Автоматическое управление и встроенное обновление DNSSEC Bind-9.11

Я пытаюсь понять, как Bind управляет подписями ключей зоны DNSSEC без внешнего вмешательства. В частности, какой процесс (с именем?) Определяет, что срок действия подписи зоны скоро истечет, и каковы методы обнаружения и отказа.

Сама named регулярно опрашивает все ключи зоны, а затем запускает процесс обновления? Требуются ли дополнительные настройки, помимо перечисленных ниже, для работы автоматического обслуживания? Должно ли обновление запускаться с помощью rndc или перезагрузки по имени?

. . .
options {
  . . .
  dnssec-enable yes;
  key-directory "/usr/local/etc/namedb/master/";
  dnssec-validation auto;
. . .
}
. . .
zone example.com {
  type master;
  file "/usr/local/etc/namedb/master/example.com.hosts";
  key-directory "/usr/local/etc/namedb/master/";
  auto-dnssec maintain;
  inline-signing yes;
};