Per applicare chiavi di crittografia gestite dal cliente con separazione dei compiti e le best practice di Google utilizzando Cloud KMS, quali due azioni dovresti intraprendere?

Per aderire al principio di separazione dei compiti e alle best practice di Google, Cloud KMS dovrebbe essere provisionato in un progetto separato rispetto a quello che utilizza le chiavi. Questo impedisce a un singolo amministratore di avere il controllo sia sulle chiavi che sui dati che proteggono. Non assegnare un proprietario al progetto Cloud KMS è fondamentale per la sicurezza, poiché il ruolo di proprietario concede ampi privilegi che potrebbero compromettere la separazione dei compiti. Invece, dovrebbero essere assegnati ruoli specifici e con privilegi minimi. Assegnare il ruolo di proprietario del progetto Cloud KMS a un utente diverso dal proprietario del progetto che utilizza le chiavi è una buona pratica, ma "Non assegnare un proprietario al progetto Cloud KMS" è una misura di sicurezza più forte, in quanto elimina completamente il rischio associato a un proprietario del progetto.