为了使用 Cloud KMS 实施客户管理的加密密钥，同时遵循职责分离原则和 Google 最佳实践，您应该采取哪两项措施？

为了遵循职责分离原则和 Google 最佳实践，应在单独的项目中预置 Cloud KMS。这确保了密钥管理与使用密钥的资源之间存在明确的逻辑和权限边界，防止了单一故障点或权限滥用。同时，不要为 Cloud KMS 项目分配所有者角色，而是使用更精细的 IAM 角色（如 roles/cloudkms.admin 和 roles/cloudkms.viewer），并将其分配给不同的用户或服务账号，以进一步强化职责分离。在同一项目中预置 Cloud KMS 违反了职责分离原则。将 roles/cloudkms.admin 授予项目所有者会赋予过高的权限，不符合最小权限原则。将 Cloud KMS 项目所有者角色分配给不同用户也过于宽泛，应使用更具体的角色。