Uruchamiasz Kafka i Redis na Compute Engine i potrzebujesz szyfrowania danych w spoczynku (data-at-rest encryption) za pomocą kluczy, które możesz tworzyć, rotować i niszczyć. Co powinieneś zrobić?

Prawidłowa odpowiedź to utworzenie kluczy w Cloud Key Management Service (KMS) i użycie ich do szyfrowania danych na instancjach Compute Engine. Cloud KMS to zarządzana usługa, która pozwala na tworzenie, przechowywanie, rotację i niszczenie kluczy kryptograficznych, zapewniając pełną kontrolę nad cyklem życia kluczy. Możesz użyć tych kluczy do szyfrowania dysków trwałych (Persistent Disks) podłączonych do instancji Compute Engine, co spełnia wymaganie szyfrowania danych w spoczynku z możliwością zarządzania kluczami. Pozostałe opcje są nieprawidłowe: Utworzenie dedykowanego konta usługi i użycie szyfrowania w spoczynku Compute Engine, do którego odwołujesz się w wywołaniach API, nie daje pełnej kontroli nad kluczami, ponieważ domyślne szyfrowanie Compute Engine używa kluczy zarządzanych przez Google. Utworzenie kluczy lokalnie i przesłanie ich do Cloud KMS jest możliwe, ale bezpośrednie tworzenie kluczy w Cloud KMS jest prostszym i zalecanym podejściem, jeśli nie ma specyficznych wymagań dotyczących generowania kluczy poza chmurą. Odwoływanie się do kluczy w Cloud KMS w wywołaniach API podczas uzyskiwania dostępu do danych instancji nie jest mechanizmem szyfrowania danych w spoczynku na dyskach, lecz raczej służy do szyfrowania danych przesyłanych lub przechowywanych w innych usługach.