external/bsd/bind/dist/contrib/zkt-1.1.3/man/zkt-keyman.8

   1 .\"     $NetBSD: zkt-keyman.8,v 1.1.1.1 2015/07/08 15:37:49 christos Exp $
   2 .\"
   3 .TH zkt\-keyman 8 "Apr 1, 2010" "ZKT 1.0" ""
   4 \" turn off hyphenation
   5 .\"     if n .nh
   6 .nh
   7 .SH NAME
   8 zkt\-keyman \(em A DNSSEC key management tool
   9
  10 .SH SYNOPSYS
  11 .na
  12 .B zkt\-keyman
  13 .BR \-C <label>
  14 .RB [ \-V|--view
  15 .IR "view" ]
  16 .RB [ \-c
  17 .IR "file" ]
  18 .RB [ \-krpz ]
  19 .RI [{ keyfile | dir }
  20 .RI "" ... ]
  21 .br
  22 .B zkt\-keyman
  23 .BR \-\-create= <label>
  24 .RB [ \-V|--view
  25 .IR "view" ]
  26 .RB [ \-c
  27 .IR "file" ]
  28 .RB [ \-krpz ]
  29 .RI [{ keyfile | dir }
  30 .RI "" ... ]
  31
  32 .B zkt\-keyman
  33 .BR \-  { P | A | D | R } <keytag>
  34 .RB [ \-V|--view
  35 .IR "view" ]
  36 .RB [ \-c
  37 .IR "file" ]
  38 .RB [ \-r ]
  39 .RI [{ keyfile | dir }
  40 .RI "" ... ]
  41 .br
  42 .B zkt\-keyman
  43 .BR \-\-published= <keytag>
  44 .RB [ \-V|--view
  45 .IR "view" ]
  46 .RB [ \-c
  47 .IR "file" ]
  48 .RB [ \-r ]
  49 .RI [{ keyfile | dir }
  50 .RI "" ... ]
  51 .br
  52 .B zkt\-keyman
  53 .BR \-\-active= <keytag>
  54 .RB [ \-V|--view
  55 .IR "view" ]
  56 .RB [ \-c
  57 .IR "file" ]
  58 .RB [ \-r ]
  59 .RI [{ keyfile | dir }
  60 .RI "" ... ]
  61 .br
  62 .B zkt\-keyman
  63 .BR \-\-depreciate= <keytag>
  64 .RB [ \-V|--view
  65 .IR "view" ]
  66 .RB [ \-c
  67 .IR "file" ]
  68 .RB [ \-r ]
  69 .RI [{ keyfile | dir }
  70 .RI "" ... ]
  71 .br
  72 .B zkt\-keyman
  73 .BR \-\-rename= <keytag>
  74 .RB [ \-V|--view
  75 .IR "view" ]
  76 .RB [ \-c
  77 .IR "file" ]
  78 .RB [ \-r ]
  79 .RI [{ keyfile | dir }
  80 .RI "" ... ]
  81
  82 .B zkt\-keyman
  83 .BR \-\-destroy= <keytag>
  84 .RB [ \-V|--view
  85 .IR "view" ]
  86 .RB [ \-c
  87 .IR "file" ]
  88 .RB [ \-r ]
  89 .RI [{ keyfile | dir }
  90 .RI "" ... ]
  91
  92 .B zkt\-keyman
  93 .B \-9 | \-\-ksk-rollover
  94 .br
  95 .B zkt\-keyman
  96 .B \-1 | \-\-ksk-roll-phase1
  97 .I "do.ma.in."
  98 .RB [ \-V|--view
  99 .IR "view" ]
 100 .RB [ \-c
 101 .IR "file" ]
 102 .br
 103 .B zkt\-keyman
 104 .B \-2 | \-\-ksk-roll-phase2
 105 .I "do.ma.in."
 106 .RB [ \-V|--view
 107 .IR "view" ]
 108 .RB [ \-c
 109 .IR "file" ]
 110 .br
 111 .B zkt\-keyman
 112 .B \-3 | \-\-ksk-roll-phase3
 113 .I do.ma.in.
