גבולות הנתונים של תוכנית הפיקוח על מוצרים (CGP) בקנדה

חשוב: לפני שמיישמים את ההנחיות בדף הזה, מומלץ לפנות לייעוץ משפטי עצמאי בנוגע לאחריות שלכם במסגרת CGP. שום דבר במסמך הזה לא נועד לספק לכם ייעוץ משפטי, ואין להשתמש בו כתחליף לייעוץ משפטי. בנוסף, מומלץ לעיין בהנחיות של CGP בנושא שימוש בפתרונות ענן לנתוני מוצרים מפוקחים וליצור קשר עם Controlled Goods Directorate אם יש שאלות.

בדף הזה מתואר אוסף אמצעי הבקרה שמוחלים על עומסי עבודה של Canada Controlled Goods Program ‏ (CGP) ב-Assured Workloads. הוא כולל מידע מפורט על מיקום הנתונים, על מוצרים נתמכים Google Cloud ונקודות הקצה שלהם ב-API, ועל הגבלות או מגבלות שחלות על המוצרים האלה. המידע הנוסף הבא רלוונטי ל-CGP:

• מיקום האחסון של הנתונים: חבילת אמצעי הבקרה של CGP מגדירה אמצעי בקרה למיקום הנתונים כדי לתמוך באזורים שמוגבלים לקנדה. מידע נוסף זמין בקטע Google Cloud-wide organization policy constraints.
• מפתחות הצפנה בניהול הלקוח (CMEK): אתם צריכים להשתמש ב-CMEK בעומסי עבודה ב-CGP עבור מוצרים או שירותים שתומכים בכך. במהלך יצירת התיקייה, Assured Workloads יוצר פרויקט לניהול מפתחות ואוסף מפתחות שבהם אפשר לאחסן את המפתחות. מידע נוסף זמין במאמר בנושא תמיכה בתאימות לניהול מפתחות.
• תמיכה: תמיכת Cloud Customer Care לעומסי עבודה של CGP זמינה רק במסגרת מינויים לתמיכת Enhanced או Premium Cloud Customer Care, על בסיס ייעוץ ומאמץ מיטבי בלבד.
• תמחור: חבילת הבקרה של CGP כלולה ברמת Premium של Assured Workloads, שכוללת חיוב נוסף של 5%. מידע נוסף זמין במאמר בנושא תמחור של Assured Workloads.

דרישות מוקדמות

כדי להמשיך לעמוד בדרישות כמשתמשים בחבילת אמצעי הבקרה של CGP, צריך לוודא שאתם עומדים בדרישות המוקדמות הבאות:

• יוצרים תיקיית CGP באמצעות Assured Workloads ומפריסים את עומסי העבודה של CGP רק בתיקייה הזו.
• צריך להפעיל ולהשתמש רק בשירותי CGP בהיקף עבור עומסי עבודה של CGP.
• אל תשתמשו בשרתי Google Cloud MCP אלא אם צוין אחרת. ‫CGP לא מספק אמצעי בקרה על מיקום הנתונים לנתונים שנמצאים בשימוש ולנתונים במעבר בשרתי Google Cloud MCP. כדי לחסום גישה לא רצויה לשרתי Google Cloud MCP, אפשר לעיין במאמר שליטה בשימוש בשרתי Google Cloud MCP באמצעות IAM.
• אל תשנו את ערכי ברירת המחדל של האילוצים של מדיניות הארגון, אלא אם אתם מבינים את הסיכונים שעלולים להתרחש לגבי מיקום הנתונים ומוכנים לקבל אותם.
• כשניגשים ל Google Cloud מסוף לעומסי עבודה של CGP, צריך להשתמש באחת מכתובות ה-URL הבאות של המסוף Google Cloud לפי תחום שיפוט:
  • console.ca.cloud.google.com
  • ‫console.ca.cloud.google למשתמשים עם זהויות מאוחדות
• בכל השירותים שבהם נעשה שימוש בתיקייה ב-CGP, אל תאחסנו נתונים של מוצרים בפיקוח בסוגי המידע הבאים של הגדרות אבטחה או הגדרות שהוגדרו על ידי המשתמש:
  • הודעות שגיאה
  • פלט המסוף
  • נתוני מאפיינים
  • נתוני הגדרת שירות
  • כותרות של חבילות נתונים ברשת
  • מזהי משאבים
  • תוויות של נתונים
• אסור להזין נתונים של מוצרים בפיקוח או לגשת אליהם דרך Google Cloud המסוף.
• מומלץ לפעול לפי השיטות המומלצות הכלליות לאבטחה שמפורטות בGoogle Cloud מרכז השיטות המומלצות לאבטחה.

