Wenn "NSEC3" ist, kann optional das NSEC3-Kennzeichen "OptOut" angegeben werden. Kein "OptOut"-Kennzeichen ist Standard. ...

    -- Wenn  "NSEC3" ist, kann optional das
                          NSEC3-Kennzeichen "OptOut" angegeben werden.
                          Kein "OptOut"-Kennzeichen ist Standard.
      -- Wenn  "NSEC3" ist, kann optional die
                          Anzahl von zusätzlichen Iterationen angegeben
                          werden, die bei Generieren von Knotenbesitzernamen
                          mit Hash verwendet werden.
  
                       -- Wenn  "NSEC3" ist, kann optional für
                          Knotenbesitzernamen mit Hash die Länge in Byte von
                          automatisch generiertem Salt angegeben werden.
                          8 ist Standard. Zur expliziten Angabe des Salts wird
                           auf 0 und
                           festgelegt.
   -- Wenn  0 ist, muss das
                          NSEC3-Salt als Textdarstellung hexadezimaler
                          Halbbytes angegeben werden. "-" wird für ein leeres
                          (NULL) Salt verwendet.

  /AddKey              -- Ein als "/Addkey []
                          " angegebener Schlüssel wird der
                          Zonendatei hinzugefügt, jedoch nicht zum Signieren
                          von Einträgen verwendet.
  /SignKey             -- Ein als "/SignKey []
                          [/ValidFrom ] [/ValidTo ]
                          [] " angegebener
                          Schlüssel wird der Zonendatei hinzugefügt und zum
                          Signieren von Einträgen verwendet.
  Mehrere "/AddKey"- und "/SignKey"-Parameter können angegeben werden,
  um mehrere Schlüssel anzugeben. Die Unterabschnitte des Parameters
  "/SignKey" müssen in der angegebenen Reihenfolge angegeben werden.


  kann eine der folgenden Optionen sein:
                   /AllRR          -- Dieser Schlüssel wird zum Signieren
                                      aller Einträge verwendet.
                   /DnskeyOnly     -- Dieser Schlüssel wird nur zum Signieren
                                      des DNSKEY-Eintragssatzes
                                      am Zonenstamm verwendet.

   ermöglicht dem Benutzer die Überschreibung des
  Kennzeichens "ZSK" oder "KSK". Wenn kein  angegeben ist,
  wird ein Schlüssel ohne das Kennzeichen "KSK" zum Signieren aller Einträge
  in der Zone verwendet, und ein Schlüssel mit dem Kennzeichen "KSK" wird nur
  zum Signieren der DNSKEY-Eintragsätze am Zonenstamm verwendet.

              -- Die Startzeit des Gültigkeitszeitraums von
                             RRSIG-Einträgen, die mithilfe dieses Schlüssels
                             im Format JJJJMMTTHHMMSS (Jahr 4-stellig,
                             Monat 2-stellig, Tag 2-stellig, Stunde 2-stellig,
                             Minute 2-stellig und Sekunde 2-stellig) erstellt
                             wurden. Die Zeit ist UTC. Wenn  nicht
                             angegeben ist, beginnt der Gültigkeitszeitraum
                             eine Stunde vor der aktuellen Zeit.
              -- Die Endzeit des Gültigkeitszeitraums von RRSIG-
                             Einträgen im Format JJJJMMTTHHMMSS
                             (Jahr 4-stellig, Monat 2-stellig, Tag 2-stellig,
                             Stunde 2-stellig, Minute 2-stellig und Sekunde
                             2-stellig). Die Zeit ist UTC. Wenn 
                             nicht angegeben ist, endet der Gültigkeits-
                             zeitraum 30 Tage nach Beginn des Gültigkeits-
                             zeitraums für zonensignierte Schlüssel bzw.
                             13 Monate nach Beginn des Gültigkeitszeitraums
                             für schlüsselsignierte Schlüssel.

             kann folgende Optionen enthalten:
                             /Alg 
                             [/Flags ]

    -- Die mnemonische Zeichenfolge des
                             Schlüsselalgorithmus. Derzeit wird nur
                             "RSASHA1", "NSEC3RSASHA1", "RSASHA256",
                             "RSASHA512", "ECDSAP256SHA256" und
                             "ECDSAP384SHA384" werden unterstützt.
    -- Bit, die im DNSKEY-Kennzeichenfeld auf "1"
                             festgelegt werden sollen.
                             Wenn  auf "KSK" festgelegt
                             ist, wird das Bit für den sicheren Einstiegspunkt
                             auf "1" festgelegt, um anzuzeigen, dass es sich
                             beim Schlüssel um einen schlüsselsignierten
                             Schlüssel handelt.
                             Wenn kein -Parameter
                             angegeben ist, wird der Schlüssel als
                             zonensignierter Schlüssel angesehen.
                             Wenn es sich beim Schlüssel um ein durch den
                             Befehl "/OfflineSign /GenKey" generiertes
                             Zertifikat handelt, muss der Benutzer
                              nicht angeben. Mit dem Tool
                             können die Informationen vom Antragsteller des
                             Zertifikats extrahiert werden.