プロバイダのスタッフが復号できないように、Trust-No-Oneのアプローチを使用して、機密性の高いファイルをCloud Storageにアーカイブします。どうすればよいですか？

このアプローチは、Cloud KMSで生成された対称鍵を使用してファイルを暗号化し、さらに認証済み追加データ（AAD）を利用することで、プロバイダが復号できないようにします。AADは暗号文の完全性を保証し、復号時に元のAADが提供されない限り、データにアクセスできません。AADをGoogle Cloudの外部に保持することで、Google Cloud環境が侵害された場合でも、プロバイダがデータにアクセスするのを防ぎます。他の選択肢は、鍵の破棄やローテーションが不適切であったり、CSEKの管理方法が不十分であったりするため、Trust-No-Oneの原則を満たしません。