Datengrenze für Criminal Justice Information Systems (CJIS)

Wichtig: Bevor Sie die Anleitung auf dieser Seite befolgen, sollten Sie sich unabhängig rechtlich beraten lassen, welche Verantwortlichkeiten Sie im Rahmen der CJIS haben. Nichts in diesem Dokument ist als Rechtsberatung gedacht oder sollte als solche verwendet werden.

Auf dieser Seite werden die Kontrollen beschrieben, die auf CJIS-Arbeitslasten in Assured Workloads angewendet werden. Sie enthält detaillierte Informationen zum Datenstandort, zu den unterstützten Google Cloud Produkten und ihren API-Endpunkten sowie zu allen geltenden Einschränkungen oder Beschränkungen für diese Produkte. Für CJIS gelten die folgenden zusätzlichen Informationen:

• Datenstandort: Das CJIS-Kontrollpaket legt die Kontrollen für den Datenstandort so fest, dass nur Regionen in den USA unterstützt werden. Weitere Informationen finden Sie im Abschnitt Google Cloud-weite Einschränkungen für Organisationsrichtlinien.
• Support: Technischer Support für CJIS-Arbeitslasten ist mit Abos für den erweiterten oder Premium-Cloud Customer Care verfügbar. Supportfälle für CJIS-Arbeitslasten werden an in den USA ansässige Personen weitergeleitet, die CJIS-Zuverlässigkeitsüberprüfungen absolviert haben. Weitere Informationen finden Sie unter Support erhalten.
• Preise: Das CJIS-Steuerungspaket ist in der Premium-Stufe von Assured Workloads enthalten, für die ein Aufpreis von 20 % anfällt. Weitere Informationen finden Sie unter Assured Workloads – Preise.

Vorbereitung

Damit Sie als Nutzer des CJIS-Kontrollpakets die Compliance-Anforderungen erfüllen, müssen Sie die folgenden Voraussetzungen erfüllen und einhalten:

• Erstellen Sie mit Assured Workloads einen CJIS-Ordner und stellen Sie Ihre CJIS-Arbeitslasten nur in diesem Ordner bereit.
• Aktivieren und verwenden Sie nur relevante CJIS-Dienste für CJIS-Arbeitslasten.
• Verwenden Sie keine Google Cloud-MCP-Server, sofern nicht anders angegeben. CJIS bietet keine Steuerelemente für den Datenstandort für Daten in Verwendung und Daten bei der Übertragung mit Google Cloud-MCP-Servern. Informationen zum Blockieren des unerwünschten Zugriffs auf Google Cloud-MCP-Server finden Sie auf der Seite Nutzung von Google Cloud-MCP-Servern mit IAM steuern.
• Ändern Sie die Standardwerte für die Einschränkungen der Organisationsrichtlinie nur, wenn Sie die Risiken für den Datenstandort verstehen und bereit sind, sie zu akzeptieren.
• Wir empfehlen, die allgemeinen Best Practices für die Sicherheit im Google Cloud -Center für Sicherheits-Best-Practices zu beachten.
• Wenn Sie auf die Google Cloud Console zugreifen, können Sie die Google Cloud -Console für die Gerichtsbarkeit verwenden. Sie sind nicht verpflichtet, die Google Cloud Console für die Rechtsprechung für CJIS zu verwenden. Sie kann über eine der folgenden URLs aufgerufen werden:
  • console.us.cloud.google.com
  • console.us.cloud.google für Nutzer mit föderierter Identität

Unterstützte Produkte und API-Endpunkte

Sofern nicht anders angegeben, können Nutzer über die Google Cloud Console auf alle unterstützten Produkte zugreifen. In der folgenden Tabelle sind Einschränkungen oder Beschränkungen aufgeführt, die sich auf die Funktionen eines unterstützten Produkts auswirken, einschließlich derer, die durch Einschränkungseinstellungen für Organisationsrichtlinien erzwungen werden.

Wenn ein Produkt nicht aufgeführt ist, wird es nicht unterstützt und erfüllt die Kontrollanforderungen für CJIS nicht. Nicht unterstützte Produkte sollten nicht ohne Due-Diligence-Prüfung und ein gründliches Verständnis Ihrer Verantwortlichkeiten im Modell der geteilten Verantwortung verwendet werden. Bevor Sie ein nicht unterstütztes Produkt verwenden, sollten Sie sich der damit verbundenen Risiken bewusst sein und diese akzeptieren, z. B. negative Auswirkungen auf den Datenstandort oder die Datenhoheit.

Hinweis: Nicht unterstützte Produkte können einen API-Dienstendpunkt mit unterstützten Produkten teilen, sodass sie für alle Nutzer verfügbar sind.

