一個保護 CMEK 加密的 Cloud Storage 物件的 Cloud KMS 金鑰遭到洩露。您必須使用新金鑰重新加密所有受 CMEK 保護的物件，刪除受損的金鑰，並防止未來在沒有 CMEK 的情況下寫入物件。您該怎麼做？

當 Cloud KMS 金鑰洩露時，必須使用新金鑰重新加密所有受影響的物件。建立一個新的 Cloud KMS 金鑰，並建立一個新的 Cloud Storage 儲存桶，將其預設 CMEK 設定為這個新金鑰。接著，將舊儲存桶中的所有物件複製到新儲存桶。由於新儲存桶已設定預設 CMEK，複製操作會自動使用新金鑰重新加密物件，無需在複製指令中額外指定金鑰。這種方法確保所有物件都使用新的、未洩露的金鑰加密，同時也防止未來物件在沒有 CMEK 的情況下寫入，因為新儲存桶強制使用 CMEK。 其他選項不正確的原因： 輪換 Cloud KMS 金鑰版本只會影響新寫入的資料，現有資料仍使用舊金鑰版本加密。 將新金鑰設定為現有儲存桶的預設 CMEK，也只會影響新寫入的資料，現有資料不會自動重新加密。 在複製指令中指定新金鑰雖然可以重新加密，但如果新儲存桶沒有設定預設 CMEK，未來寫入的物件可能無法強制使用 CMEK。