Sensible Daten in Cloud Storage müssen die Schlüsselrotation unterstützen und werden in Dataproc verarbeitet. Welcher Verschlüsselungsansatz folgt den Best Practices für Sicherheit von Google?

Die beste Praxis für sensible Daten in Cloud Storage, die Schlüsselrotation erfordern und mit Dataproc verarbeitet werden, ist die Verwendung von Cloud KMS. Durch das Festlegen eines Cloud KMS-Schlüssels als Standardschlüssel für den Bucket werden alle neuen Objekte automatisch mit diesem Schlüssel verschlüsselt. Cloud KMS unterstützt die Schlüsselrotation nativ, was eine wichtige Sicherheitsanforderung erfüllt. Dataproc kann zudem nahtlos auf Daten zugreifen, die mit Cloud KMS verschlüsselt sind, ohne dass zusätzliche manuelle Entschlüsselungsschritte erforderlich sind. Die direkte Verschlüsselung von Daten mit der encrypt-Methode von Cloud KMS ist umständlicher und erfordert eine manuelle Entschlüsselung vor der Verarbeitung. GPG-Schlüssel sind nicht nativ in Google Cloud integriert und erschweren die Schlüsselverwaltung und -rotation. Vom Kunden bereitgestellte Verschlüsselungsschlüssel (CSEK) unterstützen zwar die Schlüsselrotation, erfordern aber eine manuelle Verwaltung der Schlüssel und sind nicht so nahtlos in andere Google Cloud-Dienste integriert wie Cloud KMS.