Wichtig: Google Cloud MCP-Server werden für CJIS-Produkte nicht unterstützt, sofern nicht anders angegeben. CJIS bietet keine Steuerelemente für den Datenstandort für Daten in Verwendung und bei der Übertragung mit Google Cloud-MCP-Servern. Sie sind dafür verantwortlich, dass die Endpunkte der Google Cloud-MCP-Server nicht mit CJIS-Produkten verwendet werden. Informationen zum Blockieren des unerwünschten Zugriffs auf Google Cloud-MCP-Server finden Sie auf der Seite Nutzung von Google Cloud-MCP-Servern mit IAM steuern.

Unterstütztes Produkt	API-Endpunkte	Einschränkungen oder Limits
Access Context Manager	accesscontextmanager.googleapis.com	Keine
Access Transparency	accessapproval.googleapis.com	Keine
Agent Assist	dialogflow.googleapis.com	Keine
AlloyDB for PostgreSQL	alloydb.googleapis.com	Keine
Apigee	apigee.googleapis.com	Keine
App Hub	apphub.googleapis.com	Keine
Application Integration	integrations.googleapis.com	Keine
Artifact Registry	artifactregistry.googleapis.com	Keine
Audit Manager	auditmanager.googleapis.com	Keine
Backup- und DR-Dienst	backupdr.googleapis.com	Keine
Sicherung für Google Kubernetes Engine (GKE)	gkebackup.googleapis.com	Keine
BigQuery	bigquery.googleapis.com bigquerydatapolicy.googleapis.com bigquerymigration.googleapis.com bigqueryreservation.googleapis.com bigquerystorage.googleapis.com	Betroffene Funktionen
BigQuery Connection API	bigqueryconnection.googleapis.com	Keine
BigQuery Data Transfer Service	bigquerydatatransfer.googleapis.com	Keine
Bigtable	bigtable.googleapis.com bigtableadmin.googleapis.com	Keine
Binärautorisierung	binaryauthorization.googleapis.com	Keine
Certificate Authority Service	privateca.googleapis.com	Keine
Zertifikatmanager	certificatemanager.googleapis.com	Keine
Cloud Asset Inventory	cloudasset.googleapis.com	Keine
Cloud Build	cloudbuild.googleapis.com	Keine
Cloud DNS	dns.googleapis.com	Betroffene Funktionen
Cloud Data Fusion	datafusion.googleapis.com	Keine
Cloud Deploy	clouddeploy.googleapis.com	Keine
Cloud Domains	domains.googleapis.com	Keine
Cloud External Key Manager (Cloud EKM)	cloudkms.googleapis.com	Keine
Cloud HSM	cloudkms.googleapis.com	Keine
Cloud Identity	cloudidentity.googleapis.com	Keine
Cloud Interconnect	compute.googleapis.com	Betroffene Funktionen
Cloud Key Management Service (Cloud KMS)	cloudkms.googleapis.com	Einschränkungen für Organisationsrichtlinien
Cloud Load Balancing	compute.googleapis.com	Betroffene Funktionen
Cloud Logging	logging.googleapis.com	Betroffene Funktionen
Cloud Monitoring	monitoring.googleapis.com	Betroffene Funktionen
Cloud NAT	compute.googleapis.com	Betroffene Funktionen
Cloud OS Login API	oslogin.googleapis.com	Keine
Cloud Router	compute.googleapis.com	Betroffene Funktionen
Cloud Run	run.googleapis.com	Betroffene Funktionen
Cloud Run-Funktionen	run.googleapis.com	Keine
Cloud SQL	sqladmin.googleapis.com	Keine
Cloud Service Mesh	mesh.googleapis.com meshca.googleapis.com meshconfig.googleapis.com	Keine
Cloud Storage	storage.googleapis.com	Keine
Cloud Tasks	cloudtasks.googleapis.com	Keine
Cloud VPN	compute.googleapis.com	Betroffene Funktionen
Cloud Vision API	vision.googleapis.com	Keine
Cloud Workstations	workstations.googleapis.com	Keine
Compliance-Manager	cloudsecuritycompliance.googleapis.com	Keine
Compute Engine	compute.googleapis.com	Betroffene Funktionen und Einschränkungen für Organisationsrichtlinien
Google Kubernetes Engine (GKE) Connect	gkeconnect.googleapis.com	Keine
Dialogflow CX	dialogflow.googleapis.com	Keine
Statistiken zur Nutzerfreundlichkeit	contactcenterinsights.googleapis.com	Betroffene Funktionen
Datensicherheitsstatus-Verwaltung	Not applicable	Keine
Datenbankcenter	databasecenter.googleapis.com	Keine
Dataflow	dataflow.googleapis.com datapipelines.googleapis.com	Keine
Dataform	dataform.googleapis.com	Betroffene Funktionen
Document AI	documentai.googleapis.com	Keine
Wichtige Kontakte	essentialcontacts.googleapis.com	Keine
Eventarc	eventarc.googleapis.com	Keine
Externer Passthrough-Network Load Balancer	compute.googleapis.com	Keine
Filestore	file.googleapis.com	Keine
Firebase-Sicherheitsregeln	firebaserules.googleapis.com	Keine
Firestore	firestore.googleapis.com	Einschränkungen für Organisationsrichtlinien
Google Kubernetes Engine (GKE) Hub	gkehub.googleapis.com	Keine
Google Kubernetes Engine (GKE) Identity Service	anthosidentityservice.googleapis.com	Keine
