Una chiave Cloud KMS che protegge gli oggetti Cloud Storage crittografati con CMEK è stata esposta. È necessario crittografare nuovamente tutti gli oggetti protetti da CMEK con una nuova chiave, eliminare la chiave compromessa e impedire che in futuro vengano scritti oggetti senza CMEK. Cosa fai?

La risposta corretta prevede la creazione di una nuova chiave KMS e un nuovo bucket con tale chiave come predefinita, quindi la copia degli oggetti. Questo garantisce che tutti i dati vengano crittografati con la nuova chiave e che i futuri caricamenti nel nuovo bucket utilizzino automaticamente CMEK. Le altre opzioni sono errate perché: Ruotare la versione della chiave non ricripta i dati esistenti, ma solo i nuovi dati. Impostare una nuova chiave come CMEK predefinito sul bucket esistente non ricripta i dati già presenti. Copiare gli oggetti specificando la nuova chiave nel comando di copia è ridondante se il bucket di destinazione ha già la nuova chiave come predefinita e non impedisce caricamenti futuri senza CMEK.