部分 Assured Workloads 控制软件包的名称已更改。如需了解名称变更，请参阅控制软件包重命名通知。

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

‫Data Boundary למערכות מידע של המשפט הפלילי (CJIS)

בדף הזה מתוארת קבוצת אמצעי הבקרה שחלים על עומסי עבודה של CJIS ב-Assured Workloads. הוא מספק מידע מפורט על מיקום אחסון הנתונים, המוצרים Google Cloud הנתמכים ונקודות הקצה שלהם ל-API, וכל ההגבלות או המגבלות שחלות על המוצרים האלה. המידע הנוסף הבא רלוונטי ל-CJIS:

מיקום אחסון הנתונים: חבילת הבקרה של CJIS מגדירה אמצעי בקרה על מיקום הנתונים כדי לתמוך באזורים בארה"ב בלבד. למידע נוסף, קראו את הקטע אילוצים של מדיניות הארגון ברמתGoogle Cloud.
תמיכה: שירותי תמיכה טכנית לעומסי עבודה של CJIS זמינים במינויים ל-Cloud Customer Care ברמות Enhanced או Premium. בקשות תמיכה בעומסי עבודה של CJIS מנותבות לאדם או ישות בארה"ב הממוקמים בארה"ב שעברו בדיקות רקע של CJIS. מידע נוסף זמין במאמר קבלת תמיכה.
תמחור: חבילת הבקרה של CJIS כלולה במסלול פרימיום של Assured Workloads, שכוללת תשלום נוסף של 20%. מידע נוסף זמין במאמר התמחור של Assured Workloads.

דרישות מוקדמות

כדי להמשיך לעמוד בדרישות של חבילת אמצעי הבקרה של CJIS, ודאו שאתם עומדים בדרישות המוקדמות הבאות:

יוצרים תיקיית CJIS באמצעות Assured Workloads ופורסים את עומסי העבודה של CJIS רק בתיקייה הזו.
להפעיל ולהשתמש רק בשירותי CJIS שנכללים בהיקף לעומסי עבודה של CJIS.
אל תשתמשו בשרתי Google Cloud MCP, אלא אם צוין אחרת. ב-CJIS אין אמצעי בקרה על מיקום אחסון הנתונים של נתונים בשימוש ונתונים במעבר בשרתי Google Cloud MCP. כדי לחסום גישה לא רצויה לשרתי MCP של Google Cloud, קראו את המאמר שליטה בשימוש בשרתי MCP של Google Cloud באמצעות IAM.
אל תשנו את ערכי ברירת המחדל של האילוצים במדיניות הארגון, אלא אם אתם מבינים את הסיכונים שעלולים להתרחש במיקום אחסון הנתונים ומוכנים לקבל אותם.
כדאי ליישם את השיטות המומלצות הכלליות לאבטחה שמפורטות Google Cloud במרכז לשיטות אבטחה מומלצות.
כשנכנסים למסוף Google Cloud , אפשר להשתמש במסוף Google Cloud . אתם לא חייבים להשתמש במסוף של סמכות השיפוט Google Cloud בשביל CJIS. אפשר לגשת אליו באחת מכתובות ה-URL הבאות:
- console.us.cloud.google.com
- ‫console.us.cloud.google למשתמשים עם זהות מאוחדת

מוצרים נתמכים ונקודות קצה ל-API

אלא אם צוין אחרת, המשתמשים יכולים לגשת לכל המוצרים הנתמכים דרך מסוף Google Cloud . בטבלה הבאה מפורטות ההגבלות שמשפיעות על התכונות של מוצר נתמך, כולל הגבלות שנאכפות באמצעות הגדרות של אילוצי מדיניות הארגון.

אם מוצר לא מופיע ברשימה, הוא לא נתמך ולא עומד בדרישות הבקרה של CJIS. לא מומלץ להשתמש במוצרים שלא נתמכים בלי בדיקת נאותות והבנה מעמיקה של תחומי האחריות שלכם במודל האחריות המשותפת. לפני שאתם משתמשים במוצר שלא נתמך, חשוב לוודא שאתם מודעים לסיכונים הכרוכים בכך ומוכנים לקבל אותם, כמו השפעות שליליות על מיקום אחסון הנתונים או על ריבונות הנתונים.

