Команда безопасности включила DNS Security Extensions (DNSSEC) для домена компании в Amazon Route 53 и спрашивает, кто отвечает за ротацию ключей DNSSEC. Какое объяснение должен дать сетевой инженер?

При включении DNSSEC в Route 53, AWS и клиент делят обязанности по ротации ключей. AWS автоматически управляет и ротирует ключ подписи зоны (ZSK), который используется для подписи записей в зоне. Это снижает операционную нагрузку на клиента. Однако клиент несет ответственность за ротацию ключа подписи ключа (KSK), который подписывает ZSK. KSK является более критичным и требует ручной ротации, чтобы обеспечить его безопасность и соответствие политикам безопасности компании, а также для обновления записи DS в родительской зоне. Другие варианты неверны, так как AWS не ротирует KSK, а клиент не ротирует ZSK. AWS KMS ключи не имеют прямого отношения к ротации ключей DNSSEC.