Datengrenze für das kanadische Controlled Goods Program (CGP)

Wichtig :Bevor Sie die Anleitung auf dieser Seite befolgen, sollten Sie sich unabhängig rechtlich beraten lassen, um Ihre Pflichten im Rahmen des CGP zu klären. Nichts in diesem Dokument ist als Rechtsberatung gedacht oder sollte als Ersatz für eine Rechtsberatung verwendet werden. Lesen Sie außerdem den CGP-Leitfaden zur Verwendung von Cloud-Lösungen für Daten zu kontrollierten Gütern und wenden Sie sich bei Fragen an das Controlled Goods Directorate.

Auf dieser Seite werden die Kontrollmechanismen beschrieben, die auf Arbeitslasten des Canada Controlled Goods Program (CGP) in Assured Workloads angewendet werden. Sie enthält detaillierte Informationen zu Datenspeicherorten, unterstützten Google Cloud Produkten und ihren API-Endpunkten sowie zu allen anwendbaren Einschränkungen für diese Produkte. Für CGP gelten die folgenden zusätzlichen Informationen:

• Datenstandort: Das CGP-Kontrollpaket legt die Steuerelemente für den Datenstandort so fest, dass nur Regionen in Kanada unterstützt werden. Weitere Informationen finden Sie im Abschnitt Google Cloud-weite Einschränkungen für Organisationsrichtlinien.
• Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK): Sie müssen CMEK in CGP-Workloads für Produkte oder Dienste verwenden, die sie unterstützen. Bei der Ordnererstellung erstellt Assured Workloads ein Schlüsselverwaltungsprojekt und einen Schlüsselbund, in dem Sie Ihre Schlüssel speichern können. Weitere Informationen finden Sie unter Compliance mit der Schlüsselverwaltung unterstützen.
• Support: Cloud Customer Care für CGP-Arbeitslasten ist nur mit einem erweiterten oder Premium-Cloud Customer Care-Abo auf beratender Basis und nach bestem Wissen und Gewissen verfügbar.
• Preise: Das CGP-Kontrollpaket ist in der Premium-Stufe von Assured Workloads enthalten, für die ein Aufschlag von 5% anfällt. Weitere Informationen finden Sie unter Preise für Assured Workloads.

Vorbereitung

Damit Sie als Nutzer des CGP-Kontrollpakets die Compliance-Anforderungen erfüllen, müssen Sie die folgenden Voraussetzungen erfüllen und einhalten:

• Erstellen Sie einen CGP-Ordner mit Assured Workloads und stellen Sie Ihre CGP-Arbeitslasten nur in diesem Ordner bereit.
• Aktivieren und verwenden Sie nur CGP-Dienste für CGP-Arbeitslasten.
• Verwenden Sie Google Cloud-MCP-Server nur, wenn dies ausdrücklich angegeben ist. CGP bietet keine Kontrollen für den Datenstandort für Daten in Verwendung und bei der Übertragung mit Google Cloud MCP-Servern. Informationen zum Blockieren des Zugriffs auf unerwünschte Google Cloud MCP-Server finden Sie auf der Seite Verwendung von Google Cloud MCP-Servern mit IAM steuern.
• Ändern Sie die Standardwerte für die Einschränkungen der Organisationsrichtlinie nur, wenn Sie die damit verbundenen Risiken für den Datenstandort kennen und bereit sind, diese zu akzeptieren.
• Wenn Sie auf die Google Cloud Console für CGP-Arbeitslasten zugreifen, müssen Sie eine der folgenden Jurisdictional Google Cloud Console-URLs verwenden:
  • console.ca.cloud.google.com
  • console.ca.cloud.google für Nutzer mit föderierten Identitäten
• Speichern Sie für alle Dienste, die in einem CGP-Ordner verwendet werden, keine Daten zu kontrollierten Gütern in den folgenden benutzerdefinierten oder sicherheitsbezogenen Konfigurationsinformationstypen:
  • Fehlermeldungen
  • Console-Ausgabe
  • Attributdaten
  • Daten zur Dienstkonfiguration
  • Header von Netzwerkpaketen
  • Ressourcenkennzeichnungen
  • Datenlabels
• Geben Sie keine Daten zu kontrollierten Waren über die Google Cloud Console ein und greifen Sie nicht darüber darauf zu.
• Wir empfehlen, die allgemeinen Best Practices für die Sicherheit zu übernehmen, die im Google Cloud Center für Sicherheits-Best-Practices bereitgestellt werden.