מוצר נתמך	נקודות קצה ל-API	הגבלות או מגבלות
Access Context Manager	`accesscontextmanager.googleapis.com`	ללא
Access Transparency	`accessapproval.googleapis.com`	ללא
Agent Assist	`dialogflow.googleapis.com`	ללא
AlloyDB ל-PostgreSQL	`alloydb.googleapis.com`	ללא
Apigee	`apigee.googleapis.com`	ללא
App Hub	`apphub.googleapis.com`	ללא
Application Integration	`integrations.googleapis.com`	ללא
Artifact Registry	`artifactregistry.googleapis.com`	ללא
כלי לניהול ביקורות	`auditmanager.googleapis.com`	ללא
שירות Backup and DR	`backupdr.googleapis.com`	ללא
גיבוי ל-Google Kubernetes Engine (GKE)	`gkebackup.googleapis.com`	ללא
BigQuery	`bigquery.googleapis.com` `bigquerydatapolicy.googleapis.com` `bigquerymigration.googleapis.com` `bigqueryreservation.googleapis.com` `bigquerystorage.googleapis.com`	התכונות המושפעות
BigQuery Connection API	`bigqueryconnection.googleapis.com`	ללא
שירות העברת נתונים ל-BigQuery	`bigquerydatatransfer.googleapis.com`	ללא
Bigtable	`bigtable.googleapis.com` `bigtableadmin.googleapis.com`	ללא
Binary Authorization	`binaryauthorization.googleapis.com`	ללא
Certificate Authority Service	`privateca.googleapis.com`	ללא
Certificate Manager	`certificatemanager.googleapis.com`	ללא
מאגר משאבי ענן	`cloudasset.googleapis.com`	ללא
Cloud Build	`cloudbuild.googleapis.com`	ללא
Cloud DNS	`dns.googleapis.com`	התכונות המושפעות
Cloud Data Fusion	`datafusion.googleapis.com`	ללא
Cloud Deploy	`clouddeploy.googleapis.com`	ללא
Cloud Domains	`domains.googleapis.com`	ללא
Cloud External Key Manager ‏(Cloud EKM)	`cloudkms.googleapis.com`	ללא
Cloud HSM	`cloudkms.googleapis.com`	ללא
Cloud Identity	`cloudidentity.googleapis.com`	ללא
Cloud Interconnect	`compute.googleapis.com`	התכונות המושפעות
Cloud Key Management Service ‏(Cloud KMS)	`cloudkms.googleapis.com`	אילוצים של מדיניות הארגון
Cloud Load Balancing	`compute.googleapis.com`	התכונות המושפעות
Cloud Logging	`logging.googleapis.com`	התכונות המושפעות
Cloud Monitoring	`monitoring.googleapis.com`	התכונות המושפעות
Cloud NAT	`compute.googleapis.com`	התכונות המושפעות
Cloud OS Login API	`oslogin.googleapis.com`	ללא
Cloud Router	`compute.googleapis.com`	התכונות המושפעות
Cloud Run	`run.googleapis.com`	התכונות המושפעות
פונקציות Cloud Run	`run.googleapis.com`	ללא
Cloud SQL	`sqladmin.googleapis.com`	ללא
Cloud Service Mesh	`mesh.googleapis.com` `meshca.googleapis.com` `meshconfig.googleapis.com`	ללא
Cloud Storage	`storage.googleapis.com`	ללא
Cloud Tasks	`cloudtasks.googleapis.com`	ללא
Cloud VPN	`compute.googleapis.com`	התכונות המושפעות
Cloud Vision API	`vision.googleapis.com`	ללא
Cloud Workstations	`workstations.googleapis.com`	ללא
Compliance Manager	`cloudsecuritycompliance.googleapis.com`	ללא
Compute Engine	`compute.googleapis.com`	התכונות המושפעות והמגבלות של מדיניות הארגון
Google Kubernetes Engine (GKE) Connect	`gkeconnect.googleapis.com`	ללא
Dialogflow CX	`dialogflow.googleapis.com`	ללא
Customer Experience Insights	`contactcenterinsights.googleapis.com`	התכונות המושפעות
Data Security Posture Management	`Not applicable`	ללא
Database Center	`databasecenter.googleapis.com`	ללא
Dataflow	`dataflow.googleapis.com` `datapipelines.googleapis.com`	ללא
Dataform	`dataform.googleapis.com`	התכונות המושפעות
Document AI	`documentai.googleapis.com`	ללא
אנשי קשר חיוניים	`essentialcontacts.googleapis.com`	ללא
Eventarc	`eventarc.googleapis.com`	ללא
מאזן עומסי רשת חיצוני להעברת סיגנל ללא שינוי	`compute.googleapis.com`	ללא
Filestore	`file.googleapis.com`	ללא
כללי אבטחה של Firebase	`firebaserules.googleapis.com`	ללא
Firestore	`firestore.googleapis.com`	אילוצים של מדיניות הארגון
Google Kubernetes Engine (GKE) Hub	`gkehub.googleapis.com`	ללא
Google Kubernetes Engine (GKE) Identity Service	`anthosidentityservice.googleapis.com`	ללא
