Pour appliquer des clés de chiffrement gérées par le client avec une séparation des tâches et les bonnes pratiques de Google à l'aide de Cloud KMS, quelles sont les deux actions à entreprendre ?

Provisionner Cloud KMS dans son propre projet est une bonne pratique de sécurité qui assure une séparation claire des responsabilités et des ressources. Cela empêche que des modifications accidentelles ou malveillantes dans un projet de données n'affectent la gestion des clés. Ne pas attribuer de propriétaire au projet Cloud KMS renforce cette séparation des tâches. Au lieu d'un propriétaire unique, il est recommandé d'utiliser des rôles IAM spécifiques et des groupes pour gérer l'accès, ce qui réduit le risque de compromission par un seul point de défaillance. Provisionner Cloud KMS dans le même projet où les clés sont utilisées ou accorder des rôles d'administrateur trop larges au propriétaire du projet de données viole le principe de moindre privilège et la séparation des tâches. Attribuer le rôle de propriétaire du projet Cloud KMS à un utilisateur différent est une amélioration mais ne remplace pas l'absence de propriétaire pour le projet KMS lui-même, qui est la meilleure pratique.