El equipo de seguridad habilitó las Extensiones de Seguridad del Sistema de Nombres de Dominio (DNSSEC) para el dominio de la compañía en Amazon Route 53 y pregunta quién es responsable de rotar las claves DNSSEC. ¿Qué explicación debería dar el ingeniero de redes?

En Route 53, cuando se habilita DNSSEC, AWS gestiona la rotación de la Clave de Firma de Zona (ZSK), que se utiliza para firmar los registros DNS individuales. Esto simplifica la operación para el cliente. Sin embargo, la Clave de Firma de Clave (KSK), que firma la ZSK y se utiliza para establecer la cadena de confianza con el registrador de dominio, es responsabilidad del cliente rotarla. Esta división de responsabilidades asegura que el cliente mantenga el control sobre la clave de mayor nivel de confianza, mientras que AWS se encarga de las operaciones de rotación más frecuentes de la ZSK. Las otras opciones son incorrectas porque no reflejan esta distribución específica de responsabilidades en la gestión de DNSSEC en Route 53. La clave de AWS KMS no está directamente involucrada en la rotación de claves DNSSEC por parte del cliente o AWS.