סטרימינג של קובצי אימג' ב-Google Kubernetes Engine (GKE)	`containerfilesystem.googleapis.com`	ללא
Gemini Enterprise	`discoveryengine.googleapis.com`	התכונות המושפעות
‫AI גנרטיבי ב-Vertex AI	`aiplatform.googleapis.com`	ללא
Google Cloud Armor	`compute.googleapis.com` `networksecurity.googleapis.com`	התכונות המושפעות
Google Cloud NetApp Volumes	`netapp.googleapis.com`	התכונות המושפעות
Google Kubernetes Engine (GKE)‎	`container.googleapis.com` `containersecurity.googleapis.com`	ללא
Google Security Operations SIEM	`chronicle.googleapis.com` `chronicleservicemanager.googleapis.com`	ללא
Google Security Operations SOAR	`Not applicable`	ללא
מסוף Google Admin	`Not applicable`	ללא
ניהול זהויות והרשאות גישה (IAM)	`iam.googleapis.com`	ללא
שרת proxy לאימות זהויות (IAP)	`iap.googleapis.com`	ללא
Infrastructure Manager	`config.googleapis.com`	ללא
מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי	`compute.googleapis.com`	ללא
הצדקות גישה למפתחות	`cloudekm.googleapis.com` `cloudkms.googleapis.com`	ללא
Knowledge Catalog	`dataplex.googleapis.com` `datalineage.googleapis.com`	התכונות המושפעות
Looker (Google Cloud core)	`looker.googleapis.com`	ללא
Managed Service for Apache Airflow	`composer.googleapis.com`	ללא
Managed Service for Apache Spark	`dataproc-control.googleapis.com` `dataproc.googleapis.com`	ללא
Memorystore for Redis	`redis.googleapis.com`	ללא
Migrate to Containers	`Not applicable`	ללא
הגנה מוגברת על המודל	`modelarmor.googleapis.com`	ללא
Network Connectivity Center	`networkconnectivity.googleapis.com`	התכונות המושפעות
שירות מדיניות הארגון	`orgpolicy.googleapis.com`	ללא
Persistent Disk	`compute.googleapis.com`	ללא
Privileged Access Manager	`privilegedaccessmanager.googleapis.com`	ללא
Pub/Sub	`pubsub.googleapis.com`	אילוצים של מדיניות הארגון
מאזן עומסים חיצוני אזורי של אפליקציות (ALB)	`compute.googleapis.com`	ללא
מאזן עומסי רשת אזורי חיצוני בשרת proxy	`compute.googleapis.com`	ללא
מאזן עומסים פנימי אזורי של אפליקציות (ALB)	`compute.googleapis.com`	ללא
מאזן עומסי רשת אזורי פנימי בשרת proxy	`compute.googleapis.com`	ללא
מנהל המשאבים	`cloudresourcemanager.googleapis.com`	ללא
Secret Manager	`secretmanager.googleapis.com`	ללא
Secure Source Manager	`securesourcemanager.googleapis.com`	ללא
Security Command Center Premium	`securitycenter.googleapis.com` `securitycentermanagement.googleapis.com` `securityposture.googleapis.com` `websecurityscanner.googleapis.com`	ללא
Sensitive Data Protection	`dlp.googleapis.com`	ללא
Spanner	`spanner.googleapis.com`	אילוצים של מדיניות הארגון
המרת דיבור לטקסט (STT)	`speech.googleapis.com`	התכונות המושפעות
Storage Transfer Service	`storagetransfer.googleapis.com`	ללא
המרת טקסט לדיבור (TTS)	`texttospeech.googleapis.com`	ללא
VM Manager	`osconfig.googleapis.com`	ללא
VPC Service Controls	`accesscontextmanager.googleapis.com` `accesscontextintelligence.googleapis.com`	ללא
חיזוי של Vertex AI Batch	`aiplatform.googleapis.com`	אילוצים של מדיניות הארגון
Vertex AI Model Monitoring	`aiplatform.googleapis.com`	אילוצים של מדיניות הארגון
מרשם המודלים של Vertex AI	`aiplatform.googleapis.com`	אילוצים של מדיניות הארגון
חיזוי אונליין של Vertex AI	`aiplatform.googleapis.com`	אילוצים של מדיניות הארגון
Vertex AI Pipelines	`aiplatform.googleapis.com`	אילוצים של מדיניות הארגון
חיפוש מבוסס סוכנים	`discoveryengine.googleapis.com`	התכונות המושפעות והמגבלות של מדיניות הארגון
Vertex AI Training	`aiplatform.googleapis.com`	אילוצים של מדיניות הארגון
Vertex AI Workbench	`notebooks.googleapis.com`	אילוצים של מדיניות הארגון
ענן וירטואלי פרטי (VPC)	`compute.googleapis.com`	ללא
Web Risk	`webrisk.googleapis.com`	ללא
איחוד שירותי אימות הזהות של כוח עבודה	`iam.googleapis.com` `sts.googleapis.com`	ללא

