![使用相同密钥手动重新签署已更改的区域文件是否会破坏上游父区域的 DNSSEC 支持?](https://linux22.com/image/764332/%E4%BD%BF%E7%94%A8%E7%9B%B8%E5%90%8C%E5%AF%86%E9%92%A5%E6%89%8B%E5%8A%A8%E9%87%8D%E6%96%B0%E7%AD%BE%E7%BD%B2%E5%B7%B2%E6%9B%B4%E6%94%B9%E7%9A%84%E5%8C%BA%E5%9F%9F%E6%96%87%E4%BB%B6%E6%98%AF%E5%90%A6%E4%BC%9A%E7%A0%B4%E5%9D%8F%E4%B8%8A%E6%B8%B8%E7%88%B6%E5%8C%BA%E5%9F%9F%E7%9A%84%20DNSSEC%20%E6%94%AF%E6%8C%81%EF%BC%9F.png)
我将 example.company.com 的 DS 集发送给我的 company.com 提供商。我还管理几个最终可能会更改的子域:subdomain1.example.company.com 和 subdomain2.example.company.com。我将这些子域的 DS 集添加到 example.company.com 区域文件中,最终子域中的某些记录将发生变化,我将不得不重新签名整个文件。我想使用相同的密钥,这样就不必处理静态 example.company.com,而只需更新 2 个子域上的签名。但是,我在测试后注意到,未更改的记录的 RRSIG 在新的重新签名中确实发生了变化。签名过程不是确定性的吗?我的旧 DS 集仍然有效吗?这是否意味着每次更新我的签名子域时,我都必须更改我的 example.company.com DS 集或类似的东西?