Unterstützte Produkte und API-Endpunkte

Sofern nicht anders angegeben, können Nutzer über die Google Cloud Console auf alle unterstützten Produkte zugreifen. Einschränkungen, die sich auf die Funktionen eines unterstützten Produkts auswirken, einschließlich derer, die durch Einschränkungseinstellungen für Organisationsrichtlinien erzwungen werden, sind in der folgenden Tabelle aufgeführt.

Wenn ein Produkt nicht aufgeführt ist, wird es nicht unterstützt und hat die Anforderungen für die Steuerung von CGP nicht erfüllt. Die Verwendung nicht unterstützter Produkte wird nicht empfohlen, ohne dass Sie eine Due-Diligence-Prüfung durchgeführt und Ihre Verantwortlichkeiten im Modell der gemeinsamen Verantwortung sorgfältig verstanden haben. Bevor Sie ein nicht unterstütztes Produkt verwenden, sollten Sie sich über alle damit verbundenen Risiken im Klaren sein und diese akzeptieren, z. B. negative Auswirkungen auf den Datenspeicherort oder die Datenhoheit.

Hinweis: Nicht unterstützte Produkte können einen API-Dienstendpunkt mit unterstützten Produkten gemeinsam nutzen, wodurch sie für alle Nutzer verfügbar sind.

Wichtig: Google Cloud MCP-Server werden für CGP-Produkte nicht unterstützt, sofern nicht anders angegeben. CGP bietet keine Steuerelemente für den Datenstandort für Daten in Verwendung und bei der Übertragung mit Google Cloud MCP-Servern. Sie sind dafür verantwortlich, dass Google Cloud MCP-Serverendpunkte nicht mit CGP-Produkten verwendet werden. Informationen zum Blockieren des Zugriffs auf unerwünschte Google Cloud MCP-Server finden Sie auf der Seite Verwendung von Google Cloud MCP-Servern mit IAM steuern.

Unterstütztes Produkt	API-Endpunkte	Einschränkungen oder Beschränkungen
Cloud DNS	dns.googleapis.com	Betroffene Funktionen
Cloud Interconnect	compute.googleapis.com	Keine
Cloud Key Management Service (Cloud KMS)	cloudkms.googleapis.com	Keine
Cloud Logging	logging.googleapis.com	Betroffene Funktionen
Cloud Monitoring	monitoring.googleapis.com	Betroffene Funktionen
Cloud Router	compute.googleapis.com	Betroffene Funktionen
Cloud SQL	sqladmin.googleapis.com	Einschränkungen für Organisationsrichtlinien
Cloud Storage	storage.googleapis.com	Keine
Compute Engine	compute.googleapis.com	Betroffene Funktionen und Einschränkungen für Organisationsrichtlinien
Wichtige Kontakte	essentialcontacts.googleapis.com	Keine
Identitäts- und Zugriffsverwaltung	iam.googleapis.com	Keine
Pub/Sub	pubsub.googleapis.com	Einschränkungen für Organisationsrichtlinien
Resource Manager	cloudresourcemanager.googleapis.com	Keine
Secret Manager	secretmanager.googleapis.com	Keine
Virtual Private Cloud (VPC)	compute.googleapis.com	Betroffene Funktionen

Limits und Einschränkungen

In den folgenden Abschnitten werden Google Cloud-weite oder produktspezifische Einschränkungen oder Einschränkungen für Funktionen beschrieben, einschließlich aller Einschränkungen von Organisationsrichtlinien, die standardmäßig für CGP-Ordner festgelegt sind. Andere anwendbare Einschränkungen für Organisationsrichtlinien, auch wenn sie nicht standardmäßig festgelegt sind, können eine zusätzliche gestaffelte Sicherheitsebene bieten, um die Google Cloud Ressourcen Ihrer Organisation weiter zu schützen.

Wir empfehlen dringend, die Werte der erforderlichen Einschränkungen für Organisationsrichtlinien, die in den folgenden Abschnitten aufgeführt sind, nicht zu ändern. Dies kann den Datenstandort untergraben. Wenn eine solche Änderung vorgenommen wurde, sind die Auswirkungen der Änderung schwierig oder unmöglich rückgängig zu machen. Machen Sie sich mit den Auswirkungen von Änderungen des Werts einer Einschränkung für Organisationsrichtlinien vertraut, bevor Sie fortfahren.