הגבלות ומגבלות

בקטעים הבאים מתוארות ההגבלות והמגבלות של Google Cloudעל תכונות, כולל אילוצים של מדיניות הארגון שמוגדרים כברירת מחדל בתיקיות CJIS. אילוצים אחרים שחלים על מדיניות הארגון – גם אם הם לא מוגדרים כברירת מחדל – יכולים לספק הגנה נוספת לעומק כדי להגן על המשאבים של Google Cloud בארגון.

בכלGoogle Cloud

תכונות שמושפעות בכל רחבי Google Cloud

תכונה	תיאור
מסוףGoogle Cloud	כדי לגשת למסוף Google Cloud כשמשתמשים בחבילת הבקרה של CJIS, אפשר להשתמש במסוף Google Cloud של תחום השיפוט. מסוף Google Cloud הסמכות השיפוטית לא נדרש ל-CJIS, ואפשר לגשת אליו באמצעות אחת מכתובות ה-URL הבאות: console.us.cloud.google.com ‫console.us.cloud.google למשתמשים עם זהות מאוחדת

תכונה

תיאור

מסוףGoogle Cloud

כדי לגשת למסוף Google Cloud כשמשתמשים בחבילת הבקרה של CJIS, אפשר להשתמש במסוף Google Cloud של תחום השיפוט. מסוף Google Cloud הסמכות השיפוטית לא נדרש ל-CJIS, ואפשר לגשת אליו באמצעות אחת מכתובות ה-URL הבאות:

console.us.cloud.google.com
‫console.us.cloud.google למשתמשים עם זהות מאוחדת

אילוצים של מדיניות הארגון ברמתGoogle Cloud

האילוצים הבאים של מדיניות הארגון חלים על כל Google Cloud.

