Han cambiado los nombres de algunos paquetes de control de Assured Workloads. Para obtener información sobre el cambio de nombre, consulta Controlar el aviso de cambio de nombre del paquete.

Google usa tecnología de IA para traducir contenido al idioma que prefieras. Las traducciones generadas por IA pueden contener errores.

Data Boundary para el programa de mercancías controladas (CGP) de Canadá

En esta página se describe el conjunto de controles que se aplican a las cargas de trabajo del Programa de Productos Controlados de Canadá (CGP) en Assured Workloads. Proporciona información detallada sobre la residencia de los datos, los productos admitidos Google Cloud y sus endpoints de API, así como las restricciones o limitaciones aplicables a esos productos. La siguiente información adicional se aplica a CGP:

Residencia de datos: el paquete de controles de CGP define controles de ubicación de datos para admitir regiones solo de Canadá. Consulta la sección Restricciones de las políticas de toda la organización deGoogle Cloud para obtener más información.
Claves de cifrado gestionadas por el cliente (CMEK): debes usar CMEK en cargas de trabajo de CGP para productos o servicios que las admitan. Durante la creación de la carpeta, Assured Workloads crea un proyecto de gestión de claves y un conjunto de claves para que almacenes tus claves. Consulta Cumplimiento con la gestión de claves para obtener más información.
Asistencia: la asistencia de Cloud Customer Care para cargas de trabajo de CGP solo está disponible con las suscripciones Enhanced o Premium de Cloud Customer Care y se ofrece de forma consultiva y con el mejor esfuerzo posible.
Precios: el paquete de controles de CGP se incluye en el nivel Premium de Assured Workloads, que conlleva un cargo adicional del 5 %. Consulta los precios de Assured Workloads para obtener más información.

Requisitos previos

Para seguir cumpliendo los requisitos como usuario del paquete de controles de CGP, compruebe que cumple los siguientes requisitos previos:

Crea una carpeta de CGP con Assured Workloads y despliega tus cargas de trabajo de CGP solo en esa carpeta.
Habilita y usa solo los servicios de CGP incluidos en el ámbito para las cargas de trabajo de CGP.
No cambies los valores predeterminados de las restricciones de la política de la organización, a menos que entiendas y aceptes los riesgos de residencia de datos que puedan producirse.
En todos los servicios que se usen en una carpeta de CGP, no almacenes datos de productos controlados en los siguientes tipos de información de configuración de seguridad o definidos por el usuario:
- Mensajes de error
- Salida de la consola
- Datos de atributos
- Datos de configuración del servicio
- Encabezados de paquetes de red
- Identificadores de recursos
- Etiquetas de datos
No introduzcas ni accedas a datos de productos controlados a través de la Google Cloud consola.
Te recomendamos que adoptes las prácticas recomendadas de seguridad generales que se indican en el Google Cloud centro de prácticas recomendadas de seguridad.

Productos y endpoints de API admitidos

A menos que se indique lo contrario, los usuarios pueden acceder a todos los productos admitidos a través de la consola de Google Cloud . En la siguiente tabla se indican las restricciones o limitaciones que afectan a las funciones de un producto admitido, incluidas las que se aplican mediante los ajustes de restricciones de la política de la organización.

Si un producto no aparece en la lista, significa que no se admite y que no cumple los requisitos de control de CGP. No se recomienda usar productos no admitidos sin haber tomado las precauciones necesarias y sin conocer a fondo las responsabilidades que te corresponden en el modelo de responsabilidad compartida. Antes de usar un producto no admitido, asegúrate de que conoces y aceptas los riesgos asociados, como los efectos negativos en la residencia o la soberanía de los datos.

Producto admitido	Endpoints de API	Restricciones o limitaciones
Cloud DNS	`dns.googleapis.com`	Funciones afectadas
Cloud HSM	`cloudkms.googleapis.com`	Ninguno
Cloud Interconnect	`compute.googleapis.com`	Ninguno
Cloud Key Management Service (Cloud KMS)	`cloudkms.googleapis.com`	Ninguno
Cloud Logging	`logging.googleapis.com`	Funciones afectadas
Cloud Monitoring	`monitoring.googleapis.com`	Funciones afectadas
Cloud Router	`compute.googleapis.com`	Funciones afectadas
Cloud SQL	`sqladmin.googleapis.com`	Ninguno
Cloud Storage	`storage.googleapis.com`	Ninguno
Compute Engine	`compute.googleapis.com`	Funciones afectadas y restricciones de política de organización
Contactos esenciales	`essentialcontacts.googleapis.com`	Ninguno
Filestore	`file.googleapis.com`	Ninguno
Gestión de identidades y accesos (IAM)	`iam.googleapis.com`	Ninguno
Persistent Disk	`compute.googleapis.com`	Ninguno
Pub/Sub	`pubsub.googleapis.com`	Restricciones de las políticas de organización
Resource Manager	`cloudresourcemanager.googleapis.com`	Ninguno
Nube privada virtual (VPC)	`compute.googleapis.com`	Funciones afectadas

