Ein Cloud KMS-Schlüssel, der CMEK-verschlüsselte Cloud Storage-Objekte schützt, wurde kompromittiert. Sie müssen alle CMEK-geschützten Objekte mit einem neuen Schlüssel neu verschlüsseln, den kompromittierten Schlüssel löschen und verhindern, dass zukünftige Objekte ohne CMEK geschrieben werden. Was tun Sie?

Die korrekte Lösung ist, einen neuen Cloud KMS-Schlüssel zu erstellen, einen neuen Cloud Storage-Bucket mit diesem neuen Schlüssel als Standard-CMEK zu konfigurieren und dann alle Objekte vom alten in den neuen Bucket zu kopieren. Beim Kopieren ohne explizite Schlüsselangabe werden die Objekte automatisch mit dem Standard-CMEK des Ziel-Buckets verschlüsselt. Dies erfüllt alle Anforderungen: Die Objekte werden mit einem neuen Schlüssel neu verschlüsselt, der kompromittierte Schlüssel wird nicht mehr verwendet, und der neue Bucket stellt sicher, dass zukünftige Objekte immer CMEK-geschützt sind. Das Rotieren der Schlüsselversion würde den kompromittierten Schlüssel nicht entfernen und die vorhandenen Objekte nicht neu verschlüsseln. Das Festlegen eines neuen Schlüssels als Standard-CMEK für den bestehenden Bucket würde nur neue Objekte schützen, aber die bereits vorhandenen, mit dem kompromittierten Schlüssel verschlüsselten Objekte blieben unverändert. Das explizite Angeben des Schlüssels beim Kopieren ist zwar möglich, aber das Setzen des Standard-CMEK im Ziel-Bucket ist effizienter und stellt sicher, dass alle kopierten Objekte automatisch korrekt verschlüsselt werden.