Un'azienda di e-commerce deve applicare DNSSEC (autenticazione e integrità dei dati) per tutti i nomi di dominio ospitati in Route 53 su quattro zone ospitate pubbliche e includere avvisi. Quale combinazione di passaggi implementerà la firma e la convalida DNSSEC e fornirà avvisi? (Scegliere tre.)

Per implementare DNSSEC con Route 53, è necessario abilitare la firma DNSSEC per le zone ospitate e creare una KSK (Key-Signing Key) protetta da AWS KMS. La KSK è fondamentale per firmare le ZSK (Zone-Signing Key) e stabilire la fiducia. La creazione di una ZSK protetta da KMS non è sufficiente da sola, poiché la KSK è necessaria per la firma delle ZSK. Per stabilire una catena di fiducia, è essenziale aggiungere un record Delegation Signer (DS) nella zona padre, non per ogni sottodominio, per collegare la zona figlia alla zona padre e consentire la convalida DNSSEC. Infine, per gli avvisi, un allarme Amazon CloudWatch che monitora gli errori DNSSECInternalFailure o DNSSECKeySigningKeysNeedingAction è il metodo corretto per ricevere notifiche su problemi DNSSEC. AWS CloudTrail registra le chiamate API, ma CloudWatch è lo strumento per monitorare metriche ed eventi operativi e generare avvisi.