あるEコマース企業は、Route 53でホストされている4つのパブリックホストゾーン全体のすべてのドメイン名に対してDNSSEC（データ認証と整合性）を適用し、アラートを含める必要があります。DNSSECの署名と検証を実装し、アラートを提供するステップの組み合わせはどれですか？（3つ選択してください。）

Route 53でDNSSECを有効にするには、キー署名キー（KSK）を使用します。KSKはゾーン署名キー（ZSK）を保護し、ZSKはゾーン内のレコードを署名します。顧客管理のKMSキーでKSKを保護することで、セキュリティが強化されます。DNSSECの信頼の連鎖を確立するには、親ゾーンにDSレコードを追加する必要があります。これにより、レゾルバは子ゾーンのDNSSEC署名を検証できます。DNSSECの運用監視には、CloudWatchアラームが適切です。DNSSECInternalFailureやDNSSECKeySigningKeysNeedingActionなどのメトリクスを監視することで、DNSSEC関連の問題を早期に検出し、通知を受け取ることができます。CloudTrailはAPIアクティビティを記録しますが、リアルタイムの運用監視にはCloudWatchが適しています。