Un equipo quiere habilitar la firma DNSSEC para una zona de Cloud DNS que contiene registros altamente sensibles y de uso interno exclusivo. ¿Cuál es la limitación o el enfoque preciso?

La opción correcta es que la firma DNSSEC en Cloud DNS solo es compatible con zonas gestionadas públicas. Para zonas privadas, Cloud DNS no ofrece soporte nativo para DNSSEC. Esto se debe a que DNSSEC está diseñado principalmente para proteger la integridad de los datos DNS en el ámbito público, donde la validación por parte de resolvedores recursivos es crucial. Para entornos privados con registros sensibles, la práctica recomendada es implementar un servidor DNS local (como Bind o Unbound) que pueda generar y firmar registros DNSSEC para sus zonas internas, y configurar sus clientes internos para que validen estas firmas. Las otras opciones son incorrectas: Cloud DNS no admite DNSSEC en zonas gestionadas privadas de la misma manera que en las públicas. Habilitar DNSSEC en el recurso de red de la VPC no es una funcionalidad existente para firmar dominios internos. DNSSEC opera a nivel de zona DNS, no de la VPC. DNSSEC no necesita estar habilitado en el resolvedor ISP ascendente para que las zonas privadas internas funcionen. La validación DNSSEC se realiza en el resolvedor que consulta la zona, que en un entorno privado suele ser interno.