Google Kubernetes Engine (GKE) – Image-Streaming	containerfilesystem.googleapis.com	Keine
Gemini Enterprise	discoveryengine.googleapis.com	Betroffene Funktionen
Generative KI in Vertex AI	aiplatform.googleapis.com	Keine
Google Cloud Armor	compute.googleapis.com networksecurity.googleapis.com	Betroffene Funktionen
Google Cloud NetApp Volumes	netapp.googleapis.com	Betroffene Funktionen
Google Kubernetes Engine (GKE)	container.googleapis.com containersecurity.googleapis.com	Keine
Google Security Operations SIEM	chronicle.googleapis.com chronicleservicemanager.googleapis.com	Keine
Google Security Operations SOAR	Not applicable	Keine
Google Admin-Konsole	Not applicable	Keine
Identity and Access Management (IAM)	iam.googleapis.com	Keine
Identity-Aware Proxy (IAP)	iap.googleapis.com	Keine
Infrastructure Manager	config.googleapis.com	Keine
Interner Passthrough-Network Load Balancer	compute.googleapis.com	Keine
Key Access Justifications	cloudekm.googleapis.com cloudkms.googleapis.com	Keine
Knowledge Catalog	dataplex.googleapis.com datalineage.googleapis.com	Betroffene Funktionen
Looker (Google Cloud Core)	looker.googleapis.com	Keine
Managed Service for Apache Airflow	composer.googleapis.com	Keine
Managed Service for Apache Spark	dataproc-control.googleapis.com dataproc.googleapis.com	Keine
Memorystore for Redis	redis.googleapis.com	Keine
Migrate to Containers	Not applicable	Keine
Model Armor	modelarmor.googleapis.com	Keine
Network Connectivity Center	networkconnectivity.googleapis.com	Betroffene Funktionen
Organisationsrichtliniendienst	orgpolicy.googleapis.com	Keine
Persistent Disk	compute.googleapis.com	Keine
Privileged Access Manager	privilegedaccessmanager.googleapis.com	Keine
Pub/Sub	pubsub.googleapis.com	Einschränkungen für Organisationsrichtlinien
Regionaler externer Application Load Balancer	compute.googleapis.com	Keine
Regionaler externer Proxy-Network Load Balancer	compute.googleapis.com	Keine
Regionaler interner Application Load Balancer	compute.googleapis.com	Keine
Regionaler interner Proxy-Network Load Balancer	compute.googleapis.com	Keine
Resource Manager	cloudresourcemanager.googleapis.com	Keine
Secret Manager	secretmanager.googleapis.com	Keine
Secure Source Manager	securesourcemanager.googleapis.com	Keine
Security Command Center Premium	securitycenter.googleapis.com securitycentermanagement.googleapis.com securityposture.googleapis.com websecurityscanner.googleapis.com	Keine
Sensitive Data Protection	dlp.googleapis.com	Keine
Spanner	spanner.googleapis.com	Einschränkungen für Organisationsrichtlinien
Speech-to-Text	speech.googleapis.com	Betroffene Funktionen
Storage Transfer Service	storagetransfer.googleapis.com	Keine
Text-to-Speech	texttospeech.googleapis.com	Keine
VM Manager	osconfig.googleapis.com	Keine
VPC Service Controls	accesscontextmanager.googleapis.com accesscontextintelligence.googleapis.com	Keine
Vertex AI-Batchvorhersage	aiplatform.googleapis.com	Einschränkungen für Organisationsrichtlinien
Vertex AI Model Monitoring	aiplatform.googleapis.com	Einschränkungen für Organisationsrichtlinien
Vertex AI Model Registry	aiplatform.googleapis.com	Einschränkungen für Organisationsrichtlinien
Vertex AI-Onlinevorhersage	aiplatform.googleapis.com	Einschränkungen für Organisationsrichtlinien
Vertex AI Pipelines	aiplatform.googleapis.com	Einschränkungen für Organisationsrichtlinien
Agent Search	discoveryengine.googleapis.com	Betroffene Funktionen und Einschränkungen für Organisationsrichtlinien
Vertex AI Training	aiplatform.googleapis.com	Einschränkungen für Organisationsrichtlinien
Vertex AI Workbench	notebooks.googleapis.com	Einschränkungen für Organisationsrichtlinien
Virtual Private Cloud (VPC)	compute.googleapis.com	Keine
Web Risk	webrisk.googleapis.com	Keine
Mitarbeiteridentitätsföderation	iam.googleapis.com sts.googleapis.com	Keine

Limits und Einschränkungen

In den folgenden Abschnitten werden Google Cloud-weite oder produktspezifische Einschränkungen oder Einschränkungen für Funktionen beschrieben, einschließlich aller Einschränkungen von Organisationsrichtlinien, die standardmäßig für CJIS-Ordner festgelegt sind. Andere anwendbare Einschränkungen für Organisationsrichtlinien, auch wenn sie nicht standardmäßig festgelegt sind, können eine zusätzliche gestaffelte Sicherheitsebene bieten, um die Google Cloud -Ressourcen Ihrer Organisation weiter zu schützen.