Restricciones y limitaciones

En las siguientes secciones se describen las restricciones o limitaciones de las funciones a nivel de Google Cloudo de producto, incluidas las restricciones de políticas de la organización que se definen de forma predeterminada en las carpetas de CGP. Otras restricciones de políticas de la organización aplicables, aunque no estén definidas de forma predeterminada, pueden proporcionar una defensa en profundidad adicional para proteger aún más los recursos de tu organización. Google Cloud

Google Cloudde ancho

Restricciones de las políticas de organización deGoogle Cloud

Las siguientes restricciones de la política de la organización se aplican en Google Cloud.

Restricción de política de organización	Descripción
`gcp.resourceLocations`	Selecciona las siguientes ubicaciones en la lista `allowedValues`: `ca` `northamerica-northeast1` `northamerica-northeast2` Este valor restringe la creación de recursos nuevos a los valores seleccionados. Si se define, no se pueden crear recursos en ninguna otra región, multirregión ni ubicación fuera de la selección. Consulta la sección Servicios compatibles con ubicaciones de recursos para ver una lista de los recursos que se pueden restringir mediante la restricción de la política de la organización de ubicaciones de recursos, ya que es posible que algunos recursos estén fuera del ámbito y no se puedan restringir. Si se cambia este valor para que sea menos restrictivo, se puede poner en riesgo la residencia de los datos, ya que se permite que se creen o almacenen datos fuera de un límite de datos conforme.
`gcp.restrictCmekCryptoKeyProjects`	Se ha definido como `under:organizations/your-organization-name`, que es tu organización de Assured Workloads. Puede restringir aún más este valor especificando un proyecto o una carpeta. Limita el ámbito de las carpetas o proyectos aprobados que pueden proporcionar claves de Cloud KMS para cifrar datos en reposo mediante CMEK. Esta restricción impide que carpetas o proyectos no aprobados proporcionen claves de cifrado, lo que ayuda a garantizar la soberanía de los datos en reposo de los servicios incluidos en el ámbito.
`gcp.restrictNonCmekServices`	Se define como una lista de todos los nombres de servicios de API incluidos en el ámbito, entre los que se incluyen los siguientes: `compute.googleapis.com` `logging.googleapis.com` `pubsub.googleapis.com` `sqladmin.googleapis.com` `storage.googleapis.com` Es posible que algunas funciones se vean afectadas en cada uno de los servicios indicados anteriormente. Cada servicio de la lista requiere claves de cifrado gestionadas por el cliente (CMEK). Las CMEK permiten que los datos en reposo se cifren con una clave gestionada por ti, no con los mecanismos de cifrado predeterminados de Google. Si cambias este valor quitando uno o varios servicios incluidos en el ámbito de la lista, puede que se vea afectada la soberanía de los datos, ya que los nuevos datos en reposo se cifrarán automáticamente con las claves de Google en lugar de con las tuyas. Los datos en reposo se seguirán cifrando con la clave que proporcionaste.
`gcp.restrictServiceUsage`	Se define para permitir todos los productos y endpoints de API admitidos. Determina qué servicios se pueden usar restringiendo el acceso en tiempo de ejecución a sus recursos. Para obtener más información, consulta Restringir el uso de recursos.
`gcp.restrictTLSVersion`	Definir para denegar las siguientes versiones de TLS: `TLS_1_0` `TLS_1_1` Consulta la página Restringir versiones de TLS para obtener más información.

