Dados sensíveis no Cloud Storage devem suportar rotação de chaves e serão processados no Dataproc. Qual abordagem de criptografia segue as melhores práticas de segurança do Google?

A opção correta é criar uma chave com o Cloud KMS e definir essa chave como a chave de criptografia do bucket. Isso permite que o Cloud Storage use a chave gerenciada pelo KMS para criptografar e descriptografar os dados, suportando a rotação de chaves e integrando-se nativamente com o Dataproc, que pode acessar dados criptografados por KMS. A criptografia direta com o método do Cloud KMS (primeira opção) é para dados em trânsito ou processamento, não para dados persistentes no Cloud Storage. Gerar um par de chaves GPG ou uma chave AES-256 e gerenciar a criptografia manualmente (terceira e quarta opções) transfere a responsabilidade da rotação e gerenciamento de chaves para o usuário, o que é menos seguro e mais complexo do que usar o KMS, e pode causar problemas de compatibilidade com serviços como o Dataproc.