Wir empfehlen dringend, die Werte der erforderlichen Einschränkungen für Organisationsrichtlinien, die in den folgenden Abschnitten aufgeführt sind, nicht zu ändern. Dies kann den Datenstandort untergraben. Wenn eine solche Änderung vorgenommen wurde, sind die Auswirkungen der Änderung schwierig oder unmöglich rückgängig zu machen. Machen Sie sich mit den Auswirkungen von Änderungen des Werts einer Einschränkung für Organisationsrichtlinien vertraut, bevor Sie fortfahren.

Achten Sie außerdem darauf, dass alle automatisierten Mechanismen, mit denen Ihre Organisation Organisationsrichtlinien verwaltet, aktualisiert werden, um zu verhindern, dass diese Werte unbeabsichtigt geändert werden.

Google Cloud-weit

Betroffene Google Cloud-weite Funktionen

Funktion	Beschreibung
Google Cloud Console	Wenn Sie das CJIS-Kontrollpaket verwenden, können Sie die Google Cloud -Console für die Rechtsprechung verwenden, um auf die Google Cloud -Console zuzugreifen. Die Google Cloud Console für die Gerichtsbarkeit ist für CJIS nicht erforderlich und kann über eine der folgenden URLs aufgerufen werden: console.us.cloud.google.com console.us.cloud.google für Nutzer mit föderierter Identität

Google Cloud-weite Einschränkungen für Organisationsrichtlinien

Die folgenden Einschränkungen für Organisationsrichtlinien gelten für Google Cloud.

Einschränkung der Organisationsrichtlinie	Beschreibung
gcp.resourceLocations	Legen Sie die folgenden Standorte in der Liste allowedValues fest: us-locations us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Dieser Wert beschränkt das Erstellen neuer Ressourcen auf die ausgewählten Werte. Wenn diese Option festgelegt ist, können keine Ressourcen in anderen Regionen, in Multiregionen oder an Standorten außerhalb der Auswahl erstellt werden. Eine Liste der Ressourcen, die durch die Einschränkung der Organisationsrichtlinie für Ressourcenstandorte eingeschränkt werden können, finden Sie unter Unterstützte Dienste für Ressourcenstandorte. Einige Ressourcen sind möglicherweise nicht im Umfang enthalten und können nicht eingeschränkt werden. Wenn Sie diesen Wert ändern, indem Sie ihn weniger einschränken, untergraben Sie möglicherweise den Datenstandort, indem Sie das Erstellen oder Speichern von Daten außerhalb einer konformen Datengrenze zulassen.
gcp.restrictCmekCryptoKeyProjects	Legen Sie under:organizations/your-organization-name fest, d. h. Ihre Assured Workloads-Organisation. Sie können diesen Wert weiter einschränken, indem Sie ein Projekt oder einen Ordner angeben. Beschränkt den Bereich genehmigter Ordner oder Projekte, die Cloud KMS-Schlüssel für die Verschlüsselung von Daten im Ruhezustand mithilfe von CMEK bereitstellen können. Diese Einschränkung verhindert, dass nicht genehmigte Ordner oder Projekte Verschlüsselungsschlüssel bereitstellen. Dadurch wird die Datenhoheit für inaktive Daten innerhalb des Geltungsbereichs gewährleistet.
gcp.restrictNonCmekServices	Legen Sie eine Liste aller API-Dienstnamen innerhalb des Geltungsbereichs fest, einschließlich: aiplatform.googleapis.com alloydb.googleapis.com apigee.googleapis.com artifactregistry.googleapis.com backupdr.googleapis.com bigquery.googleapis.com bigquerydatatransfer.googleapis.com bigtable.googleapis.com cloudfunctions.googleapis.com cloudtasks.googleapis.com composer.googleapis.com compute.googleapis.com contactcenterinsights.googleapis.com container.googleapis.com dataflow.googleapis.com dataform.googleapis.com datafusion.googleapis.com dataplex.googleapis.com dataproc.googleapis.com dialogflow.googleapis.com discoveryengine.googleapis.com documentai.googleapis.com eventarc.googleapis.com file.googleapis.com firestore.googleapis.com gkebackup.googleapis.com integrations.googleapis.com logging.googleapis.com looker.googleapis.com Einige Funktionen können für jeden der oben aufgeführten Dienste betroffen sein. Für jeden aufgeführten Dienst sind kundenverwaltete Verschlüsselungsschlüssel (CMEK) erforderlich. Mit CMEK werden ruhende Daten mit einem von Ihnen verwalteten Schlüssel verschlüsselt, nicht mit den Standardverschlüsselungsmechanismen von Google. Wenn Sie diesen Wert ändern, indem Sie einen oder mehrere Dienste innerhalb des Geltungsbereichs aus der Liste entfernen, kann dies die Datenhoheit untergraben, da neue Daten im Ruhezustand automatisch mit den eigenen Schlüsseln von Google anstelle Ihrer Schlüssel verschlüsselt werden. Vorhandene inaktive Daten werden mit dem von Ihnen angegebenen Schlüssel verschlüsselt.
gcp.restrictServiceUsage	Legen Sie fest, dass alle unterstützten Produkte und API-Endpunkte zugelassen werden. Bestimmt, welche Dienste verwendet werden können, indem der Laufzeitzugriff auf ihre Ressourcen eingeschränkt wird. Weitere Informationen finden Sie unter Ressourcennutzung einschränken.
gcp.restrictTLSVersion	Legen Sie fest, dass die folgenden TLS-Versionen abgelehnt werden: TLS_1_0 TLS_1_1 Weitere Informationen finden Sie unter TLS-Versionen einschränken.

