安全團隊為公司在 Amazon Route 53 中的網域啟用了 DNS Security Extensions (DNSSEC)，並詢問誰負責輪換 DNSSEC 金鑰。網路工程師應該如何解釋？

在 Amazon Route 53 中啟用 DNSSEC 時，AWS 和客戶之間有明確的職責劃分。AWS 負責自動輪換區域簽署金鑰 (ZSK)，這些金鑰用於簽署區域中的資源記錄集。ZSK 的輪換頻率較高，由 AWS 管理以確保安全性。另一方面，客戶負責輪換金鑰簽署金鑰 (KSK)。KSK 的輪換頻率較低，且由於其在信任鏈中的關鍵作用，需要客戶手動操作，例如更新父域中的 DS 記錄。因此，選項 A 正確地描述了 AWS 和客戶在 DNSSEC 金鑰輪換方面的職責。其他選項錯誤地將所有金鑰輪換職責歸咎於單一方，或錯誤地將 AWS KMS 金鑰與 DNSSEC 金鑰混淆。