Une clé Cloud KMS protégeant des objets Cloud Storage chiffrés par CMEK a été exposée. Vous devez rechiffrer tous les objets protégés par CMEK avec une nouvelle clé, supprimer la clé compromise et empêcher que de futurs objets ne soient écrits sans CMEK. Que faites-vous ?

La bonne approche consiste à créer une nouvelle clé Cloud KMS pour garantir la sécurité. Ensuite, créez un nouveau bucket Cloud Storage et configurez-le pour utiliser cette nouvelle clé comme clé de chiffrement gérée par le client (CMEK) par défaut. Enfin, copiez tous les objets de l'ancien bucket vers le nouveau. Lors de la copie, il n'est pas nécessaire de spécifier la clé, car le nouveau bucket appliquera automatiquement sa clé CMEK par défaut aux objets entrants, assurant ainsi leur rechiffrement. Cette méthode garantit que tous les objets sont protégés par la nouvelle clé, que la clé compromise est isolée et que les futurs objets du nouveau bucket seront également chiffrés par CMEK. Les autres options sont incorrectes car : Faire pivoter la version de la clé ne résout pas le problème d'une clé compromise ; l'ancienne version reste accessible. Définir une nouvelle clé comme CMEK par défaut sur le bucket existant ne rechiffre pas les objets déjà présents. Copier des objets en spécifiant la clé dans la commande de copie est redondant si le bucket de destination a déjà une clé CMEK par défaut.