一家電子商務公司必須對託管在 Route 53 中的所有網域名稱強制執行 DNSSEC（資料驗證和完整性），涵蓋四個公有託管區域，並包含警示。下列哪些步驟組合可以實作 DNSSEC 簽署和驗證並提供警示？（請選擇三項。）

啟用 DNSSEC 簽署時，Route 53 會為每個託管區域建立一個金鑰簽署金鑰 (KSK)，並可選擇使用客戶管理的 AWS KMS 金鑰保護。區域簽署金鑰 (ZSK) 是由 KSK 簽署的，因此不需要單獨的 KMS 保護。為了建立信任鏈，必須在父區域中新增委派簽署者 (DS) 記錄，將子區域的 KSK 公開金鑰雜湊值發佈到父區域。在子網域中新增 DS 記錄是無效的。Amazon CloudWatch 警報可以監控 DNSSEC 相關的指標，例如 DNSSECInternalFailure 或 DNSSECKeySigningKeysNeedingAction，以提供警示。CloudTrail 警報用於監控 API 活動，而非 DNSSEC 錯誤狀態。