本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 在 Amazon Route 53 中启用 DNSSEC 验证
<a name="resolver-dnssec-validation"></a>

当您在 Amazon Route 53 中为虚拟私有云 (VPC) 启用 DNSSEC 验证时，将对DNSSEC签名进行加密检查，以确保响应未被篡改。您可以在 VPC 详细信息页面上启用 DNSSEC 验证。

VPC 解析器在执行递归 DNS 解析时将 DNSSEC 验证应用于公共签名名称。

但是，如果 VPC 解析器要转发到另一个 DNS 解析器，则该解析器正在执行递归 DNS 解析，因此还必须应用 DNSSEC 验证。

**重要**  
启用 DNSSEC 验证可能会影响 VPC 中 AWS 资源的公有 DNS 记录的 DNS 解析，这可能导致中断。注意，启用或禁用 DNSSEC 验证可能耗时数分钟。

**注意**  
此时，您的 VPC（又名 AmazonProvided DNS）中的 Route 53 VPC 解析器会忽略 DNS 查询中的 DO（DNSSEC OK）EDNS 标头位和 CD（检查已禁用）位。如果您配置了 DNSSEC，这意味着尽管 VPC 解析器确实执行 DNSSEC 验证，但它不会返回 DNSSEC 记录，也不会在响应中设置 AD 位。因此，VPC 解析器目前不支持您自己执行 DNSSEC 验证。如果需要进行自己的 DNSSEC 验证，您必须执行自己的递归 DNS 解析。<a name="resolver-dnssec-validation-procedure"></a>

**要为 VPC 启用 DNSSEC 验证**

1. 登录 AWS 管理控制台 并打开 Route 53 控制台，网址为[https://console.aws.amazon.com/route53/](https://console.aws.amazon.com/route53/)。

1. 在导航窗格的 ** VPC 解析器下**，选择 ** V ** PC。

1. 在 **DNSSEC 验证**下，选中复选框。如果已选中该复选框，则可以清除该复选框以禁用 DNSSEC 验证。

   注意，启用或禁用 DNSSEC 验证可能耗时数分钟。