Les noms de certains packages de contrôles Assured Workloads ont été modifiés. Pour en savoir plus sur ce changement de nom, consultez Avis concernant le changement de nom du package Control.

Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Périmètre de données pour les CJIS (Criminal Justice Information Systems)

Cette page décrit l'ensemble des contrôles appliqués aux charges de travail CJIS dans Assured Workloads. Il fournit des informations détaillées sur la résidence des données, les produits Google Cloud compatibles et leurs points de terminaison d'API, ainsi que sur les restrictions ou limites applicables à ces produits. Les informations supplémentaires suivantes s'appliquent à la norme CJIS :

Résidence des données : le pack de contrôle CJIS définit des contrôles d'emplacement des données pour n'accepter que les régions des États-Unis. Pour en savoir plus, consultez la section Contraintes des règles d'administration à l'échelle deGoogle Cloud.
Assistance : les services d'assistance technique pour les charges de travail CJIS sont disponibles avec les abonnements Cloud Customer Care Enhanced ou Premium. Les demandes d'assistance concernant les charges de travail CJIS sont transmises à des personnes des États-Unis situées aux États-Unis et ayant fait l'objet d'une vérification d'antécédents CJIS. Pour en savoir plus, consultez Obtenir de l'aide.
Tarifs : Le package de contrôle CJIS est inclus dans le niveau Premium d'Assured Workloads, qui entraîne des frais supplémentaires de 20 %. Pour en savoir plus, consultez Tarifs d'Assured Workloads.

Prérequis

Pour rester conforme en tant qu'utilisateur du package de contrôle CJIS, vérifiez que vous remplissez et respectez les conditions préalables suivantes :

Créez un dossier CJIS à l'aide d'Assured Workloads et déployez vos charges de travail CJIS uniquement dans ce dossier.
N'activez et n'utilisez que les services CJIS concernés pour les charges de travail CJIS.
N'utilisez pas les serveurs MCP Google Cloud, sauf indication contraire. La division CJIS ne fournit pas de contrôles de résidence des données pour les données en cours d'utilisation et en transit avec les serveurs MCP Google Cloud. Pour bloquer l'accès indésirable aux serveurs MCP Google Cloud, consultez la page Contrôler l'utilisation des serveurs MCP Google Cloud avec IAM.
Ne modifiez pas les valeurs par défaut des contraintes de règles d'administration, sauf si vous comprenez et acceptez les risques liés à la résidence des données qui pourraient survenir.
Envisagez d'adopter les bonnes pratiques de sécurité générales fournies dans le centre des bonnes pratiques de sécuritéGoogle Cloud .
Lorsque vous accédez à la console Google Cloud , vous pouvez utiliser la console Google Cloud juridictionnelle. Vous n'êtes pas obligé d'utiliser la console Google Cloud juridictionnelle pour CJIS. Vous pouvez y accéder via l'une des URL suivantes :
- console.us.cloud.google.com
- console.us.cloud.google pour les utilisateurs d'identités fédérées

Produits et points de terminaison d'API compatibles

Sauf indication contraire, les utilisateurs peuvent accéder à tous les produits compatibles via la console Google Cloud . Les restrictions ou limitations qui affectent les fonctionnalités d'un produit compatible, y compris celles qui sont appliquées via les paramètres de contrainte des règles d'administration, sont listées dans le tableau suivant.

Si un produit n'est pas listé, il n'est pas compatible et ne répond pas aux exigences de contrôle du CJIS. L'utilisation de produits non compatibles n'est pas recommandée sans une diligence raisonnable et une compréhension approfondie de vos responsabilités dans le modèle de responsabilité partagée. Avant d'utiliser un produit non compatible, assurez-vous de connaître et d'accepter les risques associés, tels que les impacts négatifs sur la résidence ou la souveraineté des données.

