「授權區隔」的概念可確保一個人不會擁有完成惡意行為的所有必要權限。在 Cloud Key Management Service 中，這一行為可能是使用金鑰對該使用者通常不應擁有存取權的資料進行存取及解密。
授權區隔是一種業務控管措施，通常用於較大的機構，旨在協助避免發生安全性或隱私權事件與錯誤。 我們將這視為最佳做法。
如需進一步協助，請參閱安全使用 Identity and Access Management 的相關說明文件。
在獨立專案中設定 Cloud KMS
Cloud KMS 可在現有專案 (例如 your-project) 中執行，如果在 Cloud KMS 中使用金鑰加密的資料儲存在相同專案中，這項操作可能會比較有意義。
但是，對該專案擁有 owner 存取權的任何使用者，也可以在該專案的 Cloud KMS 中管理金鑰 (並使用金鑰執行加密編譯作業)。這是因為金鑰本身屬於專案所有，而使用者是專案的 owner。
為了允許授權區隔，您可以在 Cloud KMS 自己的專案中執行 Cloud KMS，例如 your-key-project。然後，根據區隔要求的嚴格程度，您可以執行下列操作：
- (建議) 建立在專案層級沒有
owner，但在機構層級獲得機構管理員角色的your-key-project。與owner不同，機構管理員無法直接管理或使用金鑰。只能設定 IAM 政策，限制可管理及使用金鑰的人員。使用機構層級節點，您可以進一步限制機構中專案的權限。 - (不建議) 如果您必須繼續使用
owner角色，請務必將該角色授予your-key-project中owner以外的主體。your-projectowner仍可使用鍵，但只能在單一專案中使用。