CMEK でデータを保護する
このページでは、gcloud functions コマンドまたは Cloud Functions v2 API を使用して作成された関数で、顧客管理の暗号鍵（CMEK）を使用してデータを保護する場合の補足情報を提供します。
CMEK の詳細（手動設定、Autokey の使用、CMEK 保護のテストなど）については、Cloud Run のドキュメントをご覧ください。
CMEK を使用する場合、次の種類の Cloud Run functions データが暗号化されます。
- デプロイ用にアップロードされた関数のソースコード。Google により Cloud Storage に保存され、ビルドプロセスで使用されます。
- 次のような関数のビルドプロセスの結果。
- 関数のソースコードからビルドされたコンテナ イメージ。
- デプロイされている関数の各インスタンス。
関数のビルドプロセス自体は、ビルドごとに一意に生成されるエフェメラル キーで保護されます。詳細については、Cloud Build での CMEK コンプライアンスをご覧ください。また、次の点に注意してください。
ファイル システムのパスや変更のタイムスタンプなどのファイル メタデータは暗号化されません。
鍵が無効になっている場合は、コンテナ イメージをデプロイできず、新しいインスタンスを起動できません。
Cloud Run functions の CMEK 保護は、Google が管理する Cloud Run functions リソースにのみ適用されます。ユーザーのソースコード リポジトリ、顧客プロジェクトに存在するイベント チャネル、関数で使用されるサービスなど、ユーザーが管理しているデータとリソースはユーザーが保護する必要があります。