Compute Engine

Funciones de Compute Engine afectadas

Función	Descripción
Suspender y reanudar una instancia de máquina virtual	Esta función está inhabilitada. Para suspender y reanudar una instancia de máquina virtual, se necesita almacenamiento en disco persistente. Actualmente, el almacenamiento en disco persistente que se usa para almacenar el estado de la VM suspendida no se puede cifrar con CMEK. Consulte la restricción de la política de organización `gcp.restrictNonCmekServices` en la sección anterior para comprender las implicaciones de habilitar esta función en cuanto a la soberanía y la residencia de los datos.
SSDs locales	Esta función está inhabilitada. No podrás crear una instancia con SSDs locales porque actualmente no se pueden cifrar con CMEK. Consulte la restricción de la política de organización `gcp.restrictNonCmekServices` en la sección anterior para conocer las implicaciones de habilitar esta función en cuanto a la soberanía y la residencia de los datos.
VMs de Bare Metal Solution	No puedes usar VMs de Solución Bare Metal (VMs o2) porque no cumplen los requisitos de CGP.
Máquinas virtuales de VMware Engine de Google Cloud	No puedes usar máquinas virtuales de VMware Engine de Google Cloud, ya que no cumplen los requisitos del programa de partners de Google Cloud.
Crear una instancia de VM C3	Esta función está inhabilitada.
Usar discos persistentes o sus capturas sin CMEK	No puedes usar discos persistentes ni sus capturas a menos que se hayan cifrado con CMEK.
Compartir un disco persistente SSD en el modo de escritura múltiple	No puedes compartir un disco persistente SSD en modo multiescritura entre instancias de VM.
Añadir un grupo de instancias a un balanceador de carga global	No puedes añadir un grupo de instancias a un balanceador de carga global. Esta función está inhabilitada por la restricción de la política de la organización `compute.disableGlobalLoadBalancing`.
Suspender y reanudar una instancia de máquina virtual	Esta función está inhabilitada. Para suspender y reanudar una instancia de máquina virtual, se necesita almacenamiento en disco persistente. Además, el almacenamiento en disco persistente que se usa para almacenar el estado de la máquina virtual suspendida no se puede cifrar con CMEK. Esta función está inhabilitada por la restricción de la política de la organización `gcp.restrictNonCmekServices`.
SSDs locales	Esta función está inhabilitada. No podrás crear una instancia con SSDs locales porque no se pueden cifrar con CMEK. Esta función está inhabilitada por la restricción de la política de la organización `gcp.restrictNonCmekServices`.
Entorno de invitado	Es posible que las secuencias de comandos, los daemons y los archivos binarios incluidos en el entorno invitado accedan a datos sin cifrar en reposo y en uso. En función de la configuración de tu máquina virtual, es posible que las actualizaciones de este software se instalen de forma predeterminada. Consulta el entorno de invitado para obtener información específica sobre el contenido, el código fuente y otros datos de cada paquete. Estos componentes te ayudan a cumplir los requisitos de soberanía de los datos mediante controles y procesos de seguridad internos. Sin embargo, si quieres tener más control, también puedes seleccionar tus propias imágenes o agentes y, opcionalmente, usar la restricción de la política de organización `compute.trustedImageProjects`. Consulta la página Crear una imagen personalizada para obtener más información.
Políticas de SO en VM Manager	Las secuencias de comandos insertadas y los archivos de salida binarios de los archivos de políticas del SO no se cifran con claves de cifrado gestionadas por el cliente (CMEK). No incluyas información sensible en estos archivos. Te recomendamos que almacenes estas secuencias de comandos y archivos de salida en segmentos de Cloud Storage. Para obtener más información, consulta los ejemplos de políticas de SO. Si quieres restringir la creación o modificación de recursos de políticas de SO que usen secuencias de comandos insertadas o archivos de salida binarios, habilita la restricción de la política de organización `constraints/osconfig.restrictInlineScriptAndOutputFileUsage`. Para obtener más información, consulta Restricciones de Configuración del SO.
`instances.getSerialPortOutput()`	Esta API está inhabilitada. No podrás obtener la salida del puerto serie de la instancia especificada mediante esta API. Cambia el valor de la restricción de la política de organización `compute.disableInstanceDataAccessApis` a False para habilitar esta API. También puedes habilitar y usar el puerto serie interactivo siguiendo las instrucciones de Habilitar el acceso a un proyecto.
`instances.getScreenshot()`	Esta API está inhabilitada, por lo que no podrás obtener una captura de pantalla de la instancia especificada con ella. Cambia el valor de la restricción de la política de organización `compute.disableInstanceDataAccessApis` a False para habilitar esta API. También puedes habilitar y usar el puerto serie interactivo siguiendo las instrucciones de Habilitar el acceso a un proyecto.