מוצרים נתמכים ונקודות קצה של API

אלא אם צוין אחרת, המשתמשים יכולים לגשת לכל המוצרים הנתמכים דרך מסוף Google Cloud . בטבלה הבאה מפורטות הגבלות שמשפיעות על התכונות של מוצר נתמך, כולל הגבלות שנאכפות באמצעות הגדרות של אילוצי מדיניות הארגון.

אם מוצר לא מופיע ברשימה, הוא לא נתמך ולא עומד בדרישות הבקרה של CGP. לא מומלץ להשתמש במוצרים לא נתמכים בלי לבצע בדיקת נאותות ולהבין היטב את האחריות שלכם במסגרת מודל האחריות המשותפת. לפני שמשתמשים במוצר שלא נתמך, חשוב לוודא שאתם מודעים לסיכונים הכרוכים בכך ומוכנים לקבל אותם, כמו השפעות שליליות על מיקום הנתונים או על ריבונות הנתונים.

הערה: יכול להיות שמוצרים שלא נתמכים ישתמשו באותה נקודת קצה של שירות API כמו מוצרים נתמכים, ולכן הם יהיו זמינים לכל המשתמשים.

חשוב: השרתים של Google Cloud MCP לא נתמכים באף מוצר של CGP, אלא אם צוין אחרת. ‫CGP לא מספקת אמצעי בקרה למיקום נתונים לנתונים בשימוש ולנתונים במעבר עם שרתי Google Cloud MCP. באחריותכם לוודא שלא נעשה שימוש בנקודות הקצה של שרתי MCP ב-Google Cloud עם מוצרי CGP. כדי לחסום גישה לא רצויה לשרתי Google Cloud MCP, אפשר לעיין במאמר בנושא שליטה בשימוש בשרתי Google Cloud MCP באמצעות IAM.

מוצר נתמך	נקודות קצה ל-API	הגבלות
Cloud DNS	dns.googleapis.com	תכונות שהושפעו
Cloud Interconnect	compute.googleapis.com	ללא
Cloud Key Management Service ‏(Cloud KMS)	cloudkms.googleapis.com	ללא
Cloud Logging	logging.googleapis.com	תכונות שהושפעו
Cloud Monitoring	monitoring.googleapis.com	תכונות שהושפעו
Cloud Router	compute.googleapis.com	תכונות שהושפעו
Cloud SQL	sqladmin.googleapis.com	מגבלות שקשורות למדיניות הארגון
Cloud Storage	storage.googleapis.com	ללא
Compute Engine	compute.googleapis.com	התכונות שיושפעו ומגבלות שקשורות למדיניות הארגון
Essential Contacts	essentialcontacts.googleapis.com	ללא
ניהול זהויות והרשאות גישה (IAM)	iam.googleapis.com	ללא
Pub/Sub	pubsub.googleapis.com	מגבלות שקשורות למדיניות הארגון
מנהל המשאבים	cloudresourcemanager.googleapis.com	ללא
Secret Manager	secretmanager.googleapis.com	ללא
ענן וירטואלי פרטי (VPC)	compute.googleapis.com	תכונות שהושפעו

הגבלות ומגבלות

בסעיפים הבאים מתוארות הגבלות או מגבלות ברמת Google Cloudאו ברמת המוצר על תכונות, כולל אילוצי מדיניות ארגונית שמוגדרים כברירת מחדל בתיקיות CGP. אילוצים אחרים של מדיניות הארגון שרלוונטיים – גם אם הם לא מוגדרים כברירת מחדל – יכולים לספק הגנה נוספת כדי להגן על המשאבים של הארגון Google Cloud .

אנחנו ממליצים מאוד לא לשנות את הערכים של האילוצים הנדרשים של מדיניות הארגון שמפורטים בקטעים הבאים. הפעולה הזו עלולה לפגוע במיקום הנתונים. כששינוי כזה מתבצע, קשה או בלתי אפשרי לבטל את ההשפעות שלו. לפני שממשיכים, חשוב לוודא שמבינים את ההשלכות של שינוי הערך של אילוץ במדיניות הארגון.

בנוסף, חשוב לוודא שמנגנונים אוטומטיים שהארגון משתמש בהם כדי לנהל את מדיניות הארגון יעודכנו כדי למנוע שינוי לא מכוון של הערכים האלה.

