プライベートTLDでのDNSSECの使用
私は自分のドメインでDNSSECを使用していますが、DNSサーバーはデュアルホームであり（パブリックインターフェイスでクエリできるものに適切な制限があります）、パブリックドメインだけでなく、プライベートトップレベルドメイン（.loc）もカバーしています。私のLANで使用します。
.locドメインのDSレコードをbind9構成に追加する方法を見つけるのに苦労しています。これはトップレベルドメインであるため、通常はルートサーバーとしてリストされます。
$ Originステートメントの前にゾーンファイルに追加できますか？
そのようなゾーンには適切な親子関係がないため、ツリーの一部ではないものにDSレコードを実際に追加することはできません。
内部検証リゾルバーで trusted-keys を使用して DNSで指定されたキー（またはその欠如）をオーバーライドする を使用できるはずです。
ただし、任意のTLDを選択して内部で使用することは、良い習慣ではないことに注意してください。特に最近では、水門が開かれ、新しいパブリックTLDが常に登録されています。