Produit compatible	points de terminaison de l'API	Restrictions ou limites
Access Context Manager	`accesscontextmanager.googleapis.com`	Aucun
Access Transparency	`accessapproval.googleapis.com`	Aucun
Agent Assist	`dialogflow.googleapis.com`	Aucun
AlloyDB pour PostgreSQL	`alloydb.googleapis.com`	Aucun
Apigee	`apigee.googleapis.com`	Aucun
App Hub	`apphub.googleapis.com`	Aucun
Application Integration	`integrations.googleapis.com`	Aucun
Artifact Registry	`artifactregistry.googleapis.com`	Aucun
Gestionnaire d'audits	`auditmanager.googleapis.com`	Aucun
Service Backup and DR	`backupdr.googleapis.com`	Aucun
Sauvegarde pour Google Kubernetes Engine (GKE)	`gkebackup.googleapis.com`	Aucun
BigQuery	`bigquery.googleapis.com` `bigquerydatapolicy.googleapis.com` `bigquerymigration.googleapis.com` `bigqueryreservation.googleapis.com` `bigquerystorage.googleapis.com`	Fonctionnalités concernées
API BigQuery Connection	`bigqueryconnection.googleapis.com`	Aucun
Service de transfert de données BigQuery	`bigquerydatatransfer.googleapis.com`	Aucun
Bigtable	`bigtable.googleapis.com` `bigtableadmin.googleapis.com`	Aucun
Autorisation binaire	`binaryauthorization.googleapis.com`	Aucun
Certificate Authority Service	`privateca.googleapis.com`	Aucun
Certificate Manager	`certificatemanager.googleapis.com`	Aucun
Inventaire des éléments cloud	`cloudasset.googleapis.com`	Aucun
Cloud Build	`cloudbuild.googleapis.com`	Aucun
Cloud DNS	`dns.googleapis.com`	Fonctionnalités concernées
Cloud Data Fusion	`datafusion.googleapis.com`	Aucun
Cloud Deploy	`clouddeploy.googleapis.com`	Aucun
Cloud Domains	`domains.googleapis.com`	Aucun
Cloud External Key Manager (Cloud EKM)	`cloudkms.googleapis.com`	Aucun
Cloud HSM	`cloudkms.googleapis.com`	Aucun
Cloud Identity	`cloudidentity.googleapis.com`	Aucun
Cloud Interconnect	`compute.googleapis.com`	Fonctionnalités concernées
Cloud Key Management Service (Cloud KMS)	`cloudkms.googleapis.com`	Contraintes liées aux règles d'administration
Cloud Load Balancing	`compute.googleapis.com`	Fonctionnalités concernées
Cloud Logging	`logging.googleapis.com`	Fonctionnalités concernées
Cloud Monitoring	`monitoring.googleapis.com`	Fonctionnalités concernées
Cloud NAT	`compute.googleapis.com`	Fonctionnalités concernées
API Cloud OS Login	`oslogin.googleapis.com`	Aucun
Cloud Router	`compute.googleapis.com`	Fonctionnalités concernées
Cloud Run	`run.googleapis.com`	Fonctionnalités concernées
Cloud Run Functions	`run.googleapis.com`	Aucun
Cloud SQL	`sqladmin.googleapis.com`	Aucun
Cloud Service Mesh	`mesh.googleapis.com` `meshca.googleapis.com` `meshconfig.googleapis.com`	Aucun
Cloud Storage	`storage.googleapis.com`	Aucun
Cloud Tasks	`cloudtasks.googleapis.com`	Aucun
Cloud VPN	`compute.googleapis.com`	Fonctionnalités concernées
API Cloud Vision	`vision.googleapis.com`	Aucun
Cloud Workstations	`workstations.googleapis.com`	Aucun
Compliance Manager	`cloudsecuritycompliance.googleapis.com`	Aucun
Compute Engine	`compute.googleapis.com`	Fonctionnalités concernées et contraintes liées aux règles d'administration
Google Kubernetes Engine (GKE) Connect	`gkeconnect.googleapis.com`	Aucun
Dialogflow CX	`dialogflow.googleapis.com`	Aucun
Customer Experience Insights	`contactcenterinsights.googleapis.com`	Fonctionnalités concernées
Data Security Posture Management	`Not applicable`	Aucun
Database Center	`databasecenter.googleapis.com`	Aucun
Dataflow	`dataflow.googleapis.com` `datapipelines.googleapis.com`	Aucun
Dataform	`dataform.googleapis.com`	Fonctionnalités concernées
Document AI	`documentai.googleapis.com`	Aucun
Contacts essentiels	`essentialcontacts.googleapis.com`	Aucun
Eventarc	`eventarc.googleapis.com`	Aucun
Équilibreur de charge réseau passthrough externe	`compute.googleapis.com`	Aucun
Filestore	`file.googleapis.com`	Aucun
Règles de sécurité Firebase	`firebaserules.googleapis.com`	Aucun
Firestore	`firestore.googleapis.com`	Contraintes liées aux règles d'administration
Hub Google Kubernetes Engine (GKE)	`gkehub.googleapis.com`	Aucun
Google Kubernetes Engine (GKE) Identity Service	`anthosidentityservice.googleapis.com`	Aucun
