Uma chave do Cloud KMS que protegia objetos do Cloud Storage criptografados com CMEK foi exposta. Você deve recriptografar todos os objetos protegidos por CMEK com uma nova chave, excluir a chave comprometida e impedir que objetos futuros sejam gravados sem CMEK. O que você faz?

A opção correta aborda todos os requisitos: criar uma nova chave do KMS e um novo bucket garante a substituição da chave comprometida e isola os dados. Configurar o novo bucket com a nova chave como CMEK padrão impede que objetos futuros sejam gravados sem CMEK. Copiar os objetos sem especificar a chave no comando de cópia fará com que eles herdem a chave CMEK padrão do novo bucket, recriptografando-os. Girar a versão da chave não resolve o problema de uma chave comprometida; a versão antiga ainda existiria. Definir uma nova chave como CMEK padrão no bucket existente não recriptografa os objetos já existentes, apenas afeta novos uploads. Copiar objetos para um novo bucket especificando a chave no comando de cópia é redundante se o bucket já tiver uma chave CMEK padrão, mas não é incorreto.