Describe DNS/DNSSEC/鍵の更新 here.

http://jprs.jp/dnssec/ JPRS DNSSEC 関連資料より 

例1: KSKのロールオーバー
1. 新しいKSKの生成と自分のゾーンデータへの追加
2. 新旧双方のKSKでDNSKEY(ZSK)を署名
3. 自分のDNSKEYの伝搬を確認
– 自分のDNSKEYのTTL時間分の経過を待つ
4. 新しいKSKに対応するDSレコードを親に登録申請
5. 親のDSの登録更新を確認
6. 親のDS登録更新の伝搬を確認
– 親のDSのTTL時間分の経過を待つ
7. 古いKSKをゾーンデータから削除
8. 新しいKSKのみでDNSKEY(ZSK)を署名