Streaming d'images Google Kubernetes Engine (GKE)	`containerfilesystem.googleapis.com`	Aucun
Gemini Enterprise	`discoveryengine.googleapis.com`	Fonctionnalités concernées
IA générative sur Vertex AI	`aiplatform.googleapis.com`	Aucun
Google Cloud Armor	`compute.googleapis.com` `networksecurity.googleapis.com`	Fonctionnalités concernées
Google Cloud NetApp Volumes	`netapp.googleapis.com`	Fonctionnalités concernées
Google Kubernetes Engine (GKE)	`container.googleapis.com` `containersecurity.googleapis.com`	Aucun
Solution SIEM pour les opérations de sécurité Google	`chronicle.googleapis.com` `chronicleservicemanager.googleapis.com`	Aucun
Google Security Operations SOAR	`Not applicable`	Aucun
Console d'administration Google	`Not applicable`	Aucun
Identity and Access Management (IAM)	`iam.googleapis.com`	Aucun
Identity-Aware Proxy (IAP)	`iap.googleapis.com`	Aucun
Infrastructure Manager	`config.googleapis.com`	Aucun
Équilibreur de charge réseau passthrough interne	`compute.googleapis.com`	Aucun
Key Access Justifications	`cloudekm.googleapis.com` `cloudkms.googleapis.com`	Aucun
Knowledge Catalog	`dataplex.googleapis.com` `datalineage.googleapis.com`	Fonctionnalités concernées
Looker (Google Cloud Core)	`looker.googleapis.com`	Aucun
Managed Service pour Apache Airflow	`composer.googleapis.com`	Aucun
Managed Service pour Apache Spark	`dataproc-control.googleapis.com` `dataproc.googleapis.com`	Aucun
Memorystore pour Redis	`redis.googleapis.com`	Aucun
Migrate to containers	`Not applicable`	Aucun
Model Armor	`modelarmor.googleapis.com`	Aucun
Network Connectivity Center	`networkconnectivity.googleapis.com`	Fonctionnalités concernées
Service de règles d'administration	`orgpolicy.googleapis.com`	Aucun
Persistent Disk	`compute.googleapis.com`	Aucun
Privileged Access Manager	`privilegedaccessmanager.googleapis.com`	Aucun
Pub/Sub	`pubsub.googleapis.com`	Contraintes liées aux règles d'administration
Équilibreur de charge d'application externe régional	`compute.googleapis.com`	Aucun
Équilibreur de charge réseau proxy externe régional	`compute.googleapis.com`	Aucun
Équilibreur de charge d'application interne régional	`compute.googleapis.com`	Aucun
Équilibreur de charge réseau proxy interne régional	`compute.googleapis.com`	Aucun
Resource Manager	`cloudresourcemanager.googleapis.com`	Aucun
Secret Manager	`secretmanager.googleapis.com`	Aucun
Secure Source Manager	`securesourcemanager.googleapis.com`	Aucun
Security Command Center Premium	`securitycenter.googleapis.com` `securitycentermanagement.googleapis.com` `securityposture.googleapis.com` `websecurityscanner.googleapis.com`	Aucun
Sensitive Data Protection	`dlp.googleapis.com`	Aucun
Spanner	`spanner.googleapis.com`	Contraintes liées aux règles d'administration
Speech-to-Text	`speech.googleapis.com`	Fonctionnalités concernées
Service de transfert de stockage	`storagetransfer.googleapis.com`	Aucun
Text-to-Speech	`texttospeech.googleapis.com`	Aucun
VM Manager	`osconfig.googleapis.com`	Aucun
VPC Service Controls	`accesscontextmanager.googleapis.com` `accesscontextintelligence.googleapis.com`	Aucun
Prédiction par lot Vertex AI	`aiplatform.googleapis.com`	Contraintes liées aux règles d'administration
Vertex AI Model Monitoring	`aiplatform.googleapis.com`	Contraintes liées aux règles d'administration
Vertex AI Model Registry	`aiplatform.googleapis.com`	Contraintes liées aux règles d'administration
Prédiction en ligne Vertex AI	`aiplatform.googleapis.com`	Contraintes liées aux règles d'administration
Vertex AI Pipelines	`aiplatform.googleapis.com`	Contraintes liées aux règles d'administration
Agent Search	`discoveryengine.googleapis.com`	Fonctionnalités concernées et contraintes liées aux règles d'administration
Vertex AI Training	`aiplatform.googleapis.com`	Contraintes liées aux règles d'administration
Vertex AI Workbench	`notebooks.googleapis.com`	Contraintes liées aux règles d'administration
Cloud privé virtuel (VPC)	`compute.googleapis.com`	Aucun
Web Risk	`webrisk.googleapis.com`	Aucun
Fédération des identités des employés	`iam.googleapis.com` `sts.googleapis.com`	Aucun