Achten Sie außerdem darauf, dass alle automatisierten Mechanismen, mit denen Ihre Organisation Organisationsrichtlinien verwaltet, aktualisiert werden, um zu verhindern, dass diese Werte unbeabsichtigt geändert werden.

Google Cloud × Google Cloud

Betroffene Google Cloud-weite Funktionen

Funktion	Beschreibung
Google Cloud Console	Wenn Sie das CGP-Kontrollpaket verwenden, müssen Sie eine der folgenden URLs verwenden, um auf die Google Cloud Console zuzugreifen: console.ca.cloud.google.com console.ca.cloud.google für Nutzer mit föderierten Identitäten

Google Cloud-weite Einschränkungen für Organisationsrichtlinien

Die folgenden Einschränkungen für Organisationsrichtlinien gelten für Google Cloud.

Einschränkung der Organisationsrichtlinie	Beschreibung
gcp.resourceLocations	Legen Sie die folgenden Standorte in der Liste allowedValues fest: ca northamerica-northeast1 northamerica-northeast2 Dieser Wert beschränkt das Erstellen neuer Ressourcen auf die ausgewählten Werte. Wenn diese Option festgelegt ist, können keine Ressourcen in anderen Regionen, in mehreren Regionen oder an Standorten außerhalb der Auswahl erstellt werden. Eine Liste der Ressourcen, die durch die Organisationsrichtlinieneinschränkung „Ressourcenstandorte“ eingeschränkt werden können, finden Sie unter Unterstützte Dienste für Ressourcenstandorte. Einige Ressourcen sind möglicherweise nicht abgedeckt und können nicht eingeschränkt werden. Wenn Sie diesen Wert ändern, indem Sie ihn weniger einschränken, untergraben Sie den Datenstandort, indem Sie das Erstellen oder Speichern von Daten außerhalb einer konformen Datengrenze zulassen.
gcp.restrictCmekCryptoKeyProjects	Auf under:organizations/your-organization-name festgelegt, Ihre Assured Workloads-Organisation. Sie können diesen Wert weiter einschränken, indem Sie ein Projekt oder einen Ordner angeben. Beschränkt den Bereich genehmigter Ordner oder Projekte, die Cloud KMS-Schlüssel für die Verschlüsselung von Daten im Ruhezustand mithilfe von CMEK bereitstellen können. Diese Einschränkung verhindert, dass nicht genehmigte Ordner oder Projekte Verschlüsselungsschlüssel bereitstellen. Dadurch sorgt die Datenhoheit für inaktive Daten innerhalb des Geltungsbereichs.
gcp.restrictNonCmekServices	Legen Sie eine Liste aller API-Dienstnamen innerhalb des Geltungsbereichs fest, einschließlich: bigquerydatatransfer.googleapis.com compute.googleapis.com logging.googleapis.com pubsub.googleapis.com sqladmin.googleapis.com storage.googleapis.com Einige Funktionen können für jeden der oben aufgeführten Dienste betroffen sein. Für jeden aufgeführten Dienst sind kundenverwaltete Verschlüsselungsschlüssel (CMEK) erforderlich. Mit CMEK werden inaktive Daten mit einem von Ihnen verwalteten Schlüssel verschlüsselt, nicht mit den Standardverschlüsselungsmechanismen von Google. Wenn Sie diesen Wert ändern, indem Sie einen oder mehrere Dienste innerhalb des Geltungsbereichs aus der Liste entfernen, kann dies die Datenhoheit untergraben, da neue Daten im Ruhezustand automatisch mit den eigenen Schlüsseln von Google anstelle Ihrer Schlüssel verschlüsselt werden. Vorhandene inaktive Daten werden mit dem von Ihnen angegebenen Schlüssel verschlüsselt.
gcp.restrictServiceUsage	Legen Sie fest, dass alle unterstützten Produkte und API-Endpunkte zugelassen werden. Bestimmt, welche Dienste verwendet werden können, indem der Laufzeitzugriff auf ihre Ressourcen eingeschränkt wird. Weitere Informationen finden Sie unter Ressourcennutzung einschränken.
gcp.restrictTLSVersion	Auf „Verweigern“ setzen für die folgenden TLS-Versionen: TLS_1_0 TLS_1_1 Weitere Informationen finden Sie unter TLS-Versionen einschränken.

