Une table BigQuery ingère des messages d'un abonnement Pub/Sub en utilisant le chiffrement géré par Google. La politique de l'organisation exige l'utilisation de CMEK à partir d'un projet Cloud KMS centralisé pour les données au repos. Que devez-vous faire ?

La politique de l'organisation exige l'utilisation de CMEK pour les données au repos. BigQuery ne permet pas de modifier le type de chiffrement (Google-géré ou CMEK) d'une table existante. Par conséquent, pour appliquer CMEK, il est nécessaire de créer une nouvelle table BigQuery configurée avec les clés CMEK du projet Cloud KMS centralisé. Une fois la nouvelle table créée, les données de l'ancienne table (chiffrée par Google) doivent être migrées vers la nouvelle table. L'option d'utiliser Dataflow avec une clé Cloud KMS pour l'ingestion Pub/Sub ne résout pas le problème du chiffrement de la table BigQuery elle-même. Créer un nouveau sujet Pub/Sub avec CMEK n'est pas nécessaire car la politique concerne les données au repos dans BigQuery, et le chiffrement Pub/Sub n'affecte pas le chiffrement de la table BigQuery. Créer à la fois une nouvelle table et un nouveau sujet Pub/Sub avec CMEK est excessif, car seul le chiffrement de la table BigQuery doit être modifié.