Restrictions et limitations

Les sections suivantes décrivent les restrictions ou les limites applicables à l'ensemble de Google Cloudou à des produits spécifiques, y compris les contraintes de règles d'administration définies par défaut sur les dossiers CJIS. D'autres contraintes de règle d'administration applicables, même si elles ne sont pas définies par défaut, peuvent fournir une défense en profondeur supplémentaire pour protéger davantage les ressources Google Cloud de votre organisation.

Google Cloud-wide

Fonctionnalités concernées à l'échelle de Google Cloud

Fonctionnalité	Description
ConsoleGoogle Cloud	Pour accéder à la console Google Cloud lorsque vous utilisez le pack de contrôle CJIS, vous pouvez utiliser la console Google Cloud juridictionnelle. La console Google Cloud juridictionnelle n'est pas requise pour le CJIS et est accessible via l'une des URL suivantes : console.us.cloud.google.com console.us.cloud.google pour les utilisateurs d'identités fédérées

Contraintes liées aux règles d'administration à l'échelle deGoogle Cloud

Les contraintes de règles d'administration suivantes s'appliquent à Google Cloud.

Contrainte liée aux règles d'administration	Description
`gcp.resourceLocations`	Définissez les emplacements suivants dans la liste `allowedValues` : `us-locations` `us-central1` `us-central2` `us-east1` `us-east4` `us-east5` `us-south1` `us-west1` `us-west2` `us-west3` `us-west4` Cette valeur limite la création de ressources aux valeurs sélectionnées. Une fois cette option définie, aucune ressource ne peut être créée dans d'autres régions, emplacements multirégionaux ou emplacements en dehors de la sélection. Consultez la section Services compatibles avec les différents emplacements de ressources pour obtenir la liste des ressources pouvant être limitées par la contrainte de règle d'administration "Emplacements des ressources", car certaines ressources peuvent être hors du champ d'application et ne peuvent pas être limitées. Modifier cette valeur pour la rendre moins restrictive compromet la résidence des données en autorisant la création ou le stockage de données en dehors d'une limite de données conforme.
`gcp.restrictCmekCryptoKeyProjects`	Définissez cette valeur sur `under:organizations/your-organization-name`, qui correspond à votre organisation Assured Workloads. Vous pouvez restreindre davantage cette valeur en spécifiant un projet ou un dossier. Limite le champ d'application des dossiers ou projets approuvés pouvant fournir des clés Cloud KMS pour le chiffrement des données au repos à l'aide de CMEK. Cette contrainte empêche les dossiers ou projets non approuvés de fournir des clés de chiffrement, ce qui permet de garantir la souveraineté des données au repos des services concernés.
`gcp.restrictNonCmekServices`	Définissez la liste de tous les noms de service d'API couverts par le champ d'application, y compris : `aiplatform.googleapis.com` `alloydb.googleapis.com` `apigee.googleapis.com` `artifactregistry.googleapis.com` `backupdr.googleapis.com` `bigquery.googleapis.com` `bigquerydatatransfer.googleapis.com` `bigtable.googleapis.com` `cloudfunctions.googleapis.com` `cloudtasks.googleapis.com` `composer.googleapis.com` `compute.googleapis.com` `contactcenterinsights.googleapis.com` `container.googleapis.com` `dataflow.googleapis.com` `dataform.googleapis.com` `datafusion.googleapis.com` `dataplex.googleapis.com` `dataproc.googleapis.com` `dialogflow.googleapis.com` `discoveryengine.googleapis.com` `documentai.googleapis.com` `eventarc.googleapis.com` `file.googleapis.com` `firestore.googleapis.com` `gkebackup.googleapis.com` `integrations.googleapis.com` `logging.googleapis.com` `looker.googleapis.com` Certaines fonctionnalités peuvent être affectées pour chacun des services listés ci-dessus. Chaque service listé nécessite des clés de chiffrement gérées par le client (CMEK). Les CMEK chiffrent les données au repos avec une clé que vous gérez, et non avec les mécanismes de chiffrement par défaut de Google. La modification de cette valeur en supprimant un ou plusieurs services couverts dans la liste peut compromettre la souveraineté des données, car les nouvelles données au repos seront automatiquement chiffrées à l'aide des clés Google et non de la vôtre. Les données au repos existantes resteront chiffrées par la clé que vous avez fournie.
`gcp.restrictServiceUsage`	Définissez cette option pour autoriser tous les produits et points de terminaison de l'API compatibles. Détermine les services pouvant être utilisés en limitant l'accès d'exécution à leurs ressources. Pour en savoir plus, consultez la section Restreindre l'utilisation des ressources.
`gcp.restrictTLSVersion`	Définie pour refuser les versions TLS suivantes : `TLS_1_0` `TLS_1_1` Pour en savoir plus, consultez Limiter les versions de TLS.