 114 .RB [ \-V|--view
 115 .IR "view" ]
 116 .RB [ \-c
 117 .IR "file" ]
 118 .br
 119 .B zkt\-keyman
 120 .B \-0 | \-\-ksk-roll-stat
 121 .I do.ma.in.
 122 .RB [ \-V|--view
 123 .IR "view" ]
 124 .RB [ \-c
 125 .IR "file" ]
 126 .br
 127 .ad
 128
 129 .SH DESCRIPTION
 130 The
 131 .I zkt\-keyman
 132 command is a wrapper around
 133 .I dnssec-keygen(8)
 134 to assist in dnssec zone key management.
 135 .PP
 136 The command is useful in dns key management.
 137 It is suitable for modification of key status.
 138
 139 .SH GENERAL OPTIONS
 140 .TP
 141 .BI \-V " view" ", \-\-view=" view
 142 Try to read the default configuration out of a file named
 143 .I dnssec-<view>.conf .
 144 Instead of specifying the \-V or --view option every time,
 145 it is also possible to create a hard or softlink to the
 146 executable file to give it an additional name like
 147 .I zkt\-keyman\-<view> .
 148 .TP
 149 .BI \-c " file" ", \-\-config=" file
 150 Read default values from the specified config file.
 151 Otherwise the default config file is read or build in defaults
 152 will be used.
 153 .TP
 154 .BI \-O " optstr" ", \-\-config-option=" optstr
 155 Set any config file option via the commandline.
 156 Several config file options could be specified at the argument string
 157 but have to be delimited by semicolon (or newline).
 158 .TP
 159 .BR \-d ", " \-\-directory
 160 Skip directory arguments.
 161 This will be useful in combination with wildcard arguments
 162 to prevent dnsssec-zkt to list all keys found in subdirectories.
 163 For example "zkt\-keyman -d *" will print out a list of all keys only found in
 164 the current directory.
 165 Maybe it is easier to use "zkt\-keyman ." instead (without -r set).
 166 The option works similar to the \-d option of
 167 .IR ls(1) .
 168 .TP
 169 .BR \-k ", " \-\-ksk
 170 Select key signing keys only (default depends on command mode).
 171 .TP
 172 .BR \-z ", " \-\-zsk
 173 Select zone signing keys only (default depends on command mode).
 174 .TP
 175 .BR \-r ", " \-\-recursive
 176 Recursive mode (default is off).
 177 .br
 178 Also settable in the dnssec.conf file (Parameter: Recursive).
 179 .TP
 180 .BR \-F ", " \-\-setlifetime
 181 Set the key lifetime of all the selected keys.
 182 Use option -k, -z, -l or the file and dir argument for key selection.
 183 .PP
 184
 185 .SH COMMAND OPTIONS
 186 .TP
 187 .BR \-h ", " \-\-help
 188 Print out the online help.
 189 .TP
 190 .BI \-C " zone" ",  \-\-create=" zone
 191 Create a new zone signing key for the given zone.
 192 Add option
 193 .B \-k
 194 to create a key signing key.
 195 The key algorithm and key length will be examined from built-in default values
 196 or from the parameter settings in the
 197 .I dnssec.conf
 198 file.
 199 .br
 200 The keyfile will be created in the current directory if
 201 the
 202 .B \-p
 203 option is specified.
 204 .TP
 205 .BI \-R " keyid" ", \-\-revoke=" keyid
 206 Revoke the key signing key with the given keyid.
 207 A revoked key has bit 8 in the flags field set (see RFC5011).
 208 The keyid is the numeric keytag with an optionally added zone name separated by a colon.
 209 .TP
 210 .BI \-\-rename=" keyid
 211 Rename the key files of the key with the given keyid
 212 (Look at key file names starting with an lower 'k').
 213 The keyid is the numeric keytag with an optionally added zone name separated by a colon.
 214 .TP
 215 .BI \-\-destroy= keyid
 216 Deletes the key with the given keyid.
 217 The keyid is the numeric keytag with an optionally added zone name separated by a colon.
 218 Beware that this deletes both private and public keyfiles, thus the key is
 219 unrecoverable lost.
