Claves de Cloud KMS que controla el cliente y que un servicio de Google Cloud usa para cifrar sus datos, en lugar de las claves administradas por Google. El agente de servicio del producto necesita el rol Cloud KMS CryptoKey Encrypter/Decrypter sobre la clave.
En el ACE aparece cuando una escritura falla por permisos tras configurar CMEK: falta otorgar el rol al agente de servicio. La clave debe estar en una ubicación compatible con el recurso.
CMEK (claves de cifrado administradas por el cliente) es uno de los conceptos que puede aparecer en el examen. Revisa la guía completa para verlo en contexto.