OpenDNSSEC a légèrement changé depuis mon article de blog (plus de 9 ans déjà :O). Notamment, la commande ods-ksmutil a été remplacée par ods-enforcer key.

Comme ça me gonfle de retrouver à tâtons chaque année les commandes à partir de mon tuto, je rédige ici la procédure 2022 pour un roulement de KSK avec OpenDNSSEC :

• Un roulement de KSK est prêt quand ods-enforcer key list -v affiche « ds-seen » sur une KSK. Perso, je note dans mon agenda la date à laquelle cela va arriver ;
  
  
• Le bureau d'enregistrement Gandi veut la clé publique, pas un enregistrement DNS de type DS. Pour l'obtenir : ods-enforcer key export --zone guiguishow.info --keytype KSK --keystate ready. BookMyName veut un enregistrement DS. Pour l'obtenir : ods-enforcer key export --zone guiguishow.info --keytype KSK --keystate ready --ds ;
  
  
• Ajouter la nouvelle KSK via l'interface web de Gandi. Ne pas se déconnecter après la manip' ;
  
  
• Attendre que la nouvelle clé soit publiée par le registre (entre 5 et 30 minutes). Vérifier avec dig @a0.info.afilias-nst.info. DS guiguishow.info. Pour obtenir le nom du serveur qui fait autorité sur la zone parente, utiliser dig SOA info.. Attention, certains registres, comme fr., utilise un master caché, donc il faut interroger les serveurs publics, identifiables avec dig NS <TLD> ;
  
  
• Quand la nouvelle clé est publiée dans la zone parente, l'indiquer à OpenDNSSEC : ods-enforcer key ds-seen --zone guiguishow.info --keytag <ID_NOUVELLE_CLÉ> ;
  
  
• Supprimer l'ancienne clé auprès du bureau d'enregistrement ;
  
  
• Attendre sa suppression de la zone parente en vérifiant comme ci-dessus ;
  
  
• Quand l'ancienne clé n'est plus publiée dans la zone parente, l'indiquer à OpenDNSSEC : ods-enforcer key ds-gone --zone guiguishow.info --keytag <ID_ANCIENNE_CLÉ> ;
  
  
• Tadaaaa.