本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用密钥签名密钥 (KSK)

启用 DNSSEC 签名时，Route 53 会为您创建密钥签名密钥 (KSK)。在 Route 53 中，每个托管区域最多可以拥有两个 KSK。启用 DNSSEC 签名后，您可以添加、删除或编辑 KSK。

当您使用 KSK 时，请注意以下事项：

要在中使用 KSK AWS 管理控制台，请遵循以下部分中的指导。

添加密钥签名密钥 (KSK)

启用 DNSSEC 签名时，Route 53 会为您创建密钥签名密钥 (KSK)。您还可以单独添加 KSK。在 Route 53 中，每个托管区域最多可以拥有两个 KSK。

创建 KSK 时，您必须提供或请求 Route 53 以创建用于 KSK 的客户托管密钥。当您提供或创建客户托管密钥时，有几个要求。有关更多信息，请参阅 使用适用于 DNSSEC 的客户托管密钥。

请按照以下步骤在 AWS 管理控制台中添加 KSK。

编辑密钥签名密钥 (KSK)

您可以将 KSK 的状态编辑为 Active（活动）或者 Inactive（非活动）。当 KSK 处于活动状态时，Route 53 将使用该 KSK 进行 DNSSEC 签名。在删除 KSK 之前，您必须编辑 KSK 以将其状态设置为 Inactive（非活动）。

按照以下步骤在 AWS 管理控制台中编辑 KSK。

删除密钥签名密钥 (KSK)

在删除 KSK 之前，您必须编辑 KSK 以将其状态设置为 Inactive（非活动）。

您可能删除 KSK 的原因之一是例行密钥转动的一部分。定期转动加密密钥是最佳实践。您的组织可能有关于转动密钥频率的标准指导。

请按照以下步骤在 AWS 管理控制台中删除 KSK。