보안 팀에서 Amazon Route 53에서 회사 도메인에 대해 DNS Security Extensions(DNSSEC)를 활성화하고 DNSSEC 키 로테이션을 누가 담당하는지 묻습니다. 네트워크 엔지니어는 어떤 설명을 해야 할까요?

Amazon Route 53에서 DNSSEC를 활성화할 때, 키 로테이션 책임은 ZSK(zone-signing key)와 KSK(key-signing key)에 따라 나뉩니다. AWS는 ZSK를 자동으로 관리하고 로테이션하여 도메인 레코드의 무결성을 보장합니다. 이는 고객이 직접 DNS 레코드 서명에 관여할 필요 없이 보안을 유지할 수 있도록 돕습니다. 반면, KSK는 도메인의 신뢰 체인 최상위에 위치하며, 이 키의 로테이션은 도메인 소유자인 회사의 책임입니다. KSK는 DNSSEC 서명 키를 서명하는 데 사용되므로, 이 키의 보안과 적절한 관리는 도메인의 전체적인 DNSSEC 유효성에 매우 중요합니다. 다른 옵션들은 AWS와 고객 간의 책임 분담을 정확하게 설명하지 못하거나, AWS KMS 키와 같은 관련 없는 요소를 혼동하고 있습니다.