Google Cloud-wide

תכונות שיושפעו Google Cloudבכל הארגון

תכונה	תיאור
מסוףGoogle Cloud	כדי לגשת למסוף Google Cloud כשמשתמשים בחבילת הבקרה של CGP, צריך להשתמש באחת מכתובות ה-URL הבאות: console.ca.cloud.google.com ‫console.ca.cloud.google למשתמשים עם זהות מאוחדת

Google Cloudאילוצים של מדיניות הארגון

האילוצים הבאים של מדיניות הארגון חלים על כל Google Cloud.

אילוץ של מדיניות הארגון	תיאור
gcp.resourceLocations	מגדירים את המיקומים הבאים ברשימה allowedValues: ca northamerica-northeast1 northamerica-northeast2 הערך הזה מגביל את יצירת המשאבים החדשים לערכים שנבחרו. אם המדיניות מוגדרת, אי אפשר ליצור משאבים באזורים אחרים, באזורים שכוללים מספר אזורים או במיקומים מחוץ לבחירה. במאמר בנושא שירותים שנתמכים על ידי מיקומי משאבים מפורטת רשימה של משאבים שאפשר להגביל באמצעות המגבלה של מדיניות הארגון בנושא מיקומי משאבים. יכול להיות שחלק מהמשאבים לא ייכללו בהיקף ולא ניתן יהיה להגביל אותם. שינוי הערך הזה כך שיהיה פחות מגביל עלול לפגוע במיקום הנתונים, כי הוא מאפשר ליצור או לאחסן נתונים מחוץ לגבולות נתונים תואמים.
gcp.restrictCmekCryptoKeyProjects	ההגדרה היא under:organizations/your-organization-name, שהוא הארגון שלכם ב-Assured Workloads. אפשר להגביל עוד יותר את הערך הזה על ידי ציון פרויקט או תיקייה. מגביל את היקף התיקיות או הפרויקטים שאושרו ויכולים לספק מפתחות Cloud KMS להצפנת נתונים במנוחה באמצעות CMEK. האילוץ הזה מונע מתיקיות או מפרויקטים לא מאושרים לספק מפתחות הצפנה, וכך עוזר להבטיח ריבונות הנתונים בשירותים שכלולים בהיקף ההגדרה, כשהם במנוחה.
gcp.restrictNonCmekServices	מוגדר לרשימה של כל שמות השירותים של ה-API שנכללים בהיקף, כולל: bigquerydatatransfer.googleapis.com compute.googleapis.com logging.googleapis.com pubsub.googleapis.com sqladmin.googleapis.com storage.googleapis.com יכול להיות שחלק מהתכונות יושפעו בכל אחד מהשירותים שמפורטים למעלה. כל שירות שמופיע ברשימה דורש מפתחות הצפנה בניהול הלקוח (CMEK). הצפנת CMEK מתבצעת על נתונים באחסון באמצעות מפתח שמנוהל על ידכם, ולא באמצעות מנגנוני ההצפנה שמוגדרים כברירת מחדל ב-Google. שינוי הערך הזה על ידי הסרת שירות אחד או יותר מהרשימה עלול לפגוע בריבונות הנתונים, כי נתונים חדשים במצב מנוחה יוצפנו באופן אוטומטי באמצעות המפתחות של Google ולא המפתחות שלכם. נתונים קיימים באחסון יישארו מוצפנים באמצעות המפתח שסיפקתם.
gcp.restrictServiceUsage	ההגדרה צריכה להיות 'אפשרות שמאפשרת שימוש בכל נקודות הקצה של מוצרי API נתמכים'. הגבלת הגישה בזמן הריצה למשאבים של שירותים מסוימים, כדי לקבוע באילו שירותים אפשר להשתמש. מידע נוסף זמין במאמר בנושא הגבלת השימוש במשאבים.
gcp.restrictTLSVersion	הגדרה לדחיית גרסאות ה-TLS הבאות: TLS_1_0 TLS_1_1 מידע נוסף זמין במאמר בנושא הגבלת גרסאות TLS.

Cloud DNS

התכונות שיושפעו ב-Cloud DNS

תכונה	תיאור
מסוףGoogle Cloud	התכונות של Cloud DNS לא זמינות במסוף Google Cloud . במקום זאת, אפשר להשתמש בAPI או ב-Google Cloud CLI.

