Para aplicar chaves de criptografia gerenciadas pelo cliente com separação de funções e as práticas recomendadas do Google usando o Cloud KMS, quais duas ações você deve realizar?

Para seguir as práticas recomendadas do Google Cloud para separação de funções e segurança com Cloud KMS, você deve provisionar o Cloud KMS em seu próprio projeto dedicado. Isso isola as chaves criptográficas de outros recursos e permite um controle de acesso mais granular. Além disso, não atribua a função de Proprietário (Owner) ao projeto do Cloud KMS. Em vez disso, conceda apenas os papéis mínimos necessários (princípio do privilégio mínimo) a entidades específicas para gerenciar e usar as chaves. Atribuir a função de Proprietário a um projeto Cloud KMS viola a separação de funções e aumenta o risco de acesso não autorizado. Provisionar o Cloud KMS no mesmo projeto onde as chaves são usadas ou conceder roles/cloudkms.admin ao proprietário do projeto que usa as chaves são práticas que comprometem a separação de funções. Atribuir a função de proprietário do projeto do Cloud KMS a um usuário diferente do proprietário do projeto que usa as chaves ainda concede privilégios excessivos, mesmo que a um usuário diferente.