Agentensuche

Betroffene Agent Search-Funktionen

Funktion	Beschreibung
Suchoptimierung	Sie sind dafür verantwortlich, die Suchoptimierungsfunktion von Agent Search nicht zu verwenden, da sie nicht CJIS-konform ist.
Allgemeine Empfehlungen	Sie sind dafür verantwortlich, die Funktion für allgemeine Empfehlungen der Agentensuche nicht zu verwenden, da sie nicht CJIS-konform ist.
Medienempfehlungen	Sie sind dafür verantwortlich, die Funktion für Medienempfehlungen der Agentensuche nicht zu verwenden, da sie nicht CJIS-konform ist.

BigQuery

Betroffene BigQuery-Funktionen

Funktion	Beschreibung
BigQuery für einen neuen Ordner aktivieren	BigQuery wird unterstützt, aber aufgrund eines internen Konfigurationsprozesses nicht automatisch aktiviert, wenn Sie einen neuen Assured Workloads-Ordner erstellen. Dieser Vorgang dauert normalerweise zehn Minuten, kann aber unter Umständen auch viel länger dauern. So prüfen Sie, ob der Vorgang abgeschlossen ist, und aktivieren BigQuery: Rufen Sie in der Google Cloud Console die Seite Assured Workloads auf. Zu Assured Workloads Wählen Sie den neuen Assured Workloads-Ordner aus der Liste aus. Klicken Sie auf der Seite Ordnerdetails im Abschnitt Zulässige Dienste auf Verfügbare Updates prüfen. Prüfen Sie im Bereich Zulässige Dienste die Dienste, die der Organisationsrichtlinie Einschränkung der Ressourcennutzung für den Ordner hinzugefügt werden sollen. Wenn BigQuery-Dienste aufgeführt sind, klicken Sie auf Dienste zulassen, um sie hinzuzufügen. Wenn BigQuery-Dienste nicht aufgeführt sind, warten Sie, bis der interne Prozess abgeschlossen ist. Wenn die Dienste nicht innerhalb von 12 Stunden nach der Ordnererstellung aufgeführt werden, wenden Sie sich an Cloud Customer Care. Nach Abschluss des Aktivierungsprozesses können Sie BigQuery in Ihrem Assured Workloads-Ordner verwenden. Gemini in BigQuery wird von Assured Workloads nicht unterstützt.
Nicht unterstützte Funktionen	Die folgenden BigQuery-Features werden nicht unterstützt und sollten nicht in der BigQuery-Befehlszeile verwendet werden. Sie sind dafür verantwortlich, sie nicht in BigQuery für Assured Workloads zu verwenden. Interaktion mit Remote-Datenquellen Extern trainierte BQML-Modelle werden nicht unterstützt. Intern trainierte BQML-Modelle werden unterstützt. Datenmaskierung mit Richtlinien-Tags wird nicht unterstützt. Datenmaskierung durch direktes Anwenden von Datenrichtlinien auf Spalten wird unterstützt. GDrive-Export Remote-Funktionen Gespeicherte Abfragen Workflowplanung Für BigQuery Studio werden Notebooks nicht unterstützt. Gemini in BigQuery wird nicht unterstützt.
BigQuery-Befehlszeile	Die BigQuery-Befehlszeile wird unterstützt.
Google Cloud SDK	Sie müssen mindestens die Google Cloud SDK-Version 403.0.0 verwenden, um die Regionalisierung von technischen Daten zu gewährleisten. Führen Sie gcloud --version aus, um die aktuelle Version des Google Cloud SDK zu prüfen, und dann gcloud components update, um auf die neueste Version zu aktualisieren.
Steuerelemente für Administratoren	BigQuery deaktiviert nicht unterstützte APIs. Administratoren mit ausreichenden Berechtigungen zum Erstellen von Assured Workloads-Ordnern können jedoch eine nicht unterstützte API aktivieren. In diesem Fall werden Sie über das Assured Workloads-Monitoring-Dashboard über potenzielle Compliance-Verstöße benachrichtigt.
Daten laden	BigQuery Data Transfer Service-Connectors für Google Software as a Service (SaaS)-Anwendungen, externe Cloud-Speicheranbieter und Data Warehouses werden nicht unterstützt. Sie sind dafür verantwortlich, BigQuery Data Transfer Service-Connectors nicht für CJIS-Arbeitslasten zu verwenden.
Drittanbieter-Übertragungen	BigQuery prüft nicht, ob Drittanbieterübertragungen für den BigQuery Data Transfer Service unterstützt werden. Sie sind dafür verantwortlich, die Unterstützung zu prüfen, wenn Sie eine Drittanbieterübertragung für den BigQuery Data Transfer Service verwenden.
Nicht konforme BQML-Modelle	Extern trainierte BQML-Modelle werden nicht unterstützt.
Abfragejobs	Abfragejobs sollten nur in Assured Workloads-Ordnern erstellt werden.
Abfragen von Datasets in anderen Projekten	BigQuery verhindert nicht, dass Assured Workloads-Datasets von Nicht-Assured Workloads-Projekten abgefragt werden. Sie sollten dafür sorgen, dass alle Abfragen, die einen Lesevorgang oder einen Join für Assured Workloads-Daten enthalten, in Assured Workloads-Ordnern platziert werden. Sie können in der BigQuery-Befehlszeile mit projectname.dataset.table einen vollständig qualifizierten Tabellennamen für das Abfrageergebnis angeben.
Cloud Logging	BigQuery verwendet Cloud Logging für einige Ihrer Logdaten. Sie sollten Ihre _default-Logging-Buckets deaktivieren oder _default-Buckets auf die relevanten Regionen beschränken, um die Compliance aufrechtzuerhalten. Verwenden Sie dazu den folgenden Befehl: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Weitere Informationen finden Sie unter Logs regionalisieren.

