Aby wymusić użycie kluczy szyfrowania zarządzanych przez klienta z podziałem obowiązków i zgodnie z najlepszymi praktykami Google przy użyciu Cloud KMS, które dwie czynności należy wykonać?

Aby wymusić podział obowiązków i najlepsze praktyki Google, Cloud KMS powinien działać w osobnym projekcie. Oddzielenie projektu KMS od projektu, w którym używane są klucze, zapobiega sytuacji, w której osoba zarządzająca danymi ma również kontrolę nad kluczami szyfrującymi. Dodatkowo, nieprzypisywanie roli właściciela (Owner) do projektu Cloud KMS jest kluczowe. Rola właściciela ma szerokie uprawnienia, w tym możliwość usuwania projektu i zarządzania wszystkimi zasobami. Unikanie tej roli w projekcie KMS, szczególnie w połączeniu z oddzielnym projektem, wzmacnia zasadę najmniejszych uprawnień i podziału obowiązków, co jest zgodne z najlepszymi praktykami bezpieczeństwa. Uruchomienie KMS w tym samym projekcie lub przyznanie roli roles/cloudkms.admin właścicielowi projektu używającego kluczy narusza zasadę podziału obowiązków. Przypisanie roli właściciela projektu KMS innemu użytkownikowi niż właściciel projektu używającego kluczy jest lepsze, ale nadal rola właściciela jest zbyt szeroka.