Merge from vendor branch TEXINFO:
[dragonfly.git] / contrib / bind-9.2.4rc7 / bin / dnssec / dnssec-signzone.html
1 <!--
2  - Copyright (C) 2004  Internet Systems Consortium, Inc. ("ISC")
3  - Copyright (C) 2001, 2003  Internet Software Consortium.
4  -
5  - Permission to use, copy, modify, and distribute this software for any
6  - purpose with or without fee is hereby granted, provided that the above
7  - copyright notice and this permission notice appear in all copies.
8  -
9  - THE SOFTWARE IS PROVIDED "AS IS" AND ISC DISCLAIMS ALL WARRANTIES WITH
10  - REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OF MERCHANTABILITY
11  - AND FITNESS.  IN NO EVENT SHALL ISC BE LIABLE FOR ANY SPECIAL, DIRECT,
12  - INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGES WHATSOEVER RESULTING FROM
13  - LOSS OF USE, DATA OR PROFITS, WHETHER IN AN ACTION OF CONTRACT, NEGLIGENCE
14  - OR OTHER TORTIOUS ACTION, ARISING OUT OF OR IN CONNECTION WITH THE USE OR
15  - PERFORMANCE OF THIS SOFTWARE.
16 -->
17
18 <!-- $Id: dnssec-signzone.html,v 1.4.2.4 2004/06/03 05:21:12 marka Exp $ -->
19
20 <HTML
21 ><HEAD
22 ><TITLE
23 >dnssec-signzone</TITLE
24 ><META
25 NAME="GENERATOR"
26 CONTENT="Modular DocBook HTML Stylesheet Version 1.73
27 "></HEAD
28 ><BODY
29 CLASS="REFENTRY"
30 BGCOLOR="#FFFFFF"
31 TEXT="#000000"
32 LINK="#0000FF"
33 VLINK="#840084"
34 ALINK="#0000FF"
35 ><H1
36 ><A
37 NAME="AEN1"
38 ><SPAN
39 CLASS="APPLICATION"
40 >dnssec-signzone</SPAN
41 ></A
42 ></H1
43 ><DIV
44 CLASS="REFNAMEDIV"
45 ><A
46 NAME="AEN9"
47 ></A
48 ><H2
49 >Name</H2
50 ><SPAN
51 CLASS="APPLICATION"
52 >dnssec-signzone</SPAN
53 >&nbsp;--&nbsp;DNSSEC zone signing tool</DIV
54 ><DIV
55 CLASS="REFSYNOPSISDIV"
56 ><A
57 NAME="AEN13"
58 ></A
59 ><H2
60 >Synopsis</H2
61 ><P
62 ><B
63 CLASS="COMMAND"
64 >dnssec-signzone</B
65 >  [<TT
66 CLASS="OPTION"
67 >-a</TT
68 >] [<TT
69 CLASS="OPTION"
70 >-c <TT
71 CLASS="REPLACEABLE"
72 ><I
73 >class</I
74 ></TT
75 ></TT
76 >] [<TT
77 CLASS="OPTION"
78 >-d <TT
79 CLASS="REPLACEABLE"
80 ><I
81 >directory</I
82 ></TT
83 ></TT
84 >] [<TT
85 CLASS="OPTION"
86 >-s <TT
87 CLASS="REPLACEABLE"
88 ><I
89 >start-time</I
90 ></TT
91 ></TT
92 >] [<TT
93 CLASS="OPTION"
94 >-e <TT
95 CLASS="REPLACEABLE"
96 ><I
97 >end-time</I
98 ></TT
99 ></TT
100 >] [<TT
101 CLASS="OPTION"
102 >-f <TT
103 CLASS="REPLACEABLE"
104 ><I
105 >output-file</I
106 ></TT
107 ></TT
108 >] [<TT
109 CLASS="OPTION"
110 >-h</TT
111 >] [<TT
112 CLASS="OPTION"
113 >-i <TT
114 CLASS="REPLACEABLE"
115 ><I
116 >interval</I
117 ></TT
118 ></TT
119 >] [<TT
120 CLASS="OPTION"
121 >-n <TT
122 CLASS="REPLACEABLE"
123 ><I
124 >nthreads</I
125 ></TT
126 ></TT
127 >] [<TT
128 CLASS="OPTION"
129 >-o <TT
130 CLASS="REPLACEABLE"
131 ><I
132 >origin</I
133 ></TT
134 ></TT
135 >] [<TT
136 CLASS="OPTION"
137 >-p</TT
138 >] [<TT
139 CLASS="OPTION"
140 >-r <TT
141 CLASS="REPLACEABLE"
142 ><I
143 >randomdev</I
144 ></TT
145 ></TT
146 >] [<TT
147 CLASS="OPTION"
148 >-t</TT
149 >] [<TT
150 CLASS="OPTION"
151 >-v <TT
152 CLASS="REPLACEABLE"
153 ><I
154 >level</I
155 ></TT
156 ></TT
157 >] {zonefile} [key...]</P
158 ></DIV
159 ><DIV
160 CLASS="REFSECT1"
161 ><A
162 NAME="AEN56"
163 ></A
164 ><H2
165 >DESCRIPTION</H2
166 ><P
167 >        <B
168 CLASS="COMMAND"
169 >dnssec-signzone</B
170 > signs a zone.  It generates NXT
171         and SIG records and produces a signed version of the zone.  If there
172         is a <TT
173 CLASS="FILENAME"
174 >signedkey</TT
175 > file from the zone's parent,
176         the parent's signatures will be incorporated into the generated
177         signed zone file.  The security status of delegations from the
178         signed zone (that is, whether the child zones are secure or not) is
179         determined by the presence or absence of a
180         <TT
181 CLASS="FILENAME"
182 >signedkey</TT
183 > file for each child zone.
