您必須使用僅在內部部署 HSM 上產生和儲存的金鑰來加密所有 BigQuery 資料，同時使用 Google 管理的服務。您會實作哪種方法？

正確答案是使用 Cloud External Key Manager (Cloud EKM)。Cloud EKM 允許您使用內部部署 HSM 中管理的加密金鑰來保護 Google Cloud 中的資料。它透過將您的金鑰連結到 Cloud EKM 金鑰來實現這一點，該金鑰隨後可與 BigQuery 等 Google 管理的服務關聯。這滿足了在內部部署 HSM 上產生和儲存金鑰的要求，同時仍利用 Google Cloud 的服務。 將金鑰匯入 Cloud KMS (選項 1 和 3) 不符合「僅在內部部署 HSM 上產生和儲存」的要求，因為匯入會將金鑰的副本儲存在 Cloud KMS 中。選項 4 不符合使用 Google 管理的服務進行加密的要求，因為它暗示在資料擷取時進行客戶端加密，這與 BigQuery 的內建加密機制不同。