Innovate Bank 需要限制哪些证书颁发机构可以为其公共域“banking-innovate.com”颁发证书。他们希望发布 DNS 记录，明确授权只有 DigiCert 才能颁发证书。哪项 Azure DNS 更改可以实现此要求？

正确的答案是创建 CAA 记录。CAA (Certificate Authority Authorization) 记录允许域名所有者指定哪些证书颁发机构 (CA) 有权为其域颁发证书。通过在 banking-innovate.com 的区域顶点创建一条 CAA 记录，并指定 DigiCert，Innovate Bank 可以明确授权只有 DigiCert 才能为其域颁发证书。其他 CA 在尝试颁发证书时会检查此记录并遵守其规定。 创建 TXT 记录不适用于此目的，因为它通常用于存储任意文本信息，CA 工具不会自动将其解释为证书颁发授权。创建 NS 记录会将域的名称解析委托给 DigiCert 的名称服务器，但这与限制证书颁发权限无关。创建 A 记录是将域名映射到 IP 地址，这与证书颁发授权也无关。