Welche zwei Aktionen sollten Sie durchführen, um kundenverwaltete Verschlüsselungsschlüssel mit Aufgabentrennung und Google-Best Practices mithilfe von Cloud KMS zu erzwingen?

Um kundenseitig verwaltete Verschlüsselungsschlüssel (CMEK) mit Aufgabentrennung und Google-Best Practices zu erzwingen, sollten Sie Cloud KMS in einem eigenen Projekt bereitstellen. Dies trennt die Schlüsselverwaltung von den Ressourcen, die sie schützen, und erhöht die Sicherheit. Außerdem sollten Sie dem Cloud KMS-Projekt keinen Eigentümer zuweisen. Stattdessen sollten spezifische, eingeschränkte Rollen (z. B. roles/cloudkms.admin oder roles/cloudkms.viewer) an die entsprechenden Nutzer oder Dienstkonten vergeben werden, um das Prinzip der geringsten Rechte zu wahren und unbefugten Zugriff zu verhindern. Die Bereitstellung von Cloud KMS im selben Projekt wie die Schlüssel ist keine Best Practice, da dies die Aufgabentrennung untergräbt. Das Zuweisen der Rolle roles/cloudkms.admin an den Projekteigentümer des Schlüsselnutzungsprojekts oder das Zuweisen des Cloud KMS-Projekteigentümers an einen anderen Benutzer als den Projekteigentümer des Schlüsselnutzungsprojekts sind ebenfalls nicht ideal, da die Eigentümerrolle zu weitreichend ist und das Prinzip der geringsten Rechte verletzt.