Cloud Interconnect

Betroffene Cloud Interconnect-Funktionen

Funktion	Beschreibung
Hochverfügbarkeits-VPN	Sie müssen die Hochverfügbarkeits-VPN-Funktion aktivieren, wenn Sie Cloud Interconnect mit Cloud VPN verwenden. Außerdem müssen Sie die Verschlüsselungs- und Regionalisierungsanforderungen einhalten, die im Abschnitt Betroffene Cloud VPN-Funktionen aufgeführt sind.

Cloud KMS

Einschränkungen für Cloud KMS-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie	Beschreibung
cloudkms.allowedProtectionLevels	Legen Sie fest, dass Cloud Key Management Service-CryptoKeys mit den folgenden Schutzstufen erstellt werden können: SOFTWARE HSM EXTERNAL EXTERNAL_VPC Weitere Informationen finden Sie unter Schutzstufen.

Cloud Logging

Betroffene Cloud Logging-Funktionen

Um Cloud Logging mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) zu verwenden, müssen Sie die Schritte auf der Seite CMEK für eine Organisation aktivieren in der Cloud Logging-Dokumentation ausführen.

Funktion	Beschreibung
Logsenken	Filter dürfen keine Kundendaten enthalten. Logsenken enthalten Filter, die als Konfiguration gespeichert sind. Erstellen Sie keine Filter, die Kundendaten enthalten.
Live-Verfolgung von Logeinträgen	Filter dürfen keine Kundendaten enthalten. Eine Live-Verfolgungs-Sitzung enthält einen Filter, der als Konfiguration gespeichert wird. In Tailing-Logs werden keine Logeintragsdaten gespeichert, sie können jedoch Daten zwischen Regionen abfragen und übertragen. Erstellen Sie keine Filter, die Kundendaten enthalten.
SQL-basierte Benachrichtigungsrichtlinien	Die Funktion ist deaktiviert. Sie können das Feature für SQL-basierte Benachrichtigungsrichtlinien nicht verwenden.

Cloud Monitoring

Betroffene Cloud Monitoring-Funktionen

Funktion	Beschreibung
Synthetischer Monitor	Die Funktion ist deaktiviert.
Verfügbarkeitsdiagnosen	Die Funktion ist deaktiviert.
Logfeld-Widgets in Dashboards	Die Funktion ist deaktiviert. Sie können einem Dashboard kein Logfeld hinzufügen.
Widgets für Error Reporting-Bereiche in Dashboards	Die Funktion ist deaktiviert. Sie können einem Dashboard kein Error Reporting-Bereich hinzufügen.
Filtern Sie in EventAnnotation nach Dashboards.	Die Funktion ist deaktiviert. Der Filter von EventAnnotation kann nicht in einem Dashboard festgelegt werden.
SqlCondition in alertPolicies	Die Funktion ist deaktiviert. Sie können kein SqlCondition zu einem alertPolicy hinzufügen.