Cloud Logging

התכונות שיושפעו ב-Cloud Logging

כדי להשתמש ב-Cloud Logging עם מפתחות הצפנה בניהול הלקוח (CMEK), צריך לבצע את השלבים במאמר הפעלת CMEK בארגון במסמכי התיעוד של Cloud Logging.

תכונה	תיאור
פריטי Sink ביומן	המסננים לא צריכים להכיל נתוני לקוחות. אובייקטי sink ביומן כוללים מסננים שמאוחסנים כהגדרות. אל תיצרו מסננים שמכילים נתוני לקוחות.
רישום ביומן בזמן אמת	המסננים לא צריכים להכיל נתוני לקוחות. סשן של מעקב בזמן אמת כולל מסנן שמאוחסן כתצורה. הפעלת tailing ביומנים לא מאחסנת נתוני רשומות ביומן, אבל יכולה לשלוח שאילתות ולהעביר נתונים בין אזורים. אל תיצרו מסננים שמכילים נתוני לקוחות.
התראות מבוססות-יומן	התכונה הזו מושבתת. אי אפשר ליצור התראות מבוססות-יומן ב Google Cloud מסוף.
כתובות URL מקוצרות לשאילתות ב-Logs Explorer	התכונה הזו מושבתת. אי אפשר ליצור כתובות URL מקוצרות של שאילתות במסוף Google Cloud .
שמירת שאילתות ב-Logs Explorer	התכונה הזו מושבתת. אי אפשר לשמור שאילתות במסוף Google Cloud .
מדיניות התראות שמבוססת על SQL	התכונה הזו מושבתת. אין לך אפשרות להשתמש בתכונה של מדיניות התראות מבוססת-SQL.

Cloud Monitoring

התכונות שיושפעו ב-Cloud Monitoring

תכונה	תיאור
Synthetic Monitor	התכונה הזו מושבתת.
בדיקת זמני פעילות	התכונה הזו מושבתת.

Cloud Router

התכונות המושפעות של Cloud Router

תכונה	תיאור
מסוףGoogle Cloud	התכונות של Cloud Router לא זמינות במסוף Google Cloud . במקום זאת, אפשר להשתמש בAPI או ב-Google Cloud CLI.

Cloud SQL

התכונות שיושפעו ב-Cloud SQL

תכונה	תיאור
ייצוא לקובץ CSV	אל תשתמשו בתכונה ייצוא לקובץ CSV כי היא לא עומדת בדרישות של CGP. התכונה הזו מושבתת במסוף Google Cloud .
executeSql	אל תשתמשו בשיטת executeSql של Cloud SQL API כי היא לא תואמת ל-CGP.

אילוצים של מדיניות הארגון ב-Cloud SQL

אילוץ של מדיניות הארגון	תיאור
sql.restrictNoncompliantDiagnosticDataAccess	מגדירים את הערך True. הסוכן מחיל אמצעי בקרה נוספים על ריבונות הנתונים ועל התמיכה במשאבי Cloud SQL. שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.
sql.restrictNoncompliantResourceCreation	מגדירים את הערך True. החלת אמצעי בקרה נוספים על ריבונות הנתונים כדי למנוע יצירה של משאבי Cloud SQL שלא עומדים בדרישות. שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.

