Compute Engine에서 Kafka와 Redis를 실행 중이며, 생성, 순환 및 파기할 수 있는 키를 사용하여 저장 데이터 암호화(data-at-rest encryption)가 필요합니다. 어떻게 해야 할까요?

정답은 Cloud Key Management Service에서 키를 생성하고 해당 키를 사용하여 Compute Engine 인스턴스의 데이터를 암호화하는 것입니다. Cloud KMS는 저장 데이터 암호화에 필요한 키를 중앙에서 생성, 관리, 순환 및 파기할 수 있는 Google Cloud의 완전 관리형 서비스입니다. Compute Engine 인스턴스에 연결된 영구 디스크의 데이터를 암호화하는 데 이 키를 직접 사용할 수 있습니다. 오답인 '전용 서비스 계정을 생성하고 API 호출에서 참조되는 Compute Engine 저장 데이터 암호화를 사용합니다'는 Compute Engine의 기본 암호화는 Google이 관리하는 키를 사용하므로 요구 사항인 '생성, 순환 및 파기할 수 있는 키'를 충족하지 못합니다. '로컬에서 키를 생성하고 Cloud KMS에 업로드한 다음 인스턴스의 데이터를 암호화하는 데 사용합니다'는 Cloud KMS가 자체적으로 키를 생성하고 관리하는 것이 더 안전하고 권장되는 방법입니다. 'Cloud KMS에서 키를 생성하고 인스턴스 데이터에 액세스할 때 API 호출에서 해당 키를 참조합니다'는 데이터 액세스 시점에 키를 참조하는 것이 아니라, 디스크 생성 시점에 키를 지정하여 디스크 자체를 암호화해야 합니다.