文章介绍 RFC 7344 定义的 CDS/CDNSKEY 机制，通过 DNS 自动维护 DNSSEC 委派信任。子区域发布 CDS 记录指示父区域更新 DS 记录，支持启用验证、滚动 KSK、禁用 DNSSEC 三种操作。作者 2017 年接触 CDS，2018 年了解 SWITCH 为 .ch/.li 域名实现该功能。SWITCH 要求 CDS 连续发布三天且所有权威服务器 TCP 可达且 RRset 一致。作者注册瑞士域名实测，使用 dnssec-keygen -a 13 -P sync now 生成密钥并设定十分钟后发布 CDS。
原文: APNIC Blog（2021-11-02）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog