Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

防止 Route 53 中悬挂委派记录

使用 Route 53，客户可以创建托管区域（例如example.com）来托管他们的DNS记录。每个托管区域都附带一个 “委托集”，这是一组由四个名称服务器组成的集合，客户可以使用它们在父域中配置 NS 记录。这些 NS 记录可以称为 “委托 NS 记录” 或 “委托记录”。

为了使 R example.com oute 53 托管区域具有权威性，该域的合法所有者需要通过example.com域注册商在其 “.com” 父域中配置委托记录。如果客户无法访问在父域中配置的四个域名服务器，例如由于关联的托管区域被删除，则可能造成攻击者可以利用的风险。这被称为 “悬而未决的授权记录” 风险。

在删除托管区域的情况下，Route 53 可防止悬而未决的委托记录风险。删除后，如果使用相同的域名创建新的托管区域，Route 53 将检查指向已删除托管区域的委托记录是否仍存在于父域中。如果是，Route 53 将防止分配任何重叠的域名服务器。这是以下示例中的场景 1。

但是，还有其他悬而未决的委托记录风险，Route 53 无法防范这些风险，如以下示例中的场景 2 和 3 所详述。为了保护自己免受这些更广泛的风险，请确保父 NS 记录与为 Route 53 托管区域设置的授权相匹配。您可以通过 Route 53 控制台或者，找到托管区域的委托集 Amazon CLI。有关更多信息，请参阅列出记录或get-hosted-zone。

此外，除了上述最佳实践之外，为 Route 53 托管区域启用DNSSEC签名还可以作为另一层保护。DNSSEC验证DNS答案来自权威来源，从而有效防范这种风险。有关更多信息，请参阅在 Amazon Route 53 中配置DNSSEC登录。

示例

在以下示例中，我们假设您有一个域example.com及其子域child.example.com。我们将解释在各种情况下如何创建悬而未决的委托记录，Route 53 如何保护您的域名免受滥用，以及如何有效降低与悬挂的委托记录相关的风险。