Google強化資料庫服務Cloud Spanner的安全性，提高用戶保護資料的能力，推出了由用戶管理加密金鑰的CMEK功能，讓用戶可以在雲端金鑰管理服務（Cloud Key Management，KMS）管理加密金鑰，並同時新增存取許可功能（Access Approval）。Cloud Spanner是Google雲端的全託管關聯式資料庫服務，具有無限規模、高效能、跨地區、強一致性和高可用等特性。
Spanner不只預設客戶端函式庫會加密傳輸的資料，同時儲存在雲端的資料，也會使用由Google管理的金鑰加密，但Google提到，由於金融服務、醫療保健和生命科學以及電信等受監管的行業，用戶有需要自己控制加密金鑰的需求。因此Spanner提供CMEK支援，讓用戶可以完全控制加密金鑰，執行高安全性和法遵要求的工作負載，另外，用戶還也能夠使用CMEK來保護資料庫備份。
Spanner整合了Cloud KMS來支援CMEK，用戶可以在Cloud KMS中生成、使用、轉換和銷燬加密金鑰，需要更高安全等級的用戶，可以選擇使用受硬體保護的安全金鑰，在FIPS 140-2等級3驗證的硬體安全模組中，託管加密金鑰並且執行加密操作。這個Spanner中的CMEK功能在所有Spanner地區均可用，並且用戶還能選擇多個支援KMS和HSM的地區。
除了改進加密金鑰管理功能之外，Cloud Spanner還新增了存取許可功能，Google提到，除了安全控制之外，用戶還需要對資料使用的方式，擁有完全的可見性和控制能力。
過去用戶使用Cloud Spanner稽核日誌來記錄，其Google雲端組織成員和管理員的資料存取活動，同時也能啟用透明性日誌來記錄Google人員的行動，確認Google支援人員和功能人員操作用戶資料的正當性。而在最新版本的Cloud Spanner中，Google強化了這些功能，進一步提供存取許可功能。
存取許可提供用戶更多控制資料的方法，用戶可以阻止Google員工存取資料，並且在獲得明確許可之後，才能繼續資料存取操作，Google提到，這是透明性日誌在透明性之上，提供的另一個控制層。存取許可也讓用戶查詢已許可、已拒絕和過期請求等歷史記錄。
要使用這項功能，用戶必須從組織的控制臺中，啟用存取透明性功能，之後就能從控制臺啟用存取許可功能。
線