Terraform部署google_dns_managed_zone使用rsasha1报错如何解决

算力阿峰

2026-10-6

问题根因

Google Cloud DNS 2020年之后创建的新项目默认禁用RSASHA1算法用于DNSSEC签名，仅存量已使用该算法的区域默认保留支持。
你当前配置采用nsec作为不存在性验证方案，RSASHA1仅允许和nsec3方案搭配使用，二者不兼容是你尝试1024位密钥仍报错的核心原因。
Google Cloud DNS对RSASHA1仅开放1024位的密钥长度支持，其余长度均不被平台认可。

解决方案

方案1：调整配置参数适配平台规则

修改你的Terraform配置，调整不存在性验证方案和密钥长度，参考配置如下：

resource "google_dns_managed_zone" "example-zone" {
  name        = "example-zone-02"
  dns_name    = "example-0123.com."
  description = "DNS Zone with DNSSEC"
  dnssec_config {
    default_key_specs {
      algorithm  = "rsasha1"
      key_length = 1024
      key_type   = "zoneSigning"
      kind       = "dnsKeySpec"
    }
    default_key_specs {
      algorithm  = "rsasha1"
      key_length = 1024
      key_type   = "keySigning"
      kind       = "dnsKeySpec"
    }
    kind         = "managedZoneDnsSecConfig"
    non_existence = "nsec3"
    state        = "on"
  }
}

修改后重新执行terraform apply即可完成部署。