某團隊想為包含高度敏感、僅限內部使用的記錄的 Cloud DNS 區域啟用 DNSSEC 簽章。請問以下哪項限制或方法是正確的？

Cloud DNS 的 DNSSEC 簽章功能目前僅支援公開受管區域。這表示您無法直接在 Cloud DNS 的私有區域上啟用 DNSSEC 來保護內部網域記錄。對於需要 DNSSEC 保護的私有區域，常見的做法是使用具備 DNSSEC 功能的內部部署 DNS 伺服器，或在私有網路中部署支援 DNSSEC 的虛擬機作為 DNS 伺服器。其他選項不正確，因為 Cloud DNS 不支援在私有區域上直接啟用 DNSSEC，且 DNSSEC 是針對區域而非 VPC 資源啟用，也與上游 ISP 解析器無關。