Компания электронной коммерции должна обеспечить DNSSEC (аутентификацию и целостность данных) для всех доменных имен, размещенных в Route 53, в четырех публичных хостинговых зонах и включить оповещения. Какая комбинация шагов реализует подписание и проверку DNSSEC и предоставит оповещения? (Выберите три.)

Для включения DNSSEC в Route 53 необходимо активировать подписание DNSSEC для хостинговых зон. Route 53 автоматически создает ключи KSK (Key-Signing Key) и ZSK (Zone-Signing Key). KSK должен быть защищен управляемым клиентом ключом AWS KMS для обеспечения безопасности. Установка цепочки доверия критически важна для проверки DNSSEC и достигается путем добавления записи Delegation Signer (DS) в родительской зоне, связывая дочернюю зону с родительской. Создание оповещений Amazon CloudWatch для метрик DNSSECInternalFailure или DNSSECKeySigningKeysNeedingAction позволяет получать уведомления о проблемах с DNSSEC, поскольку CloudWatch отслеживает эти метрики. Создание оповещения AWS CloudTrail не подходит, так как CloudTrail отслеживает действия API, а не метрики состояния DNSSEC. Запрос на создание ключа ZSK, защищенного KMS, не является обязательным, так как Route 53 управляет ZSK автоматически. Добавление записи DS для каждого поддомена неверно, запись DS добавляется в родительской зоне для всей дочерней зоны.