Cloud KMSを用いてCloud StorageのオブジェクトをCMEK（顧客管理暗号鍵）で保護する場合の適切な構成として、正しいものはどれですか。

🎯正解の決め手・公式要点まとめ

Cloud StorageでCMEK（顧客管理暗号鍵）を使用する場合、Cloud Storageのサービスエージェント（サービスアカウント）に対して、対象のCloud KMSキーに対する「Cloud KMS 暗号化/復号担当者（roles/cloudkms.cryptoKeyEncrypterDecrypter）」ロールを付与する必要があります。また、バケットまたはオブジェクトにCloud KMSキーを指定することで暗号化が行われます。なお、KMSキーはバケットと同じロケーション（リージョンまたはマルチリージョン）に作成されている必要があります。