Ключ Cloud KMS, защищающий объекты Cloud Storage, зашифрованные с помощью CMEK, был скомпрометирован. Вам необходимо повторно зашифровать все объекты, защищенные CMEK, новым ключом, удалить скомпрометированный ключ и предотвратить запись будущих объектов без CMEK. Что вы предпримете?

Правильный ответ включает создание нового ключа Cloud KMS и нового бакета Cloud Storage, настроенного на использование этого нового ключа в качестве CMEK по умолчанию. Затем объекты из старого бакета копируются в новый без явного указания ключа при копировании. Это гарантирует, что все объекты в новом бакете будут зашифрованы новым ключом по умолчанию, а также предотвратит запись будущих объектов без CMEK, так как бакет требует CMEK. Другие варианты не полностью решают проблему: Смена версии ключа не решает проблему скомпрометированного ключа, так как старые данные остаются зашифрованными скомпрометированным ключом. Установка нового ключа в качестве CMEK по умолчанию для существующего бакета не перешифрует уже существующие объекты. Копирование объектов с указанием нового ключа в команде копирования не гарантирует, что все будущие объекты будут использовать CMEK, если бакет не настроен на это по умолчанию.