 220 .TP
 221 .BI \-P|A|D " keyid," " \-\-published=" keyid, " \-\-active=" keyid, " \-\-depreciated=" keyid
 222 Change the status of the given dnssec key to
 223 published
 224 .RB ( \-P ),
 225 active
 226 .RB ( \-A )
 227 or depreciated
 228 .RB ( \-D ).
 229 The
 230 .I keyid
 231 is the numeric keytag with an optionally added zone name separated by a colon.
 232 Setting the status to "published" or "depreciate" will change the filename
 233 of the private key file to ".published" or ".depreciated" respectivly.
 234 This prevents the usage of the key as a signing key by the use of
 235 .IR dnssec-signzone(8) .
 236 The time of status change will be stored in the 'mtime' field of the corresponding
 237 ".key" file.
 238 Key activation via option
 239 .B \-A
 240 will restore the original timestamp and file name (".private").
 241 .TP
 242 .BI \-\-ksk-roll-phase[123] " do.ma.in."
 243 Initiate a key signing key rollover of the specified domain.
 244 This feature is currently in experimental status and is mainly for the use
 245 in an hierachical environment.
 246 Use --ksk-rollover for a little more detailed description.
 247
 248
 249 .SH SAMPLE USAGE
 250 .TP
 251 .fam C
 252 .B "zkt-keyman \-C example.net \-k \-r ./zonedir
 253 .fam T
 254 Create a new key signing key for the zone "example.net".
 255 Store the key in the same directory below "zonedir" where the other
 256 "example.net" keys life.
 257 .TP
 258 .fam C
 259 .B "zkt-keyman \-D 123245 \-r .
 260 .fam T
 261 Depreciate the key with tag "12345" below the current directory,
 262 .TP
 263 .fam C
 264 .B "zkt-keyman --view intern \-C example.net
 265 .fam T
 266 Create a new zone key for the internal zone example.net.
 267 .TP
 268 .fam C
 269 .B "zkt-keyman-intern
 270 .fam T
 271 Same as above.
 272 The binary file
 273 .I zkt\-keyman
 274 has another link, named
 275 .I zkt-keyman-intern
 276 made, and
 277 .I zkt\-keyman
 278 examines argv[0] to find a view whose zones it proceeds to process.
 279
 280 .SH ENVIRONMENT VARIABLES
 281 .TP
 282 ZKT_CONFFILE
 283 Specifies the name of the default global configuration files.
 284
 285 .SH FILES
 286 .TP
 287 .I /var/named/dnssec.conf
 288 Built-in default global configuration file.
 289 The name of the default global config file is settable via
 290 the environment variable ZKT_CONFFILE.
 291 .TP
 292 .I /var/named/dnssec-<view>.conf
 293 View specific global configuration file.
 294 .TP
 295 .I ./dnssec.conf
 296 Local configuration file (only used in
 297 .B \-C
 298 mode).
 299
 300 .SH BUGS
 301
 302 .SH AUTHORS
 303 Holger Zuleger
 304
 305 .SH COPYRIGHT
 306 Copyright (c) 2005 \- 2008 by Holger Zuleger.
 307 Licensed under the BSD Licences. There is NO warranty; not even for MERCHANTABILITY or
 308 FITNESS FOR A PARTICULAR PURPOSE.
 309 .\"--------------------------------------------------
 310 .SH SEE ALSO
 311 dnssec-keygen(8), dnssec-signzone(8), rndc(8), named.conf(5), zkt-conf(8), zkt-ls(8), zkt-signer(8)
 312 .br
 313 RFC4641
 314 "DNSSEC Operational Practices" by Miek Gieben and Olaf Kolkman,
 315 .br
 316 DNSSEC HOWTO Tutorial by Olaf Kolkman, RIPE NCC
 317 .br
 318 (http://www.nlnetlabs.nl/dnssec_howto/)