Agent Search

Fonctionnalités Agent Search concernées

Fonctionnalité	Description
Réglage de la recherche	Il est de votre responsabilité de ne pas utiliser la fonctionnalité d'ajustement de la recherche Agent Search, car elle n'est pas conforme à la norme CJIS.
Recommandations génériques	Il est de votre responsabilité de ne pas utiliser la fonctionnalité de recommandations génériques de la recherche d'agents, car elle n'est pas conforme à la norme CJIS.
Recommandations de contenus multimédias	Il est de votre responsabilité de ne pas utiliser la fonctionnalité de recommandations de contenus multimédias d'Agent Search, car elle n'est pas conforme aux exigences du CJIS.

BigQuery

Fonctionnalités BigQuery concernées

Fonctionnalité	Description
Activer BigQuery sur un nouveau dossier	BigQuery est compatible, mais il n'est pas automatiquement activé lorsque vous créez un dossier Assured Workloads en raison d'un processus de configuration interne. Ce processus se termine normalement en dix minutes, mais peut prendre beaucoup plus de temps dans certaines circonstances. Pour vérifier si le processus est terminé et activer BigQuery, procédez comme suit : Dans la console Google Cloud , accédez à la page Assured Workloads. Accéder à Assured Workloads Sélectionnez votre nouveau dossier Assured Workloads dans la liste. Sur la page Détails du dossier, dans la section Services autorisés, cliquez sur Examiner les mises à jour disponibles. Dans le volet Services autorisés, examinez les services à ajouter à la règle d'administration Restriction d'utilisation des ressources pour le dossier. Si des services BigQuery sont listés, cliquez sur Autoriser les services pour les ajouter. Si les services BigQuery ne sont pas listés, attendez que le processus interne se termine. Si les services ne sont pas listés dans les 12 heures suivant la création du dossier, contactez Cloud Customer Care. Une fois le processus d'activation terminé, vous pouvez utiliser BigQuery dans votre dossier Assured Workloads. Gemini dans BigQuery n'est pas compatible avec Assured Workloads.
Fonctionnalités non compatibles	Les fonctionnalités BigQuery suivantes ne sont pas compatibles et ne doivent pas être utilisées dans la CLI BigQuery. Il est de votre responsabilité de ne pas les utiliser dans BigQuery pour Assured Workloads. Interaction avec des sources de données distantes Les modèles BQML entraînés en externe ne sont pas compatibles. Les modèles BQML entraînés en interne sont compatibles. Le masquage des données avec des tags avec stratégie n'est pas pris en charge. Le masquage des données en appliquant des stratégies de données directement aux colonnes est possible. Exportation GDrive Fonctions distantes Requêtes enregistrées Planification des workflows Pour BigQuery Studio, les notebooks ne sont pas compatibles. Gemini dans BigQuery n'est pas compatible.
CLI BigQuery	La CLI BigQuery est compatible.
SDK Google Cloud	Vous devez utiliser la version 403.0.0 ou ultérieure de Google Cloud SDK pour maintenir les garanties de régionalisation des données techniques. Pour vérifier la version actuelle de votre Google Cloud SDK, exécutez `gcloud --version`, puis `gcloud components update` pour passer à la version la plus récente.
Commandes d'administration	BigQuery désactivera les API non compatibles, mais les administrateurs disposant des autorisations suffisantes pour créer des dossiers Assured Workloads pourront activer une API non compatible. Dans ce cas, vous serez informé d'un éventuel non-respect de la conformité via le tableau de bord de surveillance Assured Workloads.
Charger des données	Les connecteurs du service de transfert de données BigQuery pour les applications SaaS (Software as a Service) de Google, les fournisseurs de stockage cloud externes et les entrepôts de données ne sont pas compatibles. Il est de votre responsabilité de ne pas utiliser les connecteurs du service de transfert de données BigQuery pour les charges de travail CJIS.
Transferts tiers	BigQuery ne vérifie pas la compatibilité des transferts tiers pour le service de transfert de données BigQuery. Il est de votre responsabilité de vérifier la compatibilité lorsque vous utilisez un transfert tiers pour le service de transfert de données BigQuery.
Modèles BQML non conformes	Les modèles BQML entraînés en externe ne sont pas acceptés.
Tâches de requête	Les jobs de requête ne doivent être créés que dans des dossiers Assured Workloads.
Requêtes sur des ensembles de données d'autres projets	BigQuery n'empêche pas l'interrogation des ensembles de données Assured Workloads à partir de projets non Assured Workloads. Vous devez vous assurer que toute requête comportant une lecture ou une jointure sur des données Assured Workloads est placée dans des dossiers Assured Workloads. Vous pouvez spécifier un nom de table complet pour le résultat de la requête à l'aide de `projectname.dataset.table` dans la CLI BigQuery.
Cloud Logging	BigQuery utilise Cloud Logging pour certaines de vos données de journaux. Vous devez désactiver vos buckets de journalisation `_default` ou limiter les buckets `_default` aux régions concernées pour maintenir la conformité à l'aide de la commande suivante : `gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink` Pour en savoir plus, consultez Régionaliser vos journaux.

