リソースレコードとは？りそーすれこーど
リソースレコードとは、DNSが保持する情報の最小単位で、名前・クラス・種別・TTL・値の組で表す。A、CNAME、MX、NS、TXTなど種別ごとに用途が決まり、どの種別に何を書いたかがメール認証の成否や証明書の発行可否を左右するため、ゾーンの記述内容がそのまま防御力になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
名前解決を1つの表で済ませるなら種別は要らないが、DNSは住所・メールの宛先・権威サーバ・任意の文字列までを同じ仕組みで配る設計になっている。そのため「何のための値か」を種別で区別する必要が生まれた。後からSPFやDMARC、ドメイン所有権の確認をTXTに載せる拡張ができたのも、この構造があったからである。
具体例
Google Workspaceを導入するときは、MXレコードでメールの受信先をGoogleのサーバへ向け、TXTレコードにSPFとドメイン所有権の確認用文字列を書く。DKIMの公開鍵は _domainkey 配下のTXTに置き、DMARCのポリシーも同じくTXTで宣言する。
試験での引っ掛け
CNAMEは同じ名前に他の種別を併存させられないという制約があり、ゾーン頂点（example.jp そのもの）に設定するとMXやNSと両立せず名前解決が壊れる。TXTに古い検証用の記述を残したままにすると、利用中のサービスが外部から推測できる点も見落としやすい。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが，権威DNSサーバで管理されているものであり，改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、DNSの各リソースレコードにディジタル署名を付け、権威DNSサーバが管理する正当なデータであること、および改ざんされていないことを検証できるようにする仕組みです。信頼の連鎖を親ゾーンから辿って公開鍵の正当性を確認します。通信の暗号化は行わないので、内容の秘匿はできません。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが,権威DNSサーバで管理されているものであり,改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名（RRSIG）を付け、信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバが用意した内容であり途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。あくまで出所と完全性の保証であって、通信内容を秘匿するものではない。
出典：令和2年度 10月試験 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証
要点：DNSSECは署名で応答の出所と完全性を検証する
DNSSECは、各リソースレコードにゾーンの秘密鍵で作った署名を付け、上位ゾーンからの信頼の連鎖をたどって検証できるようにする拡張である。これによりキャッシュサーバは、受け取った応答が正規の権威サーバに由来し途中で差し替えられていないことを確認でき、キャッシュポイズニングを防げる。出所と完全性の保証であって、内容の秘匿を行うものではない。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）解説で登場
DNSにおいてDNS CAA(Certification Authority Authorization)レコードを使うことによるセキュリティ上の効果はどれか。
正解：不正なサーバ証明書の発行を防ぐ。
要点：CAAは証明書を発行してよいCAをDNSで宣言する
CAAレコードは、そのドメインに対してサーバ証明書を発行してよい認証局をDNS上で宣言するためのリソースレコードである。認証局は証明書発行の前にCAAを参照する義務があり、自局が許可されていなければ発行を拒否する。これにより、ドメイン所有者の意図しない認証局から不正な証明書が発行されるリスクを下げられる。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）
DNSSECで実現できることはどれか。
正解：DNSキャッシュサーバが得た応答中のリソースレコードが、権威DNSサーバで管理されているものであり、改ざんされていないことの検証
要点：DNSSECは応答の出所と改ざんの有無を署名で検証する
DNSSECは、権威DNSサーバがゾーン内のリソースレコードにデジタル署名を付し、キャッシュDNSサーバが信頼の連鎖をたどって署名を検証する仕組みである。これにより、受け取った応答が正当な管理者の作成したものであり、途中で改ざんされていないこと（データ発信元認証と完全性）を確認でき、キャッシュポイズニングを防げる。応答の暗号化は行わないため、内容の秘匿はDNSSECの目的ではない。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。