ALIAS レコードと DNSSEC（DNSKEY による署名）は、両方に対応した DNS サービスの中で設定すれば併用できます。ただし ALIAS は標準のレコード型ではなく、DNS サービスがその場で A/AAAA の応答を作る独自機能なので、署名も DNS サービス側がその場で行える構成でなければ成り立ちません。この記事では、併用できる構成とできない構成の見分け方、設定の順番、設定後の確認方法、そして DNS サービスを移行するときの注意点を説明します。
ALIASレコードの仕組みをおさらいする
ドメインの頂点（example.com そのもの）には、NS や SOA と共存できないという規則のため CNAME を置けません。そこで、CDN や PaaS のホスト名を頂点で使いたいときに各社が用意したのが ALIAS 系の機能です。
- 名称はサービスによって異なる（ALIAS、ANAME、Alias レコード、CNAME フラットニングなど）
- 権威サーバーが行き先のホスト名を自分で解決し、その結果を A/AAAA として返す
- 問い合わせた側からは普通の A/AAAA に見え、ALIAS という型は外に出ない
標準化の議論はありましたが、ALIAS は各社独自の実装として扱うのが実態です（2026年10月現在）。そのため、設定の仕方や制限は利用している DNS サービスのドキュメントに従う必要があります。
DNSSECと組み合わせるときの前提
DNSSEC では、応答する A/AAAA に RRSIG（署名）を付ける必要があります。ALIAS の応答は行き先の IP が変わるたびに内容が変わるため、事前に署名しておくことができません。つまり併用には次の条件が揃っている必要があります。
- 権威サーバー自身が応答時に署名できる（オンライン署名）
- ALIAS と DNSSEC の両方を、同じ DNS サービスが提供している
この条件から、併用できない典型的な構成も分かります。
- 自前の BIND などで事前に署名したゾーンを、別会社のセカンダリー DNS に配信している構成。セカンダリー側は鍵を持たないため、ALIAS の応答に署名できない
- 複数の DNS サービスに同じゾーンを置く構成で、片方だけが ALIAS に対応している場合
大手のマネージド DNS には、DNSSEC と ALIAS 系機能を併用できるものがあります。一方で、DNSSEC を有効にすると ALIAS が使えなくなる、あるいは対応するプランや条件が限られるサービスもあるため、設定前に各社のドキュメントで「ALIAS と DNSSEC の併用」について明記されているかを確認してください。
設定の手順
作業前に、現在のゾーンのレコード一覧を管理画面のエクスポート機能などで保存しておきます。
1. ALIASを先に設定して動作を確認する
DNSSEC を有効にする前に、ALIAS が正しく動いていることを確かめます。問題の切り分けが簡単になるためです。
# 権威サーバーを確認
dig example.com NS +short
# 頂点の A/AAAA が行き先の IP を返すか
dig @ns1.example-dns.net example.com A +short
dig @ns1.example-dns.net example.com AAAA +short
# 行き先のホスト名を直接引いた結果と比べる
dig target.example-cdn.net A +short行き先の IP が複数あったり地域で変わったりする CDN では、両者の結果が食い違うこともあります。同じ系統の IP が返っていれば問題ありません。
2. DNSサービスでDNSSECを有効にする
DNS サービスの管理画面で DNSSEC（署名）を有効にします。有効にすると、レジストラに登録するための DS レコードの値（鍵ID、アルゴリズム、ダイジェスト種別、ダイジェスト）が表示されます。レジストラによっては DS ではなく DNSKEY の公開鍵の入力を求めるところもあるため、どちらを求められているかを確認してください。
3. レジストラにDSを登録する
DS の登録はレジストラ（ドメインを購入したサービス）で行います。DNS サービスとレジストラが同じ会社なら自動で登録されることもあります。値は手で写すと誤りやすいので、コピーして貼り付け、登録後にもう一度見比べます。
4. 署名付きでALIASの応答が返るか確認する
# 頂点の A に RRSIG が付いているか
dig @ns1.example-dns.net example.com A +dnssec
# 検証するリゾルバー経由で ad フラグが付くか
dig @1.1.1.1 example.com A +dnssec
# ローカルで検証する
delv example.com A頂点の A の応答に RRSIG が含まれ、検証リゾルバーの応答に ad フラグが付けば、ALIAS で作られた応答も正しく署名されています。通常の問い合わせが SERVFAIL で、+cd を付けると答えが返る場合は、DS の値の誤りなど DNSSEC 側の不備を疑います。
つまずきやすい点
行き先のドメインがDNSSEC未対応でも問題はない
ALIAS の行き先（CDN 側のホスト名）が DNSSEC に対応していなくても、自ゾーンの応答は自ゾーンの鍵で署名されます。利用者の検証は自ゾーンまでで完結するため、併用の可否には影響しません。ただし、権威サーバーが行き先を解決できない状態になると、頂点の A/AAAA が返らなくなる点は ALIAS 単体のときと同じです。
頂点にCNAMEを追加しない
ALIAS を置いた頂点に、別途 CNAME を作ろうとするとエラーになるか、ほかのレコードと衝突します。頂点は ALIAS、www は CNAME という分け方が一般的です。
TTLの扱いはサービスごとに違う
ALIAS の応答の TTL は、自分で設定した値ではなく行き先の TTL やサービスの方針で決まることがあります。IP の切り替えの反映時間を見積もるときは、実際の応答の TTL を dig で確認します。
DNSサービスを移行するときの注意
ALIAS は独自機能なので、ゾーンファイルのエクスポート・インポートで正しく移せないことがあります。さらに DNSSEC を有効にしたまま DNS サービスを移すと、移行先は別の鍵で署名するため、旧サービスの DS が残っている間は検証に失敗します。安全に進める一般的な順番は次のとおりです。
- レジストラから DS を削除し、DS の TTL 以上の時間を待つ
- 移行先で ALIAS を含むレコードを作り直し、権威サーバーに直接 dig して確認する
- ネームサーバーを切り替え、反映を待つ
- 移行先で DNSSEC を有効にし、新しい DS をレジストラに登録する
鍵を引き継ぐ方式（複数の事業者で署名を共存させる方法）もありますが、手順が複雑で対応サービスも限られます。多くの場合は、いったん DNSSEC を外して移す方法が現実的です。
まとめ
- ALIAS は各社独自の機能で、DNSSEC と併用するには、同じ DNS サービスが応答時に署名できる必要がある
- 事前署名したゾーンを別会社のセカンダリーに配る構成では併用できない
- ALIAS の動作確認 → DNSSEC 有効化 → DS 登録 → 署名付き応答の確認、の順で進めると切り分けやすい
- 移行時は DS を外して TTL の分待ってから移し、移行後に新しい DS を登録する