Cloud Interconnect

Fonctionnalités Cloud Interconnect concernées

Fonctionnalité	Description
VPN haute disponibilité	Vous devez activer la fonctionnalité de VPN haute disponibilité (HA) lorsque vous utilisez Cloud Interconnect avec Cloud VPN. De plus, vous devez respecter les exigences de chiffrement et de régionalisation listées dans la section Fonctionnalités Cloud VPN concernées.

Cloud KMS

Contraintes liées aux règles d'administration Cloud KMS

Contrainte liée aux règles d'administration	Description
`cloudkms.allowedProtectionLevels`	Définissez cette option pour autoriser la création de CryptoKeys Cloud Key Management Service avec les niveaux de protection suivants : `SOFTWARE` `HSM` `EXTERNAL` `EXTERNAL_VPC` Pour en savoir plus, consultez Niveaux de protection.

Cloud Logging

Fonctionnalités Cloud Logging concernées

Fonctionnalité	Description
Récepteurs de journaux	Les filtres ne doivent pas contenir de données client. Les récepteurs de journaux incluent des filtres qui sont stockés en tant que configuration. Ne créez pas de filtres contenant des données client.
Affichage en direct des dernières lignes des entrées de journal	Les filtres ne doivent pas contenir de données client. Une session d'affichage des dernières lignes en direct inclut un filtre stocké en tant que configuration. Le suivi des journaux ne stocke aucune donnée d'entrée de journal, mais peut interroger et transmettre des données entre les régions. Ne créez pas de filtres contenant des données client.
Règles d'alerte basées sur SQL	Cette fonctionnalité est désactivée. Vous ne pouvez pas utiliser la fonctionnalité de règles d'alerte basées sur SQL.

Cloud Monitoring

Fonctionnalités Cloud Monitoring concernées

Fonctionnalité	Description
Surveillance synthétique	Cette fonctionnalité est désactivée.
Tests de disponibilité	Cette fonctionnalité est désactivée.
Widgets de panneau de journaux dans Tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau de journaux à un tableau de bord.
Widgets du panneau Error Reporting dans Tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau Error Reporting à un tableau de bord.
Filtrez dans `EventAnnotation` pour Tableaux de bord.	Cette fonctionnalité est désactivée. Le filtre de `EventAnnotation` ne peut pas être défini dans un tableau de bord.
`SqlCondition` en `alertPolicies`	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter un `SqlCondition` à un `alertPolicy`.

Cloud Run

Fonctionnalités Cloud Run concernées

Fonctionnalité	Description
Fonctionnalités non compatibles	Les fonctionnalités Cloud Run suivantes ne sont pas compatibles : Intégration à Cloud Trace Cloud Run Functions Déclencheurs Eventarc

Cloud VPN

Fonctionnalités Cloud VPN concernées

Fonctionnalité	Description
Points de terminaison VPN	Vous ne devez utiliser que des points de terminaison Cloud VPN situés dans une région concernée. Vérifiez que votre passerelle VPN n'est configurée pour être utilisée que dans une région concernée.

