggregate Report URI): DMARCレポートを送信するメールアドレス。
- ruf (Forensic Report URI): フォレンジックレポートを送信するメールアドレス。
このDMARCレコードは、子ドメイン（サブドメイン）のDNSレコードに追加されます。
手順の概要:
- 組織ドメイン（例：example.com）のDNSレコードに、親ドメイン用のDMARCレコードを追加します。
example.com. TXT "v=DMARC1; p=none; rua=mailto:your@email.com; ruf=mailto:your@email.com" - サブドメイン（例：subdomain.example.com）のDNSレコードに、サブドメイン用のDMARCレコードを追加します。
subdomain.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:your@email.com; ruf=mailto:your@email.com"
これにより、組織ドメインとサブドメインで異なるDMARCポリシーを設定し、それぞれのドメインに対してセキュリティレベルを調整できます。
ただし、上記の例は一般的な形式であり、実際の設定にはドメインの管理者が使用するDNSプロバイダーまたはDNS管理ツールの仕様に合わせて記述する必要があります。ドメインの管理者がDNSレコードを変更する際には、注意して設定を行うことが重要です。また、DMARCレコードを設定する際には、慎重にドメインのセキュリティ要件やビジネスニーズに合わせて設定を調整することが推奨されます。
コメント