Cloud DNS

Betroffene Cloud DNS-Funktionen

Funktion	Beschreibung
Google Cloud Console	Cloud DNS-Funktionen sind in der Google Cloud Console nicht verfügbar. Verwenden Sie stattdessen die API oder die Google Cloud CLI.

Cloud Logging

Betroffene Cloud Logging-Funktionen

Um Cloud Logging mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) zu verwenden, müssen Sie die Schritte auf der Seite CMEK für eine Organisation aktivieren in der Cloud Logging-Dokumentation ausführen.

Funktion	Beschreibung
Logsenken	Filter sollten keine Kundendaten enthalten. Logsenken enthalten Filter, die als Konfiguration gespeichert sind. Erstellen Sie keine Filter, die Kundendaten enthalten.
Live-Verfolgung von Logeinträgen	Filter sollten keine Kundendaten enthalten. Eine Live-Verfolgungs-Sitzung enthält einen Filter, der als Konfiguration gespeichert wird. In Tailing-Logs werden keine Logeintragsdaten gespeichert, sie können jedoch Daten zwischen Regionen abfragen und übertragen. Erstellen Sie keine Filter, die Kundendaten enthalten.
Logbasierte Benachrichtigungen	Die Funktion ist deaktiviert. Logbasierte Benachrichtigungen können nicht in der Google Cloud Console erstellt werden.
Gekürzte URLs für Log-Explorer-Abfragen	Die Funktion ist deaktiviert. In der Google Cloud Console können Sie keine verkürzten URLs von Abfragen erstellen.
Abfragen im Log-Explorer speichern	Die Funktion ist deaktiviert. In der Google Cloud -Konsole können Sie keine Abfragen speichern.
SQL-basierte Benachrichtigungsrichtlinien	Die Funktion ist deaktiviert. Sie können das Feature für SQL-basierte Benachrichtigungsrichtlinien nicht verwenden.

Cloud Monitoring

Betroffene Cloud Monitoring-Funktionen

Funktion	Beschreibung
Synthetischer Monitor	Die Funktion ist deaktiviert.
Verfügbarkeitsdiagnosen	Die Funktion ist deaktiviert.

Cloud Router

Betroffene Cloud Router-Funktionen

Funktion	Beschreibung
Google Cloud Console	Cloud Router-Funktionen sind in der Google Cloud Console nicht verfügbar. Verwenden Sie stattdessen die API oder die Google Cloud CLI.

Cloud SQL

Betroffene Cloud SQL-Features

Funktion	Beschreibung
Export in CSV wird ausgeführt...	Verwenden Sie die Funktion Als CSV exportieren nicht, da sie nicht mit CGP konform ist. Diese Funktion ist in der Google Cloud Konsole deaktiviert.
executeSql	Verwenden Sie nicht die executeSql-Methode der Cloud SQL API, da sie nicht mit CGP konform ist.

Einschränkungen für Cloud SQL-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie	Beschreibung
sql.restrictNoncompliantDiagnosticDataAccess	Auf True festlegen. Wendet zusätzliche Kontrollen für Datenhoheit und Support auf Cloud SQL-Ressourcen an. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
sql.restrictNoncompliantResourceCreation	Auf True festlegen. Wendet zusätzliche Kontrollen für die Datenhoheit an, um die Erstellung nicht konformer Cloud SQL-Ressourcen zu verhindern. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.