Restricciones de las políticas de organización de Compute Engine

Restricción de política de organización	Descripción
`compute.enableComplianceMemoryProtection`	Su valor debe ser True. Inhabilita algunas funciones de diagnóstico internas para proporcionar protección adicional de la memoria cuando se produce un fallo en la infraestructura. Si cambia este valor, puede afectar a la residencia o la soberanía de los datos de su carga de trabajo.
`compute.disableGlobalCloudArmorPolicy`	Su valor debe ser True. Inhabilita la creación de nuevas políticas de seguridad de Google Cloud Armor globales, así como la adición o modificación de reglas en las políticas de seguridad de Google Cloud Armor globales. Esta restricción no limita la eliminación de reglas ni la capacidad de eliminar o cambiar la descripción y la lista de políticas de seguridad globales de Google Cloud Armor. Esta restricción no afecta a las políticas de seguridad regionales de Google Cloud Armor. Todas las políticas de seguridad globales y regionales que existan antes de la aplicación de esta restricción seguirán vigentes.
`compute.disableGlobalLoadBalancing`	Su valor debe ser True. Inhabilita la creación de productos de balanceo de carga global. Si cambia este valor, puede afectar a la residencia o la soberanía de los datos de su carga de trabajo.
`compute.disableGlobalSelfManagedSslCertificate`	Su valor debe ser True. Inhabilita la creación de certificados SSL autogestionados globales. Si cambia este valor, puede afectar a la residencia o la soberanía de los datos de su carga de trabajo.
`compute.disableInstanceDataAccessApis`	Su valor debe ser True. Inhabilita globalmente las APIs `instances.getSerialPortOutput()` y `instances.getScreenshot()`. Si habilitas esta restricción, no podrás generar credenciales en máquinas virtuales de Windows Server. Si necesitas gestionar un nombre de usuario y una contraseña en una VM de Windows, haz lo siguiente: Habilita SSH para máquinas virtuales Windows. Ejecuta el siguiente comando para cambiar la contraseña de la VM: gcloud compute ssh `VM_NAME` --command "net user `USERNAME` `PASSWORD`" Sustituye lo siguiente: `VM_NAME`: el nombre de la máquina virtual cuya contraseña vas a definir. `USERNAME`: el nombre de usuario del usuario cuya contraseña vas a definir. `PASSWORD`: la nueva contraseña.
`compute.disableNonFIPSMachineTypes`	Su valor debe ser True. Inhabilita la creación de tipos de instancias de VM que no cumplan los requisitos de FIPS.
`compute.restrictNonConfidentialComputing`	(Opcional) No se ha definido ningún valor. Defina este valor para proporcionar una defensa en profundidad adicional. Para obtener más información, consulta la documentación sobre máquinas virtuales confidenciales.
`compute.trustedImageProjects`	(Opcional) No se ha definido ningún valor. Defina este valor para proporcionar una defensa en profundidad adicional. Si se define este valor, el almacenamiento de imágenes y la creación de instancias de disco se limitarán a la lista de proyectos especificada. Este valor afecta a la soberanía de los datos, ya que impide el uso de imágenes o agentes no autorizados.

Cloud DNS

Funciones de Cloud DNS afectadas

Función	Descripción
Google Cloud consola	Las funciones de Cloud DNS no están disponibles en la Google Cloud consola. Usa la API o Google Cloud CLI.

Cloud Logging

Funciones de Cloud Logging afectadas

Función	Descripción
Sumideros de registros	Los filtros no deben contener datos de clientes. Los receptores de registro incluyen filtros que se almacenan como configuración. No cree filtros que contengan Datos de Clientes.
Seguimiento en tiempo real de entradas de registro	Los filtros no deben contener datos de clientes. Una sesión de seguimiento en directo incluye un filtro que se almacena como configuración. La función de seguimiento de registros no almacena ningún dato de entrada de registro, pero puede consultar y transmitir datos entre regiones. No cree filtros que contengan Datos de Clientes.
Alertas basadas en registros	Esta función está inhabilitada. No puedes crear alertas basadas en registros en la consola de Google Cloud .
URLs abreviadas para consultas del Explorador de registros	Esta función está inhabilitada. No puedes crear URLs acortadas de consultas en la Google Cloud consola.
Guardar consultas en el Explorador de registros	Esta función está inhabilitada. No puedes guardar ninguna consulta en la Google Cloud consola.
Analíticas de registros con BigQuery	Esta función está inhabilitada. No puedes usar la función Analíticas de registros.
Políticas de alertas basadas en SQL	Esta función está inhabilitada. No puedes usar la función de políticas de alertas basadas en SQL.

Cloud Monitoring

Funciones de Cloud Monitoring afectadas

Función	Descripción
Monitor sintético	Esta función está inhabilitada.
Comprobaciones de disponibilidad del servicio	Esta función está inhabilitada.

Pub/Sub

Restricciones de las políticas de organización de Pub/Sub

Restricción de política de organización	Descripción
`pubsub.enforceInTransitRegions`	Su valor debe ser True. Asegura que los Datos del Cliente solo se transfieran dentro de las regiones permitidas especificadas en la política de almacenamiento de mensajes del tema de Pub/Sub. Si cambia este valor, puede que se vea afectada la residencia o la soberanía de los datos de su carga de trabajo.

Cloud Router

Funciones de Cloud Router afectadas

Función	Descripción
Google Cloud consola	Las funciones de Cloud Router no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.

Cloud SQL

Nube privada virtual (VPC)

Funciones de VPC afectadas

Función	Descripción
Google Cloud consola	Las funciones de redes de VPC no están disponibles en la Google Cloud consola. Usa la API o Google Cloud CLI.

Siguientes pasos

Consulta cómo crear una carpeta de Assured Workloads.
Consulta los precios de Assured Workloads