Die Innovate Bank muss einschränken, welche Zertifizierungsstellen Zertifikate für ihre öffentliche Domain „banking-innovate.com“ ausstellen dürfen. Sie möchten DNS-Einträge veröffentlichen, die explizit nur DigiCert zur Ausstellung von Zertifikaten autorisieren. Welche Azure DNS-Änderung erfüllt diese Anforderung?

Ein CAA-Eintrag (Certificate Authority Authorization) ist der korrekte Mechanismus, um festzulegen, welche Zertifizierungsstellen (CAs) Zertifikate für eine Domain ausstellen dürfen. Der Tag "issue" gibt an, dass dieser Eintrag die Ausstellung von Zertifikaten steuert, und der Wert "digicert.com" autorisiert explizit DigiCert. Dieser Eintrag muss am Zonen-Apex (oder für eine Subdomain) in der öffentlichen DNS-Zone platziert werden. Ein TXT-Eintrag ist ein allgemeiner Texteintrag und wird von CAs nicht standardmäßig zur Autorisierung der Zertifikatsausstellung verwendet. NS-Einträge delegieren die Zuständigkeit für eine Zone oder Subdomain an andere Nameserver; sie steuern nicht die Zertifikatsausstellung. A-Einträge ordnen Domainnamen IP-Adressen zu und haben keine Funktion bei der CA-Autorisierung.