安全团队为公司在 Amazon Route 53 中的域启用了 DNS 安全扩展 (DNSSEC)，并询问谁负责轮换 DNSSEC 密钥。网络工程师应该给出什么解释？

在 Route 53 中，DNSSEC 的密钥管理责任是共享的。AWS 负责轮换区域签名密钥 (ZSK)，这些密钥用于签署区域中的资源记录集。ZSK 的轮换是自动进行的，确保了签名的新鲜度。而公司（即客户）负责轮换密钥签名密钥 (KSK)。KSK 是用于签署 ZSK 的密钥，其安全性和轮换由客户控制，通常涉及在 Route 53 控制台中进行手动操作。这种职责分离确保了操作安全性和客户对关键信任锚的控制。其他选项不正确，因为它们错误地分配了 ZSK 或 KSK 的轮换责任，或者错误地引入了 AWS KMS 密钥，而 KMS 密钥与 DNSSEC 密钥轮换机制无关。