Cloud Storage 中的敏感数据必须支持密钥轮换，并将通过 Dataproc 进行处理。哪种加密方法遵循 Google 安全最佳实践？

将 Cloud KMS 密钥设置为存储桶的加密密钥是 Google Cloud 中管理敏感数据加密的最佳实践。这利用了 Cloud KMS 的强大功能，包括密钥轮换、访问控制和审计日志，同时确保数据在写入 Cloud Storage 时自动加密，并在读取时自动解密。 使用 Cloud KMS 的 encrypt 方法加密数据需要手动管理加密和解密过程，这增加了复杂性和出错的可能性。生成 GPG 密钥对或 AES-256 密钥并使用客户提供的加密密钥 (CSEK) 功能，虽然提供了加密，但将密钥管理责任转移给了用户，不符合 Google Cloud 推荐的密钥管理最佳实践，尤其是在需要密钥轮换和集中管理的情况下。