本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Amazon SES 中使用 Deterministic Easy DKIM（DEED）

Deterministic Easy DKIM (DEED) 为管理多个 DKIM 配置提供了一种解决方案。 AWS 区域通过简化 DNS 管理并确保一致的 DKIM 签名，DEED 帮助您简化多区域电子邮件发送操作，同时保持强大的电子邮件身份验证实践。

什么是 Deterministic Easy DKIM（DEED）？

Deterministic Easy DKIM (DEED) 是一项功能，它 AWS 区域 基于配置了 Easy DKIM 的父域在所有域中生成一致的 DKIM 令牌。这使您可以复制不同身份 AWS 区域 ，这些身份会自动继承和维护与当前使用 Easy DKIM 配置的父身份相同的 DKIM 签名配置。使用 DEED，您只需要为父身份发布一次 DNS 记录，副本身份将使用相同的 DNS 记录来验证域所有权和管理 DKIM 签名。

通过简化 DNS 管理并确保一致的 DKIM 签名，DEED 帮助您简化多区域电子邮件发送操作，同时保持最佳的电子邮件身份验证实践。

讨论 DEED 时使用的术语：

使用 DEED 的主要好处包括：

Deterministic Easy DKIM（DEED）的工作原理

当您创建副本身份时，Amazon SES 会自动将 DKIM 签名密钥从父身份复制到副本身份。对父身份进行的任何后续 DKIM 密钥轮换或密钥长度更改都会自动传播到所有副本身份。

该过程涉及以下工作流程：

重要注意事项：

使用 DEED 设置副本身份

本节将提供示例，向您展示如何使用 DEED 创建和验证副本身份以及所需的必要权限。

创建副本身份

要创建副本身份：

使用 AWS CLI：

要基于配置了 Easy DKIM 的父身份创建副本身份，您需要指定父级的域名、您要创建副本身份的区域以及父级的 DKIM 签名区域，如本例所示：

aws sesv2 create-email-identity --email-identity example.com --region us-west-2 --dkim-signing-attributes '{"DomainSigningAttributesOrigin": "AWS_SES_US_EAST_1"}'

在上述示例中：

验证副本身份配置

创建副本身份后，您可以验证它是否已使用父身份的 DKIM 签名配置正确配置。

使用 AWS CLI：

使用 get-email-identity 命令，指定副本的域名和区域：

aws sesv2 get-email-identity --email-identity example.com --region us-west-2

响应将在 SigningAttributesOrigin 参数中包含父区域的值，表示副本身份已成功配置了父身份的 DKIM 签名配置：

{
  "DkimAttributes": {
    "SigningAttributesOrigin": "AWS_SES_US_EAST_1"
  }
}

使用 DEED 所需的权限

要使用 DEED，您需要：

DKIM 复制的示例 IAM 策略

以下策略允许从父身份到指定副本区域的 DKIM 签名密钥复制：

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "AllowDKIMReplication",
      "Effect": "Allow",
      "Action": "ses:ReplicateEmailIdentityDKIMSigningKey",
      "Resource": "arn:aws:ses:us-east-1:123456789124:identity/example.com",
      "Condition": {
        "ForAllValues:StringEquals": {
           "ses:ReplicaRegion": ["us-west-2", "eu-west-1"]
        }
      }
    }
  ]
}

最佳实践

推荐以下最佳实践：

问题排查

如果您遇到 DEED 问题，请考虑以下事项：