Eine BigQuery-Tabelle nimmt Nachrichten von einem Pub/Sub-Abonnement über die von Google verwaltete Verschlüsselung auf. Die Organisationsrichtlinie erfordert die Verwendung von CMEK aus einem zentralisierten Cloud KMS-Projekt für ruhende Daten. Was sollten Sie tun?

Die Organisationsrichtlinie erfordert CMEK für Daten im Ruhezustand. Da die bestehende BigQuery-Tabelle Google-verwaltete Verschlüsselung verwendet, muss eine neue BigQuery-Tabelle mit CMEK erstellt werden. Anschließend müssen die Daten aus der alten Tabelle in die neue migriert werden, um die Richtlinie zu erfüllen. Pub/Sub-Nachrichten, die über das Abonnement empfangen werden, werden dann automatisch in die neue, CMEK-geschützte BigQuery-Tabelle geschrieben. Die Option, Dataflow zu verwenden, ist unnötig komplex und behebt nicht die Notwendigkeit, die BigQuery-Tabelle selbst auf CMEK umzustellen. Das Erstellen eines neuen Pub/Sub-Themas mit CMEK ist nicht ausreichend, da die BigQuery-Tabelle weiterhin Google-verwaltete Schlüssel verwenden würde. Das Erstellen eines neuen Pub/Sub-Themas und einer BigQuery-Tabelle mit CMEK ist redundant, da das bestehende Pub/Sub-Abonnement weiterhin verwendet werden kann, um Nachrichten an die neue BigQuery-Tabelle zu senden, sobald diese konfiguriert ist.