Cloud Run

Betroffene Cloud Run-Funktionen

Funktion	Beschreibung
Nicht unterstützte Funktionen	Die folgenden Cloud Run-Features werden nicht unterstützt: Cloud Trace-Einbindung Cloud Run-Funktionen Eventarc-Trigger

Cloud VPN

Betroffene Cloud VPN-Funktionen

Funktion	Beschreibung
VPN-Endpunkte	Sie dürfen nur Cloud VPN-Endpunkte verwenden, die sich in einer zulässigen Region befinden. Achten Sie darauf, dass Ihr VPN-Gateway nur für die Verwendung in einer Region im Geltungsbereich konfiguriert ist.

Compute Engine

Betroffene Compute Engine-Funktionen

Funktion	Beschreibung
VM-Instanz anhalten bzw. fortsetzen	Die Funktion ist deaktiviert. Das Anhalten und Fortsetzen einer VM-Instanz erfordert nichtflüchtigen Speicher. Der nichtflüchtige Speicher, der zum Speichern des Status der angehaltenen VM verwendet wird, kann derzeit nicht mit CMEK verschlüsselt werden. Informationen zu den Auswirkungen der Aktivierung dieser Funktion auf die Datenhoheit und den Datenstandort finden Sie im Abschnitt oben unter der Organisationsrichtlinieneinschränkung gcp.restrictNonCmekServices.
Lokale SSDs	Die Funktion ist deaktiviert. Sie können keine Instanz mit lokalen SSDs erstellen, da sie nicht mit CMEK verschlüsselt werden kann. Informationen zu den Auswirkungen der Aktivierung dieser Funktion auf die Datenhoheit und den Datenstandort finden Sie im Abschnitt oben unter der Organisationsrichtlinieneinschränkung gcp.restrictNonCmekServices.
Gastumgebung	Skripts, Daemons und Binärdateien, die in der Gastumgebung enthalten sind, können auf unverschlüsselte Daten sowie inaktive Daten zugreifen. Abhängig von Ihrer VM-Konfiguration können Aktualisierungen dieser Software standardmäßig installiert werden. Ausführliche Informationen zum Inhalt, zum Quellcode und zu den einzelnen Paketen finden Sie unter Gastumgebung. Diese Komponenten tragen dazu bei, dass Sie die Datenhoheit durch interne Sicherheitskontrollen und -prozesse erfüllen. Wenn Sie jedoch zusätzliche Kontrolle wünschen, können Sie auch eigene Images oder Agents auswählen und optional die Organisationsrichtlinieneinschränkung compute.trustedImageProjects verwenden. Weitere Informationen finden Sie unter Benutzerdefiniertes Image erstellen.
Betriebssystemrichtlinien in VM Manager	Inline-Skripts und binäre Ausgabedateien in den Betriebssystemrichtliniendateien werden nicht mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Geben Sie in diesen Dateien keine vertraulichen Informationen an. Sie können diese Skripts und Ausgabedateien in Cloud Storage-Buckets speichern. Weitere Informationen finden Sie unter Beispiele für Betriebssystemrichtlinien. Wenn Sie das Erstellen oder Ändern von Betriebssystemrichtlinien-Ressourcen einschränken möchten, die Inline-Scripts oder Binärausgabedateien verwenden, aktivieren Sie die Organisationsrichtlinien-Einschränkung constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Weitere Informationen finden Sie unter Einschränkungen für OS Config.
instances.getSerialPortOutput()	Diese API ist deaktiviert. Mit der API können Sie keine Ausgabe vom seriellen Port der angegebenen Instanz abrufen. Ändern Sie den Wert der Einschränkung für die Organisationsrichtlinie compute.disableInstanceDataAccessApis in False, um diese API zu aktivieren. Sie können den interaktiven seriellen Port auch aktivieren und verwenden. Folgen Sie dazu der Anleitung unter Zugriff für ein Projekt aktivieren.
instances.getScreenshot()	Diese API ist deaktiviert. Mit dieser API können Sie keinen Screenshot von der angegebenen Instanz erhalten. Ändern Sie den Wert der Einschränkung für die Organisationsrichtlinie compute.disableInstanceDataAccessApis in False, um diese API zu aktivieren. Sie können den interaktiven seriellen Port auch aktivieren und verwenden. Folgen Sie dazu der Anleitung unter Zugriff für ein Projekt aktivieren.