אילוץ של מדיניות הארגון	תיאור
`gcp.resourceLocations`	מגדירים את המיקומים הבאים ברשימה `allowedValues`: `us-locations` `us-central1` `us-central2` `us-east1` `us-east4` `us-east5` `us-south1` `us-west1` `us-west2` `us-west3` `us-west4` הערך הזה מגביל את היצירה של משאבים חדשים לערכים שנבחרו. אחרי שמגדירים את המדיניות, אי אפשר ליצור משאבים באזורים אחרים, במספר אזורים או במיקומים מחוץ לאזור שנבחר. במאמר שירותים נתמכים של מיקומי משאבים מפורטים המשאבים שאפשר להגביל באמצעות האילוץ של מדיניות הארגון "מיקומי משאבים". יכול להיות שחלק מהמשאבים לא נכללים בהיקף ואי אפשר להגביל אותם. אם משנים את הערך הזה ומגדירים אותו כפחות מגביל, יכול להיות שזה יפגע במיקום אחסון הנתונים כי הנתונים יוכלו להיווצר או להישמר מחוץ לגבולות הנתונים התואמים.
`gcp.restrictCmekCryptoKeyProjects`	צריך להגדיר את הערך `under:organizations/your-organization-name`, שהוא הארגון שלכם ב-Assured Workloads. אפשר להגביל את הערך הזה עוד יותר על ידי ציון פרויקט או תיקייה.‫ מגבילה את היקף התיקיות או הפרויקטים המאושרים שיכולים לספק מפתחות Cloud KMS להצפנת נתונים במנוחה באמצעות CMEK. האילוץ הזה מונע מתיקיות או מפרויקטים לא מאושרים לספק מפתחות הצפנה, וכך עוזר להבטיח את ריבונות הנתונים במנוחה בשירותים הרלוונטיים.
`gcp.restrictNonCmekServices`	צריך להגדיר רשימה של כל שמות שירותי ה-API שבהיקף, כולל: `aiplatform.googleapis.com` `alloydb.googleapis.com` `apigee.googleapis.com` `artifactregistry.googleapis.com` `backupdr.googleapis.com` `bigquery.googleapis.com` `bigquerydatatransfer.googleapis.com` `bigtable.googleapis.com` `cloudfunctions.googleapis.com` `cloudtasks.googleapis.com` `composer.googleapis.com` `compute.googleapis.com` `contactcenterinsights.googleapis.com` `container.googleapis.com` `dataflow.googleapis.com` `dataform.googleapis.com` `datafusion.googleapis.com` `dataplex.googleapis.com` `dataproc.googleapis.com` `dialogflow.googleapis.com` `discoveryengine.googleapis.com` `documentai.googleapis.com` `eventarc.googleapis.com` `file.googleapis.com` `firestore.googleapis.com` `gkebackup.googleapis.com` `integrations.googleapis.com` `logging.googleapis.com` `looker.googleapis.com` יכול להיות שחלק מהתכונות יושפעו בכל אחד מהשירותים שמפורטים למעלה. כל שירות שמופיע ברשימה דורש מפתחות הצפנה בניהול הלקוח (CMEK). מפתחות CMEK מצפינים נתונים במנוחה באמצעות מפתח שמנוהל על ידכם, ולא באמצעות מנגנוני ההצפנה שמוגדרים כברירת מחדל ב-Google. שינוי הערך הזה על ידי הסרת שירות אחד או יותר מהרשימה עלול לפגוע בריבונות הנתונים, כי נתונים חדשים במנוחה יוצפנו באופן אוטומטי באמצעות המפתחות של Google במקום המפתחות שלך. הנתונים הקיימים באחסון יישארו מוצפנים באמצעות המפתח שסיפקת.
`gcp.restrictServiceUsage`	מגדירים את הכלל כך שיאפשר את כל המוצרים ונקודות הקצה ל-API הנתמכים. ההגדרה הזו קובעת באילו שירותים אפשר להשתמש על ידי הגבלת הגישה של זמן הריצה למשאבים שלהם. למידע נוסף, קראו את המאמר הגבלת השימוש במשאבים.
`gcp.restrictTLSVersion`	הגדרת דחייה של גרסאות ה-TLS הבאות: `TLS_1_0` `TLS_1_1` מידע נוסף זמין במאמר הגבלת גרסאות TLS.

חיפוש מבוסס סוכנים

התכונות המושפעות של חיפוש מבוסס סוכנים

תכונה	תיאור
כוונון החיפוש	אתם אחראים לא להשתמש בתכונה "כוונון החיפוש" של Agent Search, כי היא לא תואמת ל-CJIS.
המלצות כלליות	באחריותך לא להשתמש בתכונה "המלצות כלליות" של Agent Search, כי היא לא תואמת ל-CJIS.
המלצות למדיה	באחריותך לא להשתמש בתכונה "המלצות מדיה" של Agent Search, כי היא לא תואמת ל-CJIS.

BigQuery

התכונות המושפעות ב-BigQuery

תכונה	תיאור
הפעלת BigQuery בתיקייה חדשה	יש תמיכה ב-BigQuery, אבל הוא לא מופעל באופן אוטומטי כשיוצרים תיקיית Assured Workloads חדשה בגלל תהליך הגדרה פנימי. התהליך הזה בדרך כלל מסתיים תוך עשר דקות, אבל בנסיבות מסוימות הוא יכול להימשך הרבה יותר זמן. כדי לבדוק אם התהליך הסתיים ולהפעיל את BigQuery, מבצעים את השלבים הבאים: נכנסים לדף Assured Workloads במסוף Google Cloud . כניסה לדף Assured Workloads בוחרים את התיקייה החדשה של Assured Workloads מהרשימה. בדף Folder Details, בקטע Allowed services, לוחצים על Review Available Updates. בחלונית Allowed services, בודקים את השירותים שרוצים להוסיף למדיