一个团队希望为其包含高度敏感的内部专用记录的 Cloud DNS 区域启用 DNSSEC 签名。以下哪项是准确的限制或方法？

Cloud DNS 的 DNSSEC 签名功能目前仅支持公共托管区域。这意味着您无法直接在包含内部专用记录的私有托管区域上启用 DNSSEC。对于需要 DNSSEC 保护的内部域，您需要部署一个支持 DNSSEC 的本地 DNS 服务器，例如 BIND 或 Microsoft DNS，并在您的 VPC 网络中进行管理。 其他选项不正确： Cloud DNS 不支持在私有托管区域上启用 DNSSEC。 在 VPC 网络资源上启用 DNSSEC 并不是签署内部域响应的方法，DNSSEC 是 DNS 协议的扩展，需要在 DNS 服务器层面配置。 上游 ISP 解析器上的 DNSSEC 与内部私有区域的 DNSSEC 签名无关，因为内部私有区域通常不由公共 ISP 解析器解析。