客户管理的加密密钥

如果您使用 Secret Manager 存储和传递 Amazon S3 或 Microsoft Azure 凭据，还可以使用客户管理的加密密钥 (CMEK) 对这些静态凭据进行加密。

如需了解相关说明，请参阅为 Secret Manager 启用客户管理的加密密钥。

使用组织政策强制执行 CMEK

如需通过组织政策强制使用 CMEK，请将 Storage Transfer Service 和 Secret Manager 添加到 constraints/gcp.restrictNonCmekServices 拒绝列表。具体而言，请添加以下内容：

• secretmanager.googleapis.com
• storagetransfer.googleapis.com

如需了解相关说明，请参阅创建和管理组织政策。

Storage Transfer Service 会在创建和更新作业时检查并强制执行此限制。现有的传输作业不受影响。