GCP Terraform Misconfiguration: Compute Engine Missing Customer-Managed Encryption Key

Compute Engine インスタンスは、顧客から提供される暗号化キーを使用したディスク暗号化キーの保護は行いません。

デフォルトでは、Google Cloud Compute Engine は保存されているすべてのデータを暗号化します。顧客から提供された暗号化キー (CSEK) が指定されている場合は、それがデータ暗号化キーを暗号化します。Google は、CSEK を Compute Engine インスタンスに保存せず、正しい CSEK が提供されない限り、保護されたデータにアクセスできません。

例 1: 次の例は、Compute Engine インスタンスの永続ディスクを定義する Terraform 構成を示しています。disk_encryption_key ブロックがないため、データ暗号化キーを保護する CSEK はありません。

resource "google_compute_disk" "compute-disk-demo" {
    name  = "test-disk"
    type  = "pd-ssd"
}