Een e-commercebedrijf moet DNSSEC (gegevensauthenticatie en -integriteit) afdwingen voor alle domeinnamen die worden gehost in Route 53, verspreid over vier openbare gehoste zones, en inclusief waarschuwingen. Welke combinatie van stappen implementeert DNSSEC-ondertekening en -validatie en geeft waarschuwingen? (Kies drie.)

Om DNSSEC in Route 53 te implementeren, moet u eerst DNSSEC-ondertekening inschakelen voor de gehoste zones. Hierbij wordt een Key-Signing Key (KSK) aangemaakt, die de Zone-Signing Keys (ZSK's) ondertekent en wordt beschermd door een door de klant beheerde AWS KMS-sleutel. Het aanmaken van een ZSK beschermd door een KMS-sleutel is niet de primaire stap voor het inschakelen van DNSSEC-ondertekening; de KSK is de sleutel die door de bovenliggende zone wordt vertrouwd. Ten tweede moet een vertrouwensketen tot stand worden gebracht door een Delegation Signer (DS)-record toe te voegen in de bovenliggende zone, niet voor elk subdomein. Dit DS-record verwijst naar de KSK van de onderliggende zone en valideert zo de integriteit. Ten slotte is het essentieel om monitoring in te stellen. Een Amazon CloudWatch-alarm dat triggert op DNSSECInternalFailure of DNSSECKeySigningKeysNeedingAction fouten is de juiste methode om waarschuwingen te ontvangen over DNSSEC-gerelateerde problemen. Een AWS CloudTrail-alarm is minder geschikt voor real-time operationele monitoring van deze specifieke fouten.