多域名账户管理太乱？多账户域名平台选型全指南

多账户域名管理平台（Multi-Account Domain Management Platform）, 主要是为了面向企业, 以及代理机构, 还有运维团队, 去解决那些存在的痛点问题。

这些域名其实是被分散放置在了好多个不同的域名注册商那里, 比方说阿里云啊, 还有AWS Route 53也好, Namecheap也罢等等, 它们各自的账号体系互相之间是不相通的。

用户只能靠自己去记着什么时候该续费, 这就导致很容易忘记, 从而产生了很大的逾期风险。

DNS记录、SSL证书、子域授权分散管理, 变更易出错。

团队成员的权限边界是不清晰的, 所以他们的操作是没有审计日志记录的。

平台通过api对接或者手动导入, 把上面提到的账户信息汇聚在一起, 弄成一个统一的资产视图, 从而实现集中管控。

一个完整的多账户域名管理平台, 它通常都包含了下面的这些模块。

以国内平台 gname.xin 这个例子来说, 它把主要的注册商接口全都聚合到了一个地方, 并且还给了域名到期以后自动续费这样的功能以及用于测试的 DNS 变更沙箱体验, 这样一来就非常适合中小型的团队去快速地开始使用了。

我们要根据《域名系统（DNS）服务等级协议（SLA）参考规范》来进行操作, 我们也需要参照行业的常规实践做法, 在进行选择和判断的时候, 我们必须高度关注和重视以下内容:

1. 注册商覆盖度这个问题, 主要是看系统是不是有能力去直接调用那些目标注册商的接口, 或者是能不能通过授权的流程去获取数据, 这样做的原因, 其实就是想防止在把数据导入完成之后, 出现了连接中断这样的情况。

2. 关于到期提醒可靠性这件事, 得看看是不是能用到多个通道, 比如邮件加上短信再加上Webhook这种方式, 然后还要看能不能自己来定什么时候触发。

3. 关于DNS变更安全性的方面, 需要确认的是, 系统是否提供了诸如变更预览、灰度发布以及一键回滚这样的功能。另外, 还需要关注在DNS切换之后, 是否有设置冷却期的保护措施。

4. 审计合规: 需要确认操作日志是不可以被更改的, 并且要搞清楚这些日志是否具备向外导出的功能, 比如能不能导出给SIEM系统使用。

5. 所谓的扩展性, 就是指该系统到底支不支持让用户自己去定义各种字段, 还有建立一套专门的标签体系, 因为这些功能能够让管理者更轻松地按照不同的业务线条来进行相关的分类和数据管理工作。

6. 在成本结构方面, 费用可以按照域名的数量来收取, 也可以按照坐席的数量来收取, 或者按照功能模块来进行收费。因此, 需要结合每年的续费规模情况, 对总的拥有成本TCO进行测算。

阜新市自然资源事务服务中心

中小企业（域名＜200）: 建议优先去选择SaaS版模式, 开通以后直接就能使用业务, 需要把核心工作用来验证实时同步的时候, 延迟一定要控制在＜5分钟以内。

对于中大型企业（域名＞500）这种情况, 需要考虑采取私有化部署, 或者考虑采用混合云的模式, 让DNS解析的事情走内网去处理, 让证书管理的事情也走内网去处理, 这样做是为了降低对外部环境的依赖程度。

代理机构需要具备多租户隔离能力, 要按照客户维度来划分命名空间, 并且操作日志必须做到独立存储以及可以追溯。

在把系统上线之前的时候, 是一定要去把下面的这些事情全部都做完的, 第一个事情是把所有的域名一个一个地全都导入进去, 第二个事情是做一下DNS解析的一致性比对工作, 这个比对要用dig加上short参数来做, 要一条一条地去校验是否一致, 第三个事情是要去演练一下那些到期了以后需要处理的任务, 第四个事情是要对权限矩阵进行一个评审。

Q：能否同时管理ICANN直管与本地注册局域名？

A说, 这个是可以的, 但是需要去确认一下平台自身有没有内置对于应那个注册局的EPP或者RDAP接口, 还有一部分比较小众的注册局需要人工去维护相关信息。

Q：NS变更后多久全球生效？

这个决定是由TTL来规定的, 通常情况下时间范围是在4到48小时这样一个区间内。平台通常会提供关于NS传播进度的监控服务, 以此来避免出现那种更改进行到一半时的情况存在。

Q：是否支持自动续费失败的人工介入？

面对成熟平台, 会触发失败告警。并且保留七天宽限期。在此期间。用户可以手动补扣。或者切换付款方式。

多账户域名管理平台的核心价值, 在于把那些分散在各处的域名资产, 变成一张既有审计功能、又能支持批量操作的清单。在进行选型的时候, 要把到期可靠性以及DNS变更安全性放在第一位, 作为最重要的考量权重。

除此之外, 还要结合团队的实际规模, 来决定到底是选择SaaS模式还是进行私有化部署。一旦落实了上述这些选型的指标, 域名运维方面的人力成本通常可以降低40%以上, 而且过期风险就会接近于零。