Compute Engine

תכונות מושפעות של Compute Engine

תכונה	תיאור
השהיה וחידוש של מכונת VM	התכונה הזו מושבתת. השהיה והפעלה מחדש של מכונת VM דורשות אחסון בדיסק מתמיד, ובשלב הזה אי אפשר להצפין את האחסון בדיסק מתמיד שמשמש לאחסון מצב ה-VM המושהה באמצעות CMEK. כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ועל מיקום הנתונים, אפשר לעיין במגבלת המדיניות של הארגון gcp.restrictNonCmekServices בקטע שלמעלה.
Local SSDs	התכונה הזו מושבתת. לא תוכלו ליצור מופע עם כונני SSD מקומיים כי אי אפשר להצפין אותם באמצעות CMEK. בקטע שלמעלה מוסבר על האילוץ של מדיניות הארגון gcp.restrictNonCmekServices, כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ועל מיקום הנתונים.
מסוףGoogle Cloud	התכונות הבאות של Compute Engine לא זמינות במסוף Google Cloud . במקום זאת, אפשר להשתמש ב-API או ב-Google Cloud CLI: בדיקות תקינות קבוצות של נקודות קצה ברשת
שיקולי אבטחה לגבי מטא-נתונים של מכונות וירטואליות	באחריותכם לא לכתוב מידע אישי רגיש לשרת המטא-נתונים של המכונה הווירטואלית.
מכונות וירטואליות של Bare Metal Solution	אי אפשר להשתמש במכונות וירטואליות של Bare Metal Solution (מכונות וירטואליות מסוג o2) כי הן לא עומדות בדרישות של CGP.
מכונות וירטואליות ב-Google Cloud VMware Engine	אי אפשר להשתמש במכונות וירטואליות של Google Cloud VMware Engine, כי הן לא עומדות בדרישות של CGP.
יצירת מופע של מכונה וירטואלית מסוג C3	התכונה הזו מושבתת.
שימוש בדיסקים מתמידים או בתמונות המצב שלהם ללא CMEK	אי אפשר להשתמש בדיסקים קבועים או בתמונות המצב שלהם אלא אם הם מוצפנים באמצעות CMEK.
שיתוף של דיסק מתמיד שמבוסס על SSD במצב של גישת כתיבה מרובה	אי אפשר לשתף דיסק מתמיד שמבוסס על SSD במצב ריבוי כותבים בין מופעים של מכונות וירטואליות.
הוספת קבוצת מופעים למאזן עומסים גלובלי	אי אפשר להוסיף קבוצת מופעים למאזן עומסים גלובלי. התכונה הזו מושבתת בגלל אילוץ המדיניות של ארגון compute.disableGlobalLoadBalancing.
סביבת אורח	יכול להיות שסקריפטים, תהליכי רקע וקבצים בינאריים שכלולים בסביבת האורח יוכלו לגשת לנתונים לא מוצפנים במנוחה ובשימוש. יכול להיות שעדכונים לתוכנה הזו יותקנו כברירת מחדל, בהתאם להגדרות של המכונה הווירטואלית. מידע ספציפי על התוכן, קוד המקור ועוד של כל חבילה זמין במאמר בנושא סביבת אורח. הרכיבים האלה עוזרים לכם לעמוד בדרישות של ריבונות נתונים באמצעות אמצעי בקרה ותהליכים פנימיים. עם זאת, אם אתם רוצים שליטה נוספת, אתם יכולים גם לבחור תמונות או סוכנים משלכם, ואם תרצו, תוכלו להשתמש באילוץ compute.trustedImageProjects של מדיניות הארגון. מידע נוסף זמין במאמר בנושא יצירת תמונה בהתאמה אישית.
OS policies in VM Manager	סקריפטים מוטבעים וקבצים בינאריים של פלט בקובצי מדיניות של מערכת ההפעלה לא מוצפנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). אל תכללו מידע רגיש בקבצים האלה. מומלץ לאחסן את הסקריפטים האלה ואת קובצי הפלט בקטגוריות של Cloud Storage. דוגמאות למדיניות של מערכת הפעלה אם רוצים להגביל את היצירה או השינוי של משאבי מדיניות מערכת הפעלה שמשתמשים בסקריפטים מוטבעים או בקובצי פלט בינאריים, צריך להפעיל את אילוץ מדיניות הארגון constraints/osconfig.restrictInlineScriptAndOutputFileUsage. מידע נוסף זמין במאמר מגבלות של OS Config.
instances.getSerialPortOutput()	ממשק ה-API הזה מושבת. לא תהיה לכם אפשרות לקבל פלט של יציאה טורית מהמופע שצוין באמצעות ה-API הזה. כדי להפעיל את ה-API הזה, משנים את הערך של compute.disableInstanceDataAccessApis האילוץ של מדיניות הארגון ל-False. אפשר גם להפעיל ולהשתמש ביציאה הטורית האינטראקטיבית לפי ההוראות שבקטע הפעלת גישה לפרויקט.
instances.getScreenshot()	ממשק ה-API הזה מושבת. לא תהיה לך אפשרות לצלם צילום מסך מהמופע שצוין באמצעות ה-API הזה. כדי להפעיל את ה-API הזה, משנים את הערך של compute.disableInstanceDataAccessApis האילוץ של מדיניות הארגון ל-False. אפשר גם להפעיל ולהשתמש ביציאה הטורית האינטראקטיבית לפי ההוראות שבקטע הפעלת גישה לפרויקט.

