Professional Cloud Security Engineer（Google Cloud） 問題集

正解: B

正解の理由
公式は、デジタル署名は非対称鍵の秘密鍵の部分で作り、同じ非対称鍵の公開鍵の部分で検証すると書いている。Cloud KMS では鍵バージョンごとに鍵の素材が違うので、バージョン 1 で作った署名はバージョン 1 の公開鍵で検証する。バージョン 2 を足しても、過去の署名の検証鍵にはならない。

違う選択肢
「KMS APIエンドポイントのTLS公開鍵を用意する」…通信先を認証するTLS証明書の公開鍵は、KMSが生成したデータ署名の検証鍵ではない。
「署名要求者のサービスアカウント公開鍵を用意する」…要求者を認証するサービスアカウントの鍵と、データの署名に使ったKMS鍵は別である。
「最新のバージョン2の公開鍵を用意する」…最新バージョンの公開鍵は別の鍵素材に対応し、過去の署名を検証する鍵にはならない。

押さえどころ
署名とともに使用した鍵バージョンを識別できる情報を保持する。鍵を更新する運用では、古い署名の検証に必要な公開鍵の保存期間も設計する。