Compute Engine

Fonctionnalités Compute Engine concernées

Fonctionnalité	Description
Suspendre et réactiver une instance de VM	Cette fonctionnalité est désactivée. La suspension et la réactivation d'une instance de VM nécessitent un stockage sur disque persistant, et le stockage sur disque persistant utilisé pour stocker l'état de VM suspendue ne peut actuellement pas être chiffré avec CMEK. Consultez la contrainte de règle d'administration `gcp.restrictNonCmekServices` dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté des données et la résidence des données.
Disques SSD locaux	Cette fonctionnalité est désactivée. Vous ne pourrez pas créer d'instance avec des disques SSD locaux, car ils ne peuvent pas être chiffrés à l'aide de CMEK. Consultez la contrainte de règle d'administration `gcp.restrictNonCmekServices` dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté et la résidence des données.
Environnement invité	Les scripts, les daemons et les binaires inclus dans l'environnement invité peuvent accéder aux données non chiffrées au repos et en cours d'utilisation. Selon la configuration de votre VM, les mises à jour de ce logiciel peuvent être installées par défaut. Pour en savoir plus sur le contenu, le code source et d'autres informations concernant chaque package, consultez Environnement invité. Ces composants vous aident à respecter la souveraineté des données grâce à des contrôles et des processus de sécurité internes. Toutefois, si vous souhaitez un contrôle supplémentaire, vous pouvez également organiser vos propres images ou agents et éventuellement utiliser la contrainte de règle d'administration `compute.trustedImageProjects`. Pour en savoir plus, consultez Créer une image personnalisée.
Règles d'OS dans VM Manager	Les scripts intégrés et les fichiers de sortie binaires des fichiers de règles d'OS ne sont pas chiffrés à l'aide de clés de chiffrement gérées par le client (CMEK). N'incluez aucune information sensible dans ces fichiers. Envisagez de stocker ces scripts et fichiers de sortie dans des buckets Cloud Storage. Pour en savoir plus, consultez Exemples de règles d'OS. Si vous souhaitez limiter la création ou la modification de ressources de règles d'OS qui utilisent des scripts intégrés ou des fichiers de sortie binaires, activez la contrainte de règle d'administration `constraints/osconfig.restrictInlineScriptAndOutputFileUsage`. Pour en savoir plus, consultez Contraintes pour OS Config.
`instances.getSerialPortOutput()`	Cette API est désactivée. Vous ne pourrez pas obtenir de données en sortie du port série depuis l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration `compute.disableInstanceDataAccessApis` sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès pour un projet.
`instances.getScreenshot()`	Cette API est désactivée. Vous ne pourrez pas obtenir de capture d'écran à partir de l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration `compute.disableInstanceDataAccessApis` sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès pour un projet.

Contraintes liées aux règles d'administration Compute Engine

Contrainte liée aux règles d'administration	Description
`compute.disableGlobalCloudArmorPolicy`	Défini sur True. Désactive la création de nouvelles stratégies de sécurité Google Cloud Armor globales, ainsi que l'ajout de règles à ces stratégies globales existantes et la modification des règles qui les composent. Cette contrainte n'empêche pas la suppression de règles, ni la suppression ou la modification de la description et du recensement des stratégies de sécurité Google Cloud Armor globales. Cette contrainte n'a aucune incidence sur les stratégies de sécurité Google Cloud Armor régionales. Toutes les stratégies de sécurité globales et régionales qui existaient avant l'application de cette contrainte restent en vigueur.
`compute.disableInstanceDataAccessApis`	Défini sur True. Désactive globalement les API `instances.getSerialPortOutput()` et `instances.getScreenshot()`. L'activation de cette contrainte vous empêche de générer des identifiants sur les VM Windows Server. Si vous devez gérer un nom d'utilisateur et un mot de passe sur une VM Windows, procédez comme suit : Activer SSH pour les VM Windows Exécutez la commande suivante pour modifier le mot de passe de la VM : gcloud compute ssh `VM_NAME` --command "net user `USERNAME` `PASSWORD`" Remplacez les éléments suivants : `VM_NAME` : nom de la VM pour laquelle vous définissez le mot de passe. `USERNAME` : nom de l'utilisateur pour lequel vous définissez le mot de passe. `PASSWORD` : nouveau mot de passe.
`compute.restrictNonConfidentialComputing`	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour fournir une défense en profondeur supplémentaire. Pour en savoir plus, consultez la documentation sur Confidential VM.
`compute.trustedImageProjects`	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour fournir une défense en profondeur supplémentaire. La définition de cette valeur limite le stockage des images et l'instanciation des disques à la liste de projets spécifiée. Cette valeur affecte la souveraineté des données en empêchant l'utilisation d'images ou d'agents non autorisés.

