Ein E-Commerce-Unternehmen muss DNSSEC (Datenauthentifizierung und -integrität) für alle in Route 53 gehosteten Domainnamen über vier öffentliche gehostete Zonen hinweg durchsetzen und Warnmeldungen einschließen. Welche Kombination von Schritten implementiert die DNSSEC-Signierung und -Validierung und liefert Warnmeldungen? (Wählen Sie drei.)

Um DNSSEC in Route 53 zu implementieren, aktivieren Sie die DNSSEC-Signierung für die gehosteten Zonen und lassen Sie Route 53 einen Key-Signing Key (KSK) erstellen, der durch einen kundenverwalteten AWS KMS-Schlüssel geschützt ist. Der KSK ist für die Sicherheit der Zone entscheidend. Anschließend müssen Sie eine Vertrauenskette herstellen, indem Sie einen Delegation Signer (DS)-Eintrag in der übergeordneten Zone hinzufügen, der auf den KSK der untergeordneten Zone verweist. Dies ermöglicht die Validierung der DNSSEC-Signaturen. Um Warnmeldungen zu erhalten, erstellen Sie einen Amazon CloudWatch-Alarm, der auf die Metriken DNSSECInternalFailure oder DNSSECKeySigningKeysNeedingAction reagiert. Die Option, einen Zone-Signing Key (ZSK) mit einem kundenverwalteten KMS-Schlüssel zu erstellen, ist falsch, da Route 53 ZSKs automatisch verwaltet und signiert. Das Hinzufügen eines DS-Eintrags für jede Subdomain ist falsch; der DS-Eintrag wird in der übergeordneten Zone für die gesamte Zone hinzugefügt. Ein AWS CloudTrail-Alarm ist für diese spezifischen Fehler nicht die primäre Methode; CloudWatch-Metriken sind hierfür vorgesehen.