Een Cloud KMS-sleutel die CMEK-versleutelde Cloud Storage-objecten beschermt, is gecompromitteerd. U moet alle CMEK-beschermde objecten opnieuw versleutelen met een nieuwe sleutel, de gecompromitteerde sleutel verwijderen en voorkomen dat toekomstige objecten zonder CMEK worden geschreven. Wat doet u?

De correcte aanpak is om een nieuwe Cloud KMS-sleutel en een nieuwe Cloud Storage-bucket te maken. Configureer de nieuwe bucket met de nieuwe sleutel als standaard CMEK. Kopieer vervolgens de objecten van de gecompromitteerde bucket naar de nieuwe bucket. Door geen sleutel op te geven tijdens het kopiëren, worden de objecten automatisch versleuteld met de standaard CMEK van de nieuwe bucket. Dit zorgt ervoor dat alle objecten opnieuw worden versleuteld met de nieuwe, veilige sleutel en dat toekomstige objecten in die bucket ook met CMEK worden beschermd. Het roteren van de sleutelversie (optie 1) versleutelt bestaande objecten niet opnieuw. Het instellen van een nieuwe standaard CMEK op de bestaande bucket (optie 2) versleutelt evenmin bestaande objecten opnieuw. Het expliciet opgeven van de nieuwe sleutel bij het kopiëren (optie 3) is overbodig als de nieuwe bucket al correct is geconfigureerd met de nieuwe standaard CMEK.