BIND 9 AIops

BIND 9 AIops

23 個の MCP ツールと対応する CLI コマンドで、ガバナンスが適用された BIND 9 DNS 運用を実現します。シェルを介さず、固定の引数リストで rndc、named-checkconf、dig を実行します。すべての呼び出しは、同梱のガバナンスハーネスによって監査され、予算が設定されます。

チェック項目

• rndc による named サービスとゾーンのステータス。
• named-checkconf -z による設定とロード済みゾーンの検証。
• DNSSEC の検証モード。
• ゾーンの DNSSEC 署名、管理キー、serve-stale のステータス、および有効な場合は実行中のゾーン設定。
• 再帰フェッチ制限への到達、DNSSEC トラストアンカー、DNS TCP タイムアウト、ゾーンごとの署名進捗。
• 実際の DNS 応答コードを伴う DNS クエリ。
• 選択したセカンダリサーバーへのクエリ。
• ガード付きのセカンダリ再転送と、単一ゾーンへの NOTIFY 再送。
• プライマリとセカンダリの SOA シリアル比較。クエリに失敗した場合や解析できない場合は、偽のゼロ値や一致を返さず、null を返します。
• bind_diagnose_zone では、個々のプローブの失敗を確認できます。

ソースからのセットアップ

Python 3.11 以降、uv、およびオペレーターのホスト上の BIND 9 コマンドユーティリティが必要です。uv sync --dev、uv run bind9-aiops init、続けて uv run bind9-aiops doctor を実行してください。手動で作成する ~/.bind9-aiops/config.yaml では、パスと DNS サーバーを指定できます。

targets:
  - name: local
    server: 127.0.0.1
    dns_port: 53
    rndc_config: /etc/bind/rndc.conf
    named_config: /etc/bind/named.conf
    timeout: 10

uv run bind9-aiops diagnose example.org または uv run bind9-aiops compare-soa example.org 192.0.2.2 を使用してください。MCP のエントリーポイントは uv run bind9-aiops-mcp です。プロセスのアカウントには rndc キーファイルと BIND 設定へのアクセス権が必要ですが、エージェントに昇格されたシェル権限は与えません。

対象範囲と検証

reload-zone、refresh-zone、flush-name、retransfer-zone、notify-zone は、ドライランと CLI での 2 回の確認に対応しています。RNDC コマンドが受け付けられても、キューに入ったゾーンの再ロードや転送が完了したとは限らないため、これらの書き込み操作は outcomeUnknown を報告します。コマンド応答が失われた場合も同様です。キャッシュのフラッシュ、再転送、NOTIFY の配信、外部で編集されたゾーンファイルについて、安全な取り消し方法はありません。ゾーンファイルの編集、DNSSEC キーの変更、サービス全体の再起動は、引き続き今回のリリースの対象外です。検証をご覧ください。不足している機能や実稼働環境でのフィードバックは、Issue または PR としてお寄せください。