184     </P
185 ></DIV
186 ><DIV
187 CLASS="REFSECT1"
188 ><A
189 NAME="AEN62"
190 ></A
191 ><H2
192 >OPTIONS</H2
193 ><P
194 ></P
195 ><DIV
196 CLASS="VARIABLELIST"
197 ><DL
198 ><DT
199 >-a</DT
200 ><DD
201 ><P
202 >             Verify all generated signatures.
203           </P
204 ></DD
205 ><DT
206 >-c <TT
207 CLASS="REPLACEABLE"
208 ><I
209 >class</I
210 ></TT
211 ></DT
212 ><DD
213 ><P
214 >              Specifies the DNS class of the zone.
215           </P
216 ></DD
217 ><DT
218 >-d <TT
219 CLASS="REPLACEABLE"
220 ><I
221 >directory</I
222 ></TT
223 ></DT
224 ><DD
225 ><P
226 >              Look for <TT
227 CLASS="FILENAME"
228 >signedkey</TT
229 > files in
230                <TT
231 CLASS="OPTION"
232 >directory</TT
233 > as the directory 
234           </P
235 ></DD
236 ><DT
237 >-s <TT
238 CLASS="REPLACEABLE"
239 ><I
240 >start-time</I
241 ></TT
242 ></DT
243 ><DD
244 ><P
245 >              Specify the date and time when the generated SIG records
246                become valid.  This can be either an absolute or relative
247                time.  An absolute start time is indicated by a number
248                in YYYYMMDDHHMMSS notation; 20000530144500 denotes
249                14:45:00 UTC on May 30th, 2000.  A relative start time is
250                indicated by +N, which is N seconds from the current time.
251                If no <TT
252 CLASS="OPTION"
253 >start-time</TT
254 > is specified, the current
255                time is used.
256           </P
257 ></DD
258 ><DT
259 >-e <TT
260 CLASS="REPLACEABLE"
261 ><I
262 >end-time</I
263 ></TT
264 ></DT
265 ><DD
266 ><P
267 >              Specify the date and time when the generated SIG records
268                expire.  As with <TT
269 CLASS="OPTION"
270 >start-time</TT
271 >, an absolute
272                time is indicated in YYYYMMDDHHMMSS notation.  A time relative
273                to the start time is indicated with +N, which is N seconds from
274                the start time.  A time relative to the current time is
275                indicated with now+N.  If no <TT
276 CLASS="OPTION"
277 >end-time</TT
278 > is
279                specified, 30 days from the start time is used as a default.
280           </P
281 ></DD
282 ><DT
283 >-f <TT
284 CLASS="REPLACEABLE"
285 ><I
286 >output-file</I
287 ></TT
288 ></DT
289 ><DD
290 ><P
291 >              The name of the output file containing the signed zone.  The
292                default is to append <TT
293 CLASS="FILENAME"
294 >.signed</TT
295 > to the
296                input file.
297           </P
298 ></DD
299 ><DT
300 >-h</DT
301 ><DD
302 ><P
303 >              Prints a short summary of the options and arguments to
304                <B
305 CLASS="COMMAND"
306 >dnssec-signzone</B
307 >.
308           </P
309 ></DD
310 ><DT
311 >-i <TT
312 CLASS="REPLACEABLE"
313 ><I
314 >interval</I
315 ></TT
316 ></DT
317 ><DD
318 ><P
319 >              When a previously signed zone is passed as input, records
320                may be resigned.  The <TT
321 CLASS="OPTION"
322 >interval</TT
323 > option
324                specifies the cycle interval as an offset from the current
325                time (in seconds).  If a SIG record expires after the
326                cycle interval, it is retained.  Otherwise, it is considered
327                to be expiring soon, and it will be replaced.
328           </P
329 ><P
330 >              The default cycle interval is one quarter of the difference
331                between the signature end and start times.  So if neither
332                <TT
333 CLASS="OPTION"
334 >end-time</TT
335 > or <TT
336 CLASS="OPTION"
337 >start-time</TT
338 >
339                are specified, <B
340 CLASS="COMMAND"
341 >dnssec-signzone</B
342 > generates
343                signatures that are valid for 30 days, with a cycle
344                interval of 7.5 days.  Therefore, if any existing SIG records
345                are due to expire in less than 7.5 days, they would be
346                replaced.
