あるチームが、機密性の高い内部専用レコードを含むCloud DNSゾーンに対してDNSSEC署名を有効にしたいと考えています。正確な制限またはアプローチは何ですか？

Cloud DNSのDNSSECは、パブリックマネージドゾーンでのみサポートされており、プライベートマネージドゾーンではサポートされていません。これは、DNSSECの検証が通常、インターネット上の公開DNSリゾルバーによって行われるためです。プライベートゾーンは内部ネットワーク専用であり、公開DNSリゾルバーからはアクセスできないため、DNSSECのメリットが限定的です。そのため、プライベートゾーンでDNSSECを必要とする場合は、BindなどのオンプレミスDNSサーバーをデプロイし、自身でDNSSECを構成・管理する必要があります。他の選択肢は、Cloud DNSの現在の機能やDNSSECの動作原理と一致しません。VPCネットワークリソースでDNSSECを有効にするという概念は存在せず、アップストリームISPリゾルバーは内部プライベートゾーンの解決には直接関与しません。