Google マネージドサービスを使用しながら、オンプレミス HSM で生成および保存されたキーを使用して、すべての BigQuery データを暗号化する必要があります。どの方法を実装しますか？

オンプレミスHSMで生成・保存されたキーを使用し、BigQueryデータを暗号化するには、Cloud EKMが最適です。Cloud EKMは、オンプレミスHSMに存在するキーをGoogle Cloudサービスから利用できるようにするサービスです。この方法では、キー自体がGoogle Cloudにインポートされることはなく、オンプレミスHSMでキーの主権を維持できます。BigQueryリソース作成時に、このCloud EKMキーを関連付けることで、BigQueryのデータがそのキーで暗号化されます。 最初の選択肢は、キーをCloud KMSにインポートするため、オンプレミスでのキー主権が失われます。3番目の選択肢のCloud HSMは、Google Cloud上でHSM機能を提供するものであり、オンプレミスHSMのキーを直接利用するものではありません。最後の選択肢は、BigQueryのデータ暗号化に直接関連するものではなく、データ取り込み時の暗号化はBigQueryの保存時暗号化とは異なります。