347           </P
348 ></DD
349 ><DT
350 >-n <TT
351 CLASS="REPLACEABLE"
352 ><I
353 >ncpus</I
354 ></TT
355 ></DT
356 ><DD
357 ><P
358 >              Specifies the number of threads to use.  By default, one
359                thread is started for each detected CPU.
360           </P
361 ></DD
362 ><DT
363 >-o <TT
364 CLASS="REPLACEABLE"
365 ><I
366 >origin</I
367 ></TT
368 ></DT
369 ><DD
370 ><P
371 >              The zone origin.  If not specified, the name of the zone file
372                is assumed to be the origin.
373           </P
374 ></DD
375 ><DT
376 >-p</DT
377 ><DD
378 ><P
379 >              Use pseudo-random data when signing the zone.  This is faster,
380                but less secure, than using real random data.  This option
381                may be useful when signing large zones or when the entropy
382                source is limited.
383           </P
384 ></DD
385 ><DT
386 >-r <TT
387 CLASS="REPLACEABLE"
388 ><I
389 >randomdev</I
390 ></TT
391 ></DT
392 ><DD
393 ><P
394 >              Specifies the source of randomness.  If the operating
395                system does not provide a <TT
396 CLASS="FILENAME"
397 >/dev/random</TT
398 >
399                or equivalent device, the default source of randomness
400                is keyboard input.  <TT
401 CLASS="FILENAME"
402 >randomdev</TT
403 > specifies
404                the name of a character device or file containing random
405                data to be used instead of the default.  The special value
406                <TT
407 CLASS="FILENAME"
408 >keyboard</TT
409 > indicates that keyboard
410                input should be used.
411           </P
412 ></DD
413 ><DT
414 >-t</DT
415 ><DD
416 ><P
417 >              Print statistics at completion.
418           </P
419 ></DD
420 ><DT
421 >-v <TT
422 CLASS="REPLACEABLE"
423 ><I
424 >level</I
425 ></TT
426 ></DT
427 ><DD
428 ><P
429 >              Sets the debugging level.
430           </P
431 ></DD
432 ><DT
433 >zonefile</DT
434 ><DD
435 ><P
436 >              The file containing the zone to be signed.
437                Sets the debugging level.
438           </P
439 ></DD
440 ><DT
441 >key</DT
442 ><DD
443 ><P
444 >              The keys used to sign the zone.  If no keys are specified, the
445                default all zone keys that have private key files in the
446                current directory.
447           </P
448 ></DD
449 ></DL
450 ></DIV
451 ></DIV
452 ><DIV
453 CLASS="REFSECT1"
454 ><A
455 NAME="AEN154"
456 ></A
457 ><H2
458 >EXAMPLE</H2
459 ><P
460 >        The following command signs the <TT
461 CLASS="USERINPUT"
462 ><B
463 >example.com</B
464 ></TT
465 >
466         zone with the DSA key generated in the <B
467 CLASS="COMMAND"
468 >dnssec-keygen</B
469 >
470         man page.  The zone's keys must be in the zone.  If there are
471         <TT
472 CLASS="FILENAME"
473 >signedkey</TT
474 > files associated with this zone
475         or any child zones, they must be in the current directory.
476         <TT
477 CLASS="USERINPUT"
478 ><B
479 >example.com</B
480 ></TT
481 >, the following command would be
482         issued:
483     </P
484 ><P
485 >        <TT
486 CLASS="USERINPUT"
487 ><B
488 >dnssec-signzone -o example.com db.example.com Kexample.com.+003+26160</B
489 ></TT
490 >
491     </P
492 ><P
493 >        The command would print a string of the form:
494     </P
495 ><P
496 >        In this example, <B
497 CLASS="COMMAND"
498 >dnssec-signzone</B
499 > creates
500         the file <TT
501 CLASS="FILENAME"
502 >db.example.com.signed</TT
503 >.  This file
504         should be referenced in a zone statement in a
505         <TT
506 CLASS="FILENAME"
507 >named.conf</TT
508 > file.
509     </P
510 ></DIV
511 ><DIV
512 CLASS="REFSECT1"
513 ><A
514 NAME="AEN168"
515 ></A
516 ><H2
517 >SEE ALSO</H2
518 ><P
519 >      <SPAN
520 CLASS="CITEREFENTRY"
521 ><SPAN
522 CLASS="REFENTRYTITLE"
523 >dnssec-keygen</SPAN
524 >(8)</SPAN
525 >,
526       <SPAN
527 CLASS="CITEREFENTRY"
528 ><SPAN
529 CLASS="REFENTRYTITLE"
530 >dnssec-signkey</SPAN
531 >(8)</SPAN
532 >,
533       <I
534 CLASS="CITETITLE"
535 >BIND 9 Administrator Reference Manual</I
536 >,
537       <I
538 CLASS="CITETITLE"
539 >RFC 2535</I
540 >.
541     </P
542 ></DIV
543 ><DIV
544 CLASS="REFSECT1"
545 ><A
546 NAME="AEN179"
547 ></A
548 ><H2
549 >AUTHOR</H2
550 ><P
551 >        Internet Systems Consortium
552     </P
553 ></DIV
554 ></BODY
555 ></HTML
556 >