Einschränkungen für Compute Engine-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie	Beschreibung
compute.disableGlobalCloudArmorPolicy	Auf True festlegen. Deaktiviert das Erstellen neuer globaler Google Cloud Armor-Sicherheitsrichtlinien sowie das Hinzufügen oder Ändern von Regeln für vorhandene globale Google Cloud Armor-Sicherheitsrichtlinien. Das Entfernen von Regeln oder das Entfernen oder Ändern der Beschreibung und Auflistung globaler Google Cloud Armor-Sicherheitsrichtlinien wird durch diese Beschränkung nicht eingeschränkt. Regionale Google Cloud Armor-Sicherheitsrichtlinien sind von dieser Beschränkung nicht betroffen. Alle globalen und regionalen Sicherheitsrichtlinien, die vor der Erzwingung dieser Beschränkung vorhanden waren, bleiben in Kraft.
compute.disableInstanceDataAccessApis	Auf True festlegen. Deaktiviert global die APIs instances.getSerialPortOutput() und instances.getScreenshot(). Wenn Sie diese Einschränkung aktivieren, können Sie keine Anmeldedaten auf Windows Server-VMs generieren. Wenn Sie einen Nutzernamen und ein Passwort auf einer Windows-VM verwalten müssen, gehen Sie so vor: SSH für Windows-VMs aktivieren Führen Sie den folgenden Befehl aus, um das Passwort der VM zu ändern: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Ersetzen Sie Folgendes: VM_NAME: Der Name der VM, für die Sie das Passwort festlegen. USERNAME: Der Nutzername des Nutzers, für den Sie das Passwort festlegen. PASSWORD: Das neue Passwort.
compute.restrictNonConfidentialComputing	(Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um eine zusätzliche Verteidigung in der Tiefe zu ermöglichen. Weitere Informationen finden Sie in der Confidential VM-Dokumentation.
compute.trustedImageProjects	(Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um eine zusätzliche Verteidigung in der Tiefe zu ermöglichen. Durch Festlegen dieses Werts wird die Image-Speicherung und Instanziierung von Laufwerken auf die angegebene Liste von Projekten beschränkt. Dieser Wert wirkt sich auf die Datenhoheit aus, da nicht autorisierte Images oder Agents nicht verwendet werden.

Customer Experience Insights

Betroffene Customer Experience Insights-Funktionen

Funktion	Beschreibung
Qualitäts-KI mit Beispielunterhaltungen	Sie sind dafür verantwortlich, diese Funktion nicht zu verwenden, da sie nicht CJIS-konform ist.

Dataform

Betroffene Dataform-Funktionen

Funktion	Beschreibung
Features	Sie sind dafür verantwortlich, das Produkt oder die Funktionen von Vertex Colab Enterprise nicht zu verwenden, da es nicht CJIS-konform ist.

Knowledge Catalog

Knowledge Catalog-Funktionen

Funktion	Beschreibung
Attribute Store	Diese Funktion wurde eingestellt und deaktiviert.
Data Catalog	Diese Funktion wurde eingestellt und deaktiviert. Sie können Ihre Metadaten in Data Catalog weder durchsuchen noch verwalten.
Lakes und Zonen	Die Funktion ist deaktiviert. Sie können keine Lakes, Zonen und Aufgaben verwalten.

Firestore

Einschränkungen für Firestore-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie	Beschreibung
firestore.managed.disableEnhancedTextSearch	Auf True festlegen. Verhindert die Aktivierung von Abfrageverbesserungen für die Firestore-Volltextsuche.

Gemini Enterprise

Gemini Enterprise-Funktionen

Funktion	Beschreibung
Webfundierung für Unternehmen	Gemini Enterprise unterstützt die Funktion „Web Grounding for Enterprise“. Weitere Informationen finden Sie auf der Seite Bereitstellungsleitfaden für Gemini for Government.

Google Cloud Armor

Betroffene Google Cloud Armor-Funktionen

Funktion	Beschreibung
Globale Sicherheitsrichtlinien	Diese Funktion ist durch die Einschränkung der Organisationsrichtlinie compute.disableGlobalCloudArmorPolicy deaktiviert.

Spanner

Betroffene Spanner-Funktionen

Funktion

Beschreibung

Split-Grenzen

Spanner verwendet eine kleine Teilmenge von Primärschlüsseln und indexierten Spalten, um Split-Grenzen zu definieren, die Kundendaten und Metadaten enthalten können. Eine Split-Grenze in Spanner gibt die Stelle an, an der zusammenhängende Zeilenbereiche in kleinere Teile aufgeteilt werden. Diese Split-Grenzen sind für Google-Mitarbeiter für technischen Support und Debugging zugänglich und unterliegen nicht den Steuerelementen für den Administratorzugriff in Assured Workloads.

Einschränkungen für Spanner-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie	Beschreibung
spanner.disableMultiRegionInstanceIfNoLocationSelected	Auf True festlegen. Deaktiviert die Möglichkeit, multiregionale Spanner-Instanzen zu erstellen, um Datenstandort und Datenhoheit zu erzwingen.

Speech-to-Text

Betroffene Speech-to-Text-Funktionen

Funktion	Beschreibung
Benutzerdefinierte Speech-to-Text-Modelle	Es liegt in Ihrer Verantwortung, keine benutzerdefinierten Speech-to-Text-Modelle zu verwenden, da diese nicht CJIS-konform sind.

Vertex AI

Einschränkungen für Vertex AI-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie	Beschreibung
vertexai.allowOnlyAllCompliantAPIs	Auf True festlegen. Beschränkt Vertex AI-Anfragen auf Dienste und Endpunkte, die die grundlegenden Compliance- und Datengrenzanforderungen für CJIS erfüllen.

Nächste Schritte

• Assured Workloads-Ordner erstellen
• Assured Workloads-Preise