Compute Engine

Betroffene Compute Engine-Funktionen

Funktion	Beschreibung
VM-Instanz anhalten bzw. fortsetzen	Die Funktion ist deaktiviert. Das Anhalten und Fortsetzen einer VM-Instanz erfordert nichtflüchtigen Speicher. Der nichtflüchtige Speicher, der zum Speichern des Status der angehaltenen VM verwendet wird, kann derzeit nicht mit CMEK verschlüsselt werden. Weitere Informationen zu den Auswirkungen der Aktivierung dieser Funktion auf Datensouveränität und Datenspeicherort finden Sie oben im Abschnitt zur Einschränkung der Organisationsrichtlinie gcp.restrictNonCmekServices.
Lokale SSDs	Die Funktion ist deaktiviert. Sie können keine Instanz mit lokalen SSDs erstellen, da sie nicht mit CMEK verschlüsselt werden können. Weitere Informationen zu den Auswirkungen der Aktivierung dieser Funktion auf Datensouveränität und Datenspeicherort finden Sie oben im Abschnitt zur Einschränkung der Organisationsrichtlinie gcp.restrictNonCmekServices.
Google Cloud Console	Die folgenden Compute Engine-Funktionen sind in der Google Cloud Console nicht verfügbar. Verwenden Sie stattdessen die API oder die Google Cloud CLI: Systemdiagnosen Netzwerk-Endpunktgruppen
Sicherheitsaspekte für VM-Metadaten	Es liegt in Ihrer Verantwortung, keine vertraulichen Daten auf den VM-Metadatenserver zu schreiben.
Bare-Metal-Lösung – VMs	Sie können keine Bare-Metal-Lösung-VMs (o2-VMs) verwenden, da diese nicht CGP-konform sind.
Google Cloud VMware Engine-VMs	Google Cloud VMware Engine-VMs können nicht verwendet werden, da sie nicht CGP-konform sind.
C3-VM-Instanz erstellen	Diese Funktion ist deaktiviert.
Nichtflüchtige Speicher oder deren Snapshots ohne CMEK verwenden	Sie können nichtflüchtige Speicher oder deren Snapshots nur verwenden, wenn sie mit CMEK verschlüsselt wurden.
Nichtflüchtigen SSD-Speicher im Modus für mehrere Autoren freigeben	Sie können einen nichtflüchtiger SSD-Speicher im Modus für mehrere Autoren nicht für VM-Instanzen freigeben.
Instanzgruppe einem globalen Load-Balancer hinzufügen	Sie können einem globalen Load-Balancer keine Instanzgruppe hinzufügen. Diese Funktion ist aufgrund der Einschränkung der compute.disableGlobalLoadBalancing-Organisationsrichtlinie deaktiviert.
Gastumgebung	Skripts, Daemons und Binärdateien, die in der Gastumgebung enthalten sind, können auf unverschlüsselte Daten sowie inaktive Daten zugreifen. Abhängig von Ihrer VM-Konfiguration können Aktualisierungen dieser Software standardmäßig installiert werden. Ausführliche Informationen zum Inhalt, zum Quellcode und zu den einzelnen Paketen finden Sie unter Gastumgebung. Diese Komponenten tragen dazu bei, dass Sie die Datenhoheit durch interne Sicherheitskontrollen und -prozesse erfüllen. Wenn Sie jedoch zusätzliche Kontrolle wünschen, können Sie auch eigene Images oder Agents auswählen und optional die compute.trustedImageProjects Organisationsrichtlinieneinschränkung verwenden. Weitere Informationen finden Sie unter Benutzerdefiniertes Image erstellen.
Betriebssystemrichtlinien in VM Manager	Inline-Scripts und binäre Ausgabedateien in den OS-Richtliniendateien werden nicht mit vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) verschlüsselt. Geben Sie in diesen Dateien keine vertraulichen Informationen an. Es empfiehlt sich, diese Skripts und Ausgabedateien in Cloud Storage-Buckets zu speichern. Weitere Informationen finden Sie unter Beispiel für Betriebssystemrichtlinien. Wenn Sie die Erstellung oder Änderung von Betriebssystemrichtlinien-Ressourcen einschränken möchten, die Inline-Scripts oder Binärausgabedateien verwenden, aktivieren Sie die Einschränkung constraints/osconfig.restrictInlineScriptAndOutputFileUsage der Organisationsrichtlinie. Weitere Informationen finden Sie unter Einschränkungen für die Betriebssystemkonfiguration.
instances.getSerialPortOutput()	Diese API ist deaktiviert. Mit dieser API können Sie keine Ausgabe vom seriellen Port der angegebenen Instanz abrufen. Ändern Sie den Wert der Einschränkung für die Organisationsrichtlinie compute.disableInstanceDataAccessApis in False, um diese API zu aktivieren. Sie können den interaktiven seriellen Port auch aktivieren und verwenden. Folgen Sie dazu der Anleitung unter Zugriff für ein Projekt aktivieren.
instances.getScreenshot()	Diese API ist deaktiviert. Mit dieser API können Sie keinen Screenshot von der angegebenen Instanz erhalten. Ändern Sie den Wert der Einschränkung für die Organisationsrichtlinie compute.disableInstanceDataAccessApis in False, um diese API zu aktivieren. Sie können den interaktiven seriellen Port auch aktivieren und verwenden. Folgen Sie dazu der Anleitung unter Zugriff für ein Projekt aktivieren.

