6. 运营考虑 (Operational Considerations)

在实时区域中进行 DNSKEY 算法轮换是一个复杂的过程。有关如何执行算法轮换的指南,请参见 [RFC6781] 和 [RFC7583]。

在实时区域中进行 DS 算法轮换也是一个复杂的过程。在轮换到新的密钥签名密钥 (KSK, Key Signing Key) 的同时升级算法将导致 DNSSEC 验证失败,用户 MUST (必须) 在轮换到新 KSK 之前先升级 DS 算法。