客戶自行管理的加密金鑰

如果您使用 Secret Manager 儲存及傳遞 Amazon S3 或 Microsoft Azure 憑證，也可以使用客戶自行管理的加密金鑰 (CMEK) 加密這些靜態憑證。

如需操作說明，請參閱「為 Secret Manager 啟用客戶管理加密金鑰」。

透過機構政策強制執行 CMEK

如要透過機構政策強制使用 CMEK，請將 Storage Transfer Service 和 Secret Manager 新增至constraints/gcp.restrictNonCmekServices拒絕清單。具體來說，請新增：

  • secretmanager.googleapis.com
  • storagetransfer.googleapis.com

如需操作說明，請參閱「建立及管理機構政策」。

Storage Transfer Service 會在建立及更新工作時檢查並強制執行這項限制。現有的移轉工作不會受到影響。