A equipe de segurança habilitou o DNS Security Extensions (DNSSEC) para o domínio da empresa no Amazon Route 53 e pergunta quem é o responsável pela rotação das chaves DNSSEC. Que explicação o engenheiro de rede deve dar?

No Route 53, a AWS gerencia a rotação da Chave de Assinatura de Zona (ZSK) automaticamente, pois ela é usada para assinar os registros DNS dentro da zona. A Chave de Assinatura de Chave (KSK), que assina a ZSK e é publicada no registrador de domínio, é de responsabilidade do cliente. Essa divisão de responsabilidades garante a segurança do DNSSEC, com a AWS cuidando das operações de baixo nível e o cliente mantendo o controle sobre a chave de confiança principal. As outras opções estão incorretas porque a AWS não rotaciona a KSK e a empresa não rotaciona a ZSK; o AWS KMS não está diretamente envolvido na rotação das chaves DNSSEC no Route 53.