Quando è "NSEC3", è possibile specificare il contrassegno NSEC3 "OptOut". L'impostazione predefinita non prevede OptOut. ...

      -- Quando  è "NSEC3", è possibile specificare il contrassegno NSEC3
                     "OptOut". L'impostazione predefinita non prevede OptOut.
       -- Quando  è "NSEC3", è possibile specificare il numero di
                     iterazioni aggiuntive da utilizzare per la generazione di
                     nomi di proprietario del nodo hash.
  
                  -- Quando  è "NSEC3", è possibile specificare la lunghezza in
                     byte del salt generato automaticamente per i nomi di proprietario di nodo
                     hash. Il valore predefinito è 8. Per specificare il salt in modo esplicito,
                     impostare  su 0 e .
   -- Se  è 0, specificare il salt NSEC3
                     come rappresentazione di testo di nibble esadecimali. Utilizzare "-"
                     per il salt (NULL) vuoto.

  /AddKey         -- La chiave specificata come "/Addkey [] 
                      verrà aggiunta al file di zona ma non utilizzata per firmare record.
  /SignKey        -- La chiave specificata come "/SignKey [] 
                     [/ValidFrom ] [/ValidTo ] []
                     " verrà aggiunta al file di zona e
                     utilizzata per firmare record.
 Per indicare più chiavi, è possibile specificare più valori per /AddKey e
 /SignKey. Le sottosezioni del parametro /SignKey devono essere fornite
  nell'ordine specificato. 


   può essere uno dei valori seguenti:
  /AllRR          -- Chiave che verrà utilizzata per firmare tutti i record.
  /DnskeyOnly     -- Chiave che verrà utilizzata per firmare il set di record
                     DNSKEY solo alla radice della zona.

   consente di ignorare il contrassegno ZSK o KSK. Se 
   non viene specificato, verranno utilizzate una chiave senza
  contrassegno KSK per firmare tutti i record della zona e una chiave con
  contrassegno KSK per firmare il set di record DNSKEY solo alla radice della
  zona.

     -- Ora di inizio del periodo di validità dei
                          record RRSIG in formato AAAAMMGGHHMMSS (anno a 4
                          cifre, mese a 2 cifre, giorno a 2 cifre, ora a 2
                          cifre, minuto 2 cifre e secondo a 2 cifre). L'ora
                          è UTC. Se non si specifica , il periodo
                          di validità inizierà un'ora prima dell'ora
                          corrente.
         -- Ora di fine del periodo di validità dei 
                          record RRSIG in formato AAAAMMGGHHMMSS (anno a 4
                          cifre, mese a 2 cifre, giorno a 2 cifre, ora a 2
                          cifre, minuto 2 cifre e secondo a 2 cifre). L'ora
                          è UTC. Se non si specifica , il
                          periodo di validità finirà dopo 30 giorni dall'inizio
                          del periodo di validità specificato per le chiavi ZSK o 13
                          mesi dall'inizio del periodo di validità per le chiavi KSK.

 può contenere le opzioni seguenti:
  /Alg  [/Flags ]

   -- Stringa mnemonica dell'algoritmo a chiave.
                       Attualmente sono supportati solo "RSASHA1", "NSEC3RSASHA1", "RSASHA256", "RSASHA512",
                     "ECDSAP256SHA256" e "ECDSAP384SHA384".
   -- Bit da impostare su 1 nel campo dei contrassegni
                          DNSKEY. Se  è "KSK", il bit del
                          punto di ingresso sicuro sarà impostato su 1 per
                          indicare che è una chiave per firma KSK. Se non si specifica
                     il parametro , la chiave è considerata una chiave
                     a ZSK.
  Se la chiave è un certificato generato dal comando /OfflineSign /GenKey,
  non è necessario fornire un valore per . Lo strumento è in grado
  di estrarre le informazioni dal soggetto del certificato.