Einschränkungen für Compute Engine-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie	Beschreibung
compute.enableComplianceMemoryProtection	Auf True festlegen. Deaktiviert einige interne Diagnosefunktionen, um bei einem Infrastrukturfehler zusätzlichen Schutz des Speicherinhalts zu bieten. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
compute.disableGlobalCloudArmorPolicy	Auf True festlegen. Deaktiviert das Erstellen neuer globaler Google Cloud Armor-Sicherheitsrichtlinien sowie das Hinzufügen oder Ändern von Regeln für vorhandene globale Google Cloud Armor-Sicherheitsrichtlinien. Das Entfernen von Regeln oder das Entfernen oder Ändern der Beschreibung und Auflistung globaler Google Cloud Armor-Sicherheitsrichtlinien wird durch diese Beschränkung nicht eingeschränkt. Regionale Google Cloud Armor-Sicherheitsrichtlinien sind von dieser Einschränkung nicht betroffen. Alle globalen und regionalen Sicherheitsrichtlinien, die vor der Erzwingung dieser Beschränkung vorhanden waren, bleiben in Kraft.
compute.disableGlobalLoadBalancing	Auf True festlegen. Deaktiviert das Erstellen von globalen Load-Balancing-Produkten. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
compute.disableGlobalSelfManagedSslCertificate	Auf True festlegen. Deaktiviert das Erstellen globaler selbstverwalteter SSL-Zertifikate. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
compute.disableInstanceDataAccessApis	Auf True festlegen. Deaktiviert global die APIs instances.getSerialPortOutput() und instances.getScreenshot(). Wenn Sie diese Einschränkung aktivieren, können Sie keine Anmeldedaten auf Windows Server-VMs generieren. Wenn Sie einen Nutzernamen und ein Passwort auf einer Windows-VM verwalten müssen, gehen Sie so vor: SSH für Windows-VMs aktivieren Führen Sie den folgenden Befehl aus, um das Passwort der VM zu ändern: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Ersetzen Sie Folgendes: VM_NAME: Der Name der VM, für die Sie das Passwort festlegen. USERNAME: Der Nutzername des Nutzers, für den Sie das Passwort festlegen. PASSWORD: Das neue Passwort.
compute.disableNonFIPSMachineTypes	Auf True festlegen. Verhindert das Erstellen von VM-Instanztypen, die nicht den FIPS-Anforderungen entsprechen.
compute.restrictNonConfidentialComputing	(Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um zusätzliche Sicherheit zu bieten. Weitere Informationen finden Sie in der Confidential VM-Dokumentation.
compute.trustedImageProjects	(Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um zusätzliche Sicherheit zu bieten. Durch Festlegen dieses Werts wird die Image-Speicherung und Instanziierung von Laufwerken auf die angegebene Liste von Projekten beschränkt. Dieser Wert wirkt sich auf die Datenhoheit aus, da nicht autorisierte Images oder Agents nicht verwendet werden.

Pub/Sub

Einschränkungen für Organisationsrichtlinien für Pub/Sub

Einschränkung der Organisationsrichtlinie	Beschreibung
pubsub.enforceInTransitRegions	Auf True festlegen. Sorgt dafür, dass Kundendaten nur innerhalb der Regionen übertragen werden, die in der Nachrichtenspeicherrichtlinie für das Pub/Sub-Thema als zulässig festgelegt sind. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
pubsub.managed.disableSubscriptionMessageTransforms	Auf True festlegen. Deaktiviert das Festlegen von Single Message Transforms (SMTs) für Pub/Sub-Abos. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
pubsub.managed.disableTopicMessageTransforms	Auf True festlegen. Verhindert, dass für Pub/Sub-Themen Single Message Transforms (SMTs) festgelegt werden. Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.

Virtual Private Cloud (VPC)

Betroffene VPC-Funktionen

Funktion	Beschreibung
Google Cloud Console	VPC-Netzwerkfunktionen sind in der Google Cloud Console nicht verfügbar. Verwenden Sie stattdessen die API oder die Google Cloud CLI.

Nächste Schritte

• Informationen zum Erstellen eines Assured Workloads-Ordners
• Assured Workloads-Preise