Вы используете Kafka и Redis на Compute Engine, и вам требуется шифрование неактивных данных с помощью ключей, которые вы можете создавать, ротировать и уничтожать. Что вам следует сделать?

Правильный ответ — создание ключей в Cloud Key Management Service (KMS) и их использование для шифрования данных на экземплярах Compute Engine. Cloud KMS позволяет создавать, ротировать и уничтожать ключи шифрования, обеспечивая полный контроль над жизненным циклом ключей. Интеграция с Compute Engine позволяет использовать эти ключи для шифрования неактивных данных (Customer-Managed Encryption Keys, CMEK), что соответствует требованиям задачи. Создание выделенной учетной записи службы и использование шифрования Compute Engine, на которое есть ссылки в вызовах API, не дает полного контроля над ключами, так как это скорее относится к управлению доступом, а не к управлению самими ключами шифрования. Создание ключей локально и их загрузка в Cloud KMS возможно, но менее безопасно и удобно, чем генерация ключей непосредственно в KMS. Создание ключей в Cloud KMS и ссылка на них в вызовах API при доступе к данным экземпляра не является механизмом шифрования неактивных данных, а скорее относится к шифрованию данных в процессе передачи или к программному шифрованию данных в приложении.