Cloud Storage 中的敏感資料必須支援金鑰輪替，並將在 Dataproc 中處理。哪種加密方法符合 Google 的安全最佳實務？

正確答案是使用 Cloud Key Management Service (KMS) 建立金鑰，並將儲存桶上的加密金鑰設定為 Cloud KMS 金鑰。這是 Google Cloud 的安全最佳實務，因為它利用了 Cloud KMS 的強大金鑰管理功能，包括自動金鑰輪替和集中式權限控制。當您將 Cloud KMS 金鑰設定為儲存桶的加密金鑰時，Cloud Storage 會自動處理資料的加密和解密，而無需應用程式層的額外操作。 其他選項不符合最佳實務： 使用 Cloud KMS 的 encrypt 方法加密資料：這需要在應用程式層進行加密和解密，增加了複雜性，且可能導致金鑰管理不當。 產生 GPG 金鑰對：GPG 金鑰不是 Google Cloud 服務的原生金鑰管理解決方案，整合性較差，且難以大規模管理和輪替。 產生 AES-256 加密金鑰並使用客戶提供的加密金鑰 (CSEK) 功能：雖然 CSEK 提供了一定程度的控制，但它將金鑰管理和輪替的責任完全轉嫁給客戶，不符合 Google Cloud 建議的自動化和集中化金鑰管理最佳實務。