Para aplicar claves de cifrado administradas por el cliente con separación de funciones y las prácticas recomendadas de Google usando Cloud KMS, ¿qué dos acciones debería realizar?

Para una separación de funciones efectiva y siguiendo las mejores prácticas de Google, Cloud KMS debe aprovisionarse en un proyecto dedicado. Esto aísla la gestión de claves de los recursos que utilizan esas claves. No asignar el rol de propietario a nadie en el proyecto de Cloud KMS es crucial para evitar que una sola persona tenga control total sobre la infraestructura de claves, lo que fortalece la seguridad y la separación de funciones. Aprovisionar Cloud KMS en el mismo proyecto donde se usan las claves va en contra de la separación de funciones. Otorgar roles de administrador de KMS al propietario del proyecto que usa las claves también rompe la separación. Asignar el rol de propietario del proyecto de Cloud KMS a un usuario diferente al propietario del proyecto que usa las claves es una buena práctica, pero la opción más estricta y segura es no asignar un propietario en absoluto.