Sie betreiben Kafka und Redis auf Compute Engine und benötigen eine Datenverschlüsselung im Ruhezustand mit Schlüsseln, die Sie erstellen, rotieren und zerstören können. Was sollten Sie tun?

Die Erstellung von Schlüsseln in Cloud Key Management Service (KMS) und deren Verwendung zur Verschlüsselung von Daten auf Compute Engine-Instanzen ist die korrekte Methode, da Cloud KMS eine vollständig verwaltete Lösung für die Erstellung, Rotation und Zerstörung kryptografischer Schlüssel bietet. Dies erfüllt die Anforderung an die Kontrolle über den Schlüssel-Lebenszyklus. Die Verwendung der Compute Engine-Verschlüsselung im Ruhezustand mit einem dedizierten Dienstkonto bietet zwar Verschlüsselung, aber nicht die detaillierte Kontrolle über den Schlüssel-Lebenszyklus, die Cloud KMS bietet. Das lokale Erstellen von Schlüsseln und das Hochladen in Cloud KMS ist umständlicher und birgt Risiken bei der Schlüsselverwaltung außerhalb von Cloud KMS. Das Referenzieren von Schlüsseln in API-Aufrufen beim Zugriff auf Instanzdaten ist nicht die primäre Methode zur Verschlüsselung von Daten im Ruhezustand auf der Instanz selbst; die Daten müssen vor dem Speichern verschlüsselt werden.