Cloud KMSを用いたCMEK（Customer-Managed Encryption Keys）でCloud Storageデータを暗号化する仕様に関する正しい理解はどれか。

🎯正解の決め手・公式要点まとめ

Cloud StorageのバケットにデフォルトのKMSキー（CMEK）を設定した場合、その設定後に新しくアップロードされるオブジェクトに対してのみ暗号化が適用されます。既存のオブジェクトは自動的には再暗号化されず、手動で再書き込み（コピー）などを行う必要があります。また、Cloud KMSのキーは複数のサービスで共有して利用することが可能です。キーのローテーションが発生した場合、新しいデータには新しいキーバージョンが使用されますが、過去のキーバージョンで暗号化された既存データは、その過去のバージョンを使用して復号されるため、自動的に再暗号化されるわけではありません。