BIND 9.16 引入了一项新dnssec-policy功能，作为长期建立的功能的进一步自动化的 DNSSEC 密钥管理和签名工具auto-dnssec maintain。
该文档似乎没有涵盖从旧版本到新版本的迁移，但相关的 wiki 页面似乎表明dnssec-policy.
也就是说，建立一个新区域dnssec-policy非常简单，但是将现有区域从 迁移auto-dnssec maintain到dnssec-policy似乎并不像人们预期的那样有效。
我所期望的是与现有密钥兼容的策略将继续使用这些密钥。
似乎发生的情况是，所有现有密钥都会立即从区域中删除，因为它们已经“过期”并被新密钥替换，即使新策略强制要求一组兼容的密钥（相同的算法和大小）并且现有密钥已未定义生命周期终止属性（仅Created、Publish和Activate.key 文件中的计时）。
我在测试时使用的策略如下所示（命名以反映测试期间的内容）：
dnssec-policy alg13-ksk-unlimited-zsk-60day {
keys {
ksk key-directory lifetime unlimited algorithm ECDSAP256SHA256;
zsk key-directory lifetime P60D algorithm ECDSAP256SHA256;
};
};
这是配置从 更改为 时的日志auto-dnssec maintain;输出dnssec-policy alg13-ksk-unlimited-zsk-60day;：
zone zone.example/IN (signed): reconfiguring zone keys
keymgr: DNSKEY zone.example/ECDSAP256SHA256/49004 (KSK) created for policy alg13-ksk-unlimited-zsk-60day
keymgr: DNSKEY …