一家电子商务公司必须对其在 Route 53 中托管的所有域（跨四个公共托管区域）强制执行 DNSSEC（数据认证和完整性），并包含警报。以下哪组步骤将实施 DNSSEC 签名和验证并提供警报？（选择三项。）

启用 DNSSEC 签名时，Route 53 会生成一个密钥签名密钥 (KSK) 来保护区域签名密钥 (ZSK)，而不是反过来。KSK 应该由客户管理的 AWS KMS 密钥保护，以增强安全性。为了完成 DNSSEC 信任链，需要在父区域中添加委托签名者 (DS) 记录，将子区域的 DNSSEC 密钥与父区域关联起来，而不是在每个子域中添加。Amazon CloudWatch 警报是监控 Route 53 DNSSEC 状态的正确工具，特别是针对 DNSSECInternalFailure 和 DNSSECKeySigningKeysNeedingAction 等关键错误，因为这些是 Route 53 发出的特定指标。AWS CloudTrail 记录 API 调用，不直接用于监控 DNSSEC 状态指标。