Какие два действия следует предпринять, чтобы обеспечить использование управляемых клиентом ключей шифрования с разделением обязанностей и в соответствии с рекомендациями Google, используя Cloud KMS?

Развертывание Cloud KMS в отдельном проекте обеспечивает разделение обязанностей, поскольку управление ключами отделено от управления данными. Это снижает риск несанкционированного доступа к ключам и данным. Неназначение владельца проекту Cloud KMS также способствует разделению обязанностей, так как ни один пользователь не будет иметь полного контроля над ключами и инфраструктурой. Вместо этого следует использовать более гранулированные роли IAM, такие как администратор Cloud KMS (roles/cloudkms.admin) и пользователь Cloud KMS (roles/cloudkms.viewer/encrypter/decrypter), чтобы обеспечить принцип наименьших привилегий. Развертывание Cloud KMS в том же проекте, где используются ключи, нарушает разделение обязанностей. Предоставление роли roles/cloudkms.admin владельцу проекта, который использует ключи, или назначение владельца проекту Cloud KMS другому пользователю, отличному от владельца проекта, который использует ключи, также не соответствует рекомендациям, поскольку это может привести к чрезмерным привилегиям и нарушению принципа наименьших привилегий.