Welke twee acties moet u ondernemen om door de klant beheerde encryptiesleutels af te dwingen met scheiding van taken en Google best practices met behulp van Cloud KMS?

Om door de klant beheerde encryptiesleutels (CMEK) af te dwingen met scheiding van taken en Google best practices, moet Cloud KMS in een eigen project worden geprovisioneerd. Dit isoleert de sleutels van de resources die ze beveiligen, wat de beveiliging verhoogt. Bovendien mag er geen eigenaar worden toegewezen aan het Cloud KMS-project. Dit voorkomt dat één entiteit volledige controle heeft over zowel de sleutels als de data, wat cruciaal is voor scheiding van taken. Het provisioneren van Cloud KMS in hetzelfde project waar de sleutels worden gebruikt, is een slechte praktijk omdat het de scheiding van taken ondermijnt. Het toekennen van de rol roles/cloudkms.admin aan de eigenaar van het project dat de sleutels gebruikt, of het toewijzen van de Cloud KMS-projecteigenaar aan een andere gebruiker dan de eigenaar van het project dat de sleutels gebruikt, voldoet niet aan de best practice om geen eigenaar toe te wijzen aan het KMS-project zelf.