Innovate Bank 需要限制哪些憑證授權單位可以為其公開網域 'banking-innovate.com' 核發憑證。他們希望發佈 DNS 記錄，明確授權僅限 DigiCert 核發憑證。哪一個 Azure DNS 變更可以達成此要求？

正確答案是建立 CAA (Certificate Authority Authorization) 記錄。CAA 記錄允許網域所有者指定哪些憑證授權單位 (CA) 有權為其網域核發憑證。透過在 banking-innovate.com 的 Azure DNS 公用區域中，於區域頂點建立一個標籤為 issue 且值為 digicert.com 的 CAA 記錄，Innovate Bank 可以明確授權只有 DigiCert 才能核發憑證。其他 CA 在核發憑證前必須檢查此記錄，若發現未被授權，則不應核發憑證。 TXT 記錄是用於儲存任意文字資訊，CA 工具不會自動遵守其內容來限制憑證核發。NS 記錄用於委派子網域的權限，與限制 CA 無關。A 記錄用於將網域名稱解析為 IP 位址，與憑證授權單位無關。