Customer Experience Insights

Fonctionnalités Customer Experience Insights concernées

Fonctionnalité	Description
IA de qualité avec des exemples de conversations	Il est de votre responsabilité de ne pas utiliser cette fonctionnalité, car elle n'est pas conforme à la norme CJIS.

Dataform

Fonctionnalités Dataform concernées

Fonctionnalité	Description
Fonctionnalités	Il est de votre responsabilité de ne pas utiliser le produit ou les fonctionnalités Vertex Colab Enterprise, car ils ne sont pas conformes à la norme CJIS.

Knowledge Catalog

Fonctionnalités de Knowledge Catalog

Fonctionnalité	Description
Magasin d'attributs	Cette fonctionnalité est obsolète et désactivée.
Data Catalog	Cette fonctionnalité est obsolète et désactivée. Vous ne pouvez pas rechercher ni gérer vos métadonnées dans Data Catalog.
Lacs et zones	Cette fonctionnalité est désactivée. Vous ne pouvez pas gérer les lacs, les zones et les tâches.

Firestore

Contraintes liées aux règles d'administration Firestore

Contrainte liée aux règles d'administration	Description
`firestore.managed.disableEnhancedTextSearch`	Défini sur True. Empêche l'activation des améliorations de requêtes pour la recherche en texte intégral Firestore.

Gemini Enterprise

Fonctionnalités de Gemini Enterprise

Fonctionnalité	Description
Ancrage Web pour les entreprises	Gemini Enterprise inclut la compatibilité avec la fonctionnalité d'ancrage Web pour entreprise. Pour en savoir plus, consultez la page Conseils de déploiement de Gemini for Government.

Google Cloud Armor

Fonctionnalités Google Cloud Armor concernées

Fonctionnalité	Description
Stratégies de sécurité à l'échelle mondiale	Cette fonctionnalité est désactivée par la contrainte de règle d'administration `compute.disableGlobalCloudArmorPolicy`.

Spanner

Fonctionnalités Spanner concernées

Fonctionnalité	Description
Limites de division	Spanner utilise un petit sous-ensemble de clés primaires et de colonnes indexées pour définir des limites de division, qui peuvent inclure des données et des métadonnées client. Une limite de division dans Spanner indique l'emplacement où les plages de lignes contiguës sont divisées en fragments plus petits. Ces limites de division sont accessibles par le personnel Google à des fins d'assistance technique et de débogage, et ne sont pas soumises aux contrôles d'accès administratif aux données dans Assured Workloads.

Fonctionnalité

Description

Limites de division

Spanner utilise un petit sous-ensemble de clés primaires et de colonnes indexées pour définir des limites de division, qui peuvent inclure des données et des métadonnées client. Une limite de division dans Spanner indique l'emplacement où les plages de lignes contiguës sont divisées en fragments plus petits.

Ces limites de division sont accessibles par le personnel Google à des fins d'assistance technique et de débogage, et ne sont pas soumises aux contrôles d'accès administratif aux données dans Assured Workloads.

Contraintes liées aux règles d'administration Spanner

Contrainte liée aux règles d'administration	Description
`spanner.disableMultiRegionInstanceIfNoLocationSelected`	Défini sur True. Désactive la possibilité de créer des instances Spanner multirégionales pour appliquer la résidence et la souveraineté des données.

Speech-to-Text

Fonctionnalités Speech-to-Text concernées

Fonctionnalité	Description
Modèles Speech-to-Text personnalisés	Il est de votre responsabilité de ne pas utiliser de modèles Speech-to-Text personnalisés, car ils ne sont pas conformes à la norme CJIS.

Vertex AI

Contraintes liées aux règles d'administration Vertex AI

Contrainte liée aux règles d'administration	Description
`vertexai.allowOnlyAllCompliantAPIs`	Défini sur True. Limite les requêtes Vertex AI aux seuls services et points de terminaison qui répondent aux exigences de conformité de base et de périmètre de données pour CJIS.

Étapes suivantes

Découvrez comment créer un dossier Assured Workloads.
Comprendre les tarifs d'Assured Workloads