Una empresa de comercio electrónico debe aplicar DNSSEC (autenticación e integridad de datos) para todos los nombres de dominio alojados en Route 53 en cuatro zonas alojadas públicas e incluir alertas. ¿Qué combinación de pasos implementará la firma y validación de DNSSEC y proporcionará alertas? (Elija tres)

La opción correcta es habilitar la firma DNSSEC para las zonas alojadas de Route 53 y solicitar que Route 53 cree una KSK protegida por una clave de AWS KMS administrada por el cliente. La KSK es fundamental para la seguridad de DNSSEC, ya que firma la ZSK, y Route 53 puede gestionarla para usted. La opción incorrecta sobre la ZSK es incorrecta porque la KSK es la clave de nivel superior para la confianza. La segunda opción correcta es establecer una cadena de confianza añadiendo un registro Delegation Signer (DS) en la zona padre. Este paso es crucial para que los resolvedores DNS validen la autenticidad de su zona. La opción incorrecta sobre los subdominios es incorrecta porque el registro DS se añade en la zona padre, no en cada subdominio. La tercera opción correcta es crear una alarma de Amazon CloudWatch que notifique cuando ocurra un error DNSSECInternalFailure o un error DNSSECKeySigningKeysNeedingAction. CloudWatch es el servicio de monitoreo y alarmas de AWS, y estos eventos específicos son métricas importantes para la salud de DNSSEC. La opción incorrecta sobre AWS CloudTrail es incorrecta porque CloudTrail registra la actividad de la API y los eventos de usuario, no es el servicio principal para monitorear métricas y generar alarmas en tiempo real para el estado de DNSSEC.