Если имеет значение "NSEC3", по выбору можно указать флаг "OptOut" для NSEC3. По умолчанию OptOut не указан. Если имеет значение ...

  <флаги_Nsec3>    — Если <тип_Nsec> имеет значение "NSEC3", по выбору можно указать флаг "OptOut" 
                      для NSEC3. По умолчанию OptOut не указан.
  <итер_Nsec3>     — Если <тип_Nsec> имеет значение "NSEC3", по выбору можно указать количество
                     дополнительных итераций, которые будут использоваться при создании хэшированных
                     имен владельцев узлов.
  <случайная_длина_соли_Nsec3>
                  — Если <тип_Nsec> имеет значение "NSEC3", по выбору можно указать длину (в байтах)
                     автоматически создаваемой соли для хэширования имен
                     владельцев узлов. Значение по умолчанию — 8. Чтобы задать соль напрямую,
                     установите для параметра <случайная_длина_соли_Nsec3> значение 0 и задайте параметр <соль_пользователя_Nsec3>.
  <соль_пользователя_Nsec3> — Если значение параметра <случайная_длина_соли_Nsec3> равно 0, задайте соль NSEC3 как
                     текстовое представление шестнадцатеричных полубайтов. Используйте "-"
                     для пустой (NULL) соли.

  /AddKey            — ключ, определяемый как "/Addkey [<специф_ключа>]
                       <специф_сертификата>", будет добавлен в файл зоны, но
                       не будет использоваться для подписывания записей.
  /SignKey           — ключ, определяемый как "/SignKey [<область_подпис>]
                       [/ValidFrom <дата_начала_действия>]
                       [/ValidTo <дата_конца_действия>] [<специф_ключа>]
                       <специф_сертификата>", будет добавлен в файл зоны и
                       будет использоваться для подписывания записей.
  Для указания нескольких ключей можно использовать параметры /AddKey и
  /SignKey несколько раз.  Подразделы параметра /SignKey необходимо задавать
  в указанном порядке. 


Значения параметра <область_подпис> могут быть следующими:
                     /AllRR        — этот ключ используется для подписывания
                                     всех записей.
                     /DnskeyOnly   — этот ключ используется для подписывания
                                     наборов записей DNSKEY только в корне зоны.

  <область_подпис> дает пользователю возможность переопределить флаг ZSK или
  KSK.  Если
 параметр <область_подпис> не указан, то ключ без флага KSK используется для подписывания всех
  записей в зоне, а ключ с флагом KSK используется для
  подписывания наборов записей DNSKEY только в корне зоны.

  <дата_начала_действия>   — дата начала действия записей RRSIG, созданных
                     с помощью этого ключа в формате ГГГГММДДЧЧММСС
                     (4-разрядный год, 2-разрядный месяц, 2-разрядный день,
                     2-разрядный час, 2-разрядная минута и 2-разрядная
                     секунда).
                     Время в формате UTC. Если <дата_начала_действия> не
                     указана, то период действия начинается за один час до
                     текущего времени.
  <дата_конца_действия>     — дата окончания действия записей RRSIG
                     в формате ГГГГММДДЧЧММСС (4-разрядный год,
                     2-разрядный месяц, 2-разрядный день, 2-разрядный час,
                     2-разрядная минута и 2-разрядная секунда).
                     Время в формате UTC. Если <дата_конца_действия> не
                     указана, то срок действия заканчивается через 30 дней
                     после начала действия ключей подписывания зоны или через
                     13 месяцев после начала действия ключей подписывания
                     ключа.

  <специф_ключа>          может содержать следующие параметры: 
                     /Alg <алгоритм_ключа> [/Flags <флаги_ключа>]

  <алгоритм_ключа>        — мнемоническая строка алгоритма ключа. В настоящий момент 
                     поддерживаются только "RSASHA1", "NSEC3RSASHA1",
                     "RSASHA256","RSASHA512", "ECDSAP256SHA256" и "ECDSAP384SHA384".
  <флаги_ключа>    — биты со значением 1 в поле флагов DNSKEY. Если для
                      параметра <флаги_ключа> задано значение "KSK", биту
                      безопасной точки входа будет присвоено значение 1,
                      показывающее, что это ключ подписывания ключа. Если параметр <флаги_ключа>
                       не указан, то ключ считается ключом подписывания зоны.
  Если ключ — это сертификат, созданный командой /OfflineSign /GenKey, то
  пользователь может не указывать параметр <специф_ключа>.  Это средство может извлекать
  данные из субъекта сертификата.