Usando os Google Groups que você criou e seguindo as melhores práticas e a simplicidade do Google, como você deve controlar o acesso e a criptografia para o Cloud Storage?

A opção correta é "Conceda funções IAM predefinidas aos Google Groups e confie na criptografia em repouso gerenciada pelo Google". Esta abordagem é a mais simples e segue as melhores práticas do Google Cloud. Funções IAM predefinidas são suficientes para a maioria dos casos de uso, oferecendo um controle de acesso granular sem a complexidade de funções personalizadas. A criptografia em repouso gerenciada pelo Google é ativada por padrão e oferece segurança robusta sem a necessidade de gerenciamento de chaves pelo usuário, o que simplifica a operação. As outras opções são menos ideais: Conceder funções IAM personalizadas aumenta a complexidade e geralmente não é necessário, a menos que haja requisitos de permissão muito específicos. Usar CSEK (chaves de criptografia fornecidas pelo cliente) também adiciona uma camada de complexidade de gerenciamento de chaves que o Google Cloud geralmente abstrai. Ativar a criptografia de armazenamento padrão é redundante, pois ela já é padrão. Definir uma chave Cloud KMS padrão para buckets antes de armazenar objetos adiciona complexidade desnecessária se a criptografia gerenciada pelo Google for suficiente.