מגבלות של מדיניות הארגון ב-Compute Engine

אילוץ של מדיניות הארגון	תיאור
compute.enableComplianceMemoryProtection	מגדירים את הערך True. ההגדרה משביתה חלק מתכונות האבחון הפנימיות כדי לספק הגנה נוספת על תכני הזיכרון במקרה של תקלה בתשתית. שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.
compute.disableGlobalCloudArmorPolicy	מגדירים את הערך True. משבית את היצירה של כללי מדיניות גלובליים לאבטחה ב-Google Cloud Armor ואת ההוספה או השינוי של כללים בכללי מדיניות גלובליים קיימים לאבטחה ב-Google Cloud Armor. המגבלה הזו לא חלה על הסרת כללים או על היכולת להסיר או לשנות את התיאור ואת כרטיס המוצר של מדיניות אבטחה גלובלית של Google Cloud Armor. האילוץ הזה לא משפיע על כללי מדיניות האבטחה האזוריים של Google Cloud Armor. כל כללי המדיניות הגלובליים והאזוריים לאבטחה שקיימים לפני האכיפה של ההגבלה הזו יישארו בתוקף.
compute.disableGlobalLoadBalancing	מגדירים את הערך True. משבית את היצירה של מוצרים גלובליים לאיזון עומסים. שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.
compute.disableGlobalSelfManagedSslCertificate	מגדירים את הערך True. משבית את היצירה של אישורי SSL בניהול עצמי ברמה הגלובלית. שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.
compute.disableInstanceDataAccessApis	מגדירים את הערך True. משבית את ממשקי ה-API של instances.getSerialPortOutput() ושל instances.getScreenshot() בכל העולם. הפעלת האילוץ הזה מונעת יצירת פרטי כניסה במכונות וירטואליות של Windows Server. אם אתם צריכים לנהל שם משתמש וסיסמה במכונת VM של Windows, אתם יכולים לפעול לפי השלבים הבאים: הפעלת SSH למכונות וירטואליות של Windows. מריצים את הפקודה הבאה כדי לשנות את הסיסמה של מכונת ה-VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" מחליפים את מה שכתוב בשדות הבאים: ‫VM_NAME: השם של המכונה הווירטואלית שאתם מגדירים לה סיסמה. ‫USERNAME: שם המשתמש של המשתמש שרוצים להגדיר לו סיסמה. PASSWORD: הסיסמה החדשה.
compute.disableNonFIPSMachineTypes	מגדירים את הערך True. האפשרות הזו משביתה את היצירה של סוגי מכונות וירטואליות שלא עומדים בדרישות FIPS.
compute.restrictNonConfidentialComputing	(אופציונלי) לא הוגדר ערך. כדאי להגדיר את הערך הזה כדי לספק הגנה נוספת. מידע נוסף זמין במאמרי העזרה בנושא מכונות וירטואליות חסויות.
compute.trustedImageProjects	(אופציונלי) לא הוגדר ערך. כדאי להגדיר את הערך הזה כדי לספק הגנה נוספת. הגדרת הערך הזה מגבילה את אחסון התמונות ואת יצירת המופעים של הדיסקים לרשימה שצוינה של פרויקטים. הערך הזה משפיע על ריבונות הנתונים, כי הוא מונע שימוש בתמונות או בסוכנים לא מורשים.

Pub/Sub

אילוצים של מדיניות הארגון ב-Pub/Sub

אילוץ של מדיניות הארגון	תיאור
pubsub.enforceInTransitRegions	מגדירים את הערך True. מוודא שנתוני הלקוח מועברים רק באזורים המותרים שצוינו במדיניות אחסון ההודעות בנושא ב-Pub/Sub. שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.
pubsub.managed.disableSubscriptionMessageTransforms	מגדירים את הערך True. משבית את האפשרות להגדיר מינויים ל-Pub/Sub עם Single Message Transforms (SMTs). שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.
pubsub.managed.disableTopicMessageTransforms	מגדירים את הערך True. ההגדרה הזו משביתה את האפשרות להגדיר Single Message Transforms (SMTs) בנושאים של Pub/Sub. שינוי הערך הזה עשוי להשפיע על מיקום הנתונים או על ריבונות הנתונים של עומס העבודה.

ענן וירטואלי פרטי (VPC)

התכונות המושפעות ב-VPC

תכונה	תיאור
מסוףGoogle Cloud	תכונות של רשתות VPC לא זמינות במסוף. Google Cloud במקום זאת, אפשר להשתמש בAPI או ב-Google Cloud CLI.

המאמרים הבאים

• איך יוצרים תיקיית Assured Workloads
• הסבר על התמחור של Assured Workloads