Professional Cloud Database Engineer（Google Cloud） 問題集

正解: A

正解の理由
CMEK のページの About keys には「新しい Cloud SQL インスタンスは、関連付ける鍵と同じリージョンに置かなければならない」とあり、続けて「鍵と Cloud SQL を1つのプロジェクトに置くことも、別々のプロジェクトに置くこともできる」と書かれています。条件はリージョンの一致だけで、プロジェクトは問われません。asia-northeast1 のインスタンスなら、別プロジェクトでも asia-northeast1 の鍵を使えます。

違う選択肢
「同じプロジェクトのasiaにあるマルチリージョン鍵」…asiaというマルチリージョンはasia-northeast1の代わりにはなりません。同じプロジェクトでも不適合です。
「同じプロジェクトのasia-northeast2にあるCloud KMS鍵」…近接した別リージョンでも一致とは扱われません。同じプロジェクトに置くことでこの条件は変わりません。
「別プロジェクトのglobalにあるCloud KMS鍵」…globalの鍵はCloud SQLインスタンスのリージョンと一致せず、この用途には使用できません。

押さえどころ
鍵の利用権限はCloud SQLのサービスアカウントへ付与します。組織上の鍵管理責任と、資源のリージョン条件を分けて設計できます。