SIDN 在 2021 年更换 HSM 时推演“全量密钥丢失”场景，发现若无法恢复活跃 ZSK，.nl 将面临至少一小时中断，且 60% 荷兰解析器验证 DNSSEC，影响极大。最终通过在 OpenDNSSEC 启用 RequireBackup、强制密钥备份后方可使用，消除单点风险。
签名架构与密钥分层：
SIDN 采用双数据中心部署，签名器（*-signp1）主备运行，HSM（*-hsmp1）组高可用集群，双节点均可签名并同步新密钥。KSK 生命周期长，纳入每次离线备份；ZSK 每 90 天轮换一次，活跃 ZSK 可能不在最近一次备份中。若 HSM 集群全量故障导致密钥丢失，无法发布区域更新，RRSIG 逐步过期，SOA 记录签名最后失效，服务中断至少持续 DNSKEY 与 RRSIG 的 TTL 时间。
移除 DS 记录的代价与备份频率困境：
若从父区移除 DS 记录，待其 TTL 过期后可发布无签名区域，但这会让 .nl 及其所有子域变为不安全状态，DANE 与 SSHFP 全部失效，仅作为最后手段。为保证 ZSK 可恢复，需每次生成 ZSK 即刻备份；.nl 每 90 天轮换，加上其他顶级域，意味着每季度多次离线备份操作，人力成本极高且易遗漏。
OpenDNSSEC RequireBackup 强制落地备份：
SIDN 在 OpenDNSSEC 中启用 RequireBackup 选项，要求密钥必须在备份完成后才能投入使用。该机制将备份从人工流程转为系统强制前置条件，消除“活跃 ZSK 未备份”的窗口期。配合双中心 HA 架构，即使单个 HSM 故障也可继续签名；仅当双中心 HSM 同时毁坏且无备份时才会触发灾难恢复流程，风险显著降低。
对运维团队而言，关键在于将“备份后使用”固化为软件强制策略，而非依赖
原文: APNIC Blog（2022-02-14）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog