Firma e-commerce musi wymusić DNSSEC (uwierzytelnianie i integralność danych) dla wszystkich nazw domen hostowanych w Route 53 w czterech publicznych strefach hostowanych i uwzględnić alerty. Jaka kombinacja kroków zaimplementuje podpisywanie i walidację DNSSEC oraz zapewni alerty? (Wybierz trzy.)

Aby wdrożyć DNSSEC, należy włączyć podpisywanie DNSSEC w Route 53 i zażądać utworzenia klucza KSK chronionego przez AWS KMS, ponieważ KSK jest kluczem najwyższego poziomu używanym do podpisywania kluczy ZSK i musi być bezpiecznie zarządzany. Ustanowienie łańcucha zaufania wymaga dodania rekordu DS w strefie nadrzędnej, co pozwala resolverom DNS na walidację podpisów DNSSEC. Utworzenie alarmu Amazon CloudWatch dla błędów DNSSECInternalFailure lub DNSSECKeySigningKeysNeedingAction jest kluczowe dla monitorowania i otrzymywania powiadomień o problemach z DNSSEC. Opcja tworzenia klucza ZSK chronionego przez AWS KMS jest nieprawidłowa, ponieważ KSK, a nie ZSK, jest kluczem nadrzędnym do podpisywania. Dodawanie rekordu DS dla każdej subdomeny jest nieprawidłowe, ponieważ rekord DS jest dodawany w strefie nadrzędnej dla całej strefy, a nie dla subdomen. Alarm AWS CloudTrail jest nieprawidłowy, ponieważ CloudTrail monitoruje aktywność API, a CloudWatch jest odpowiednim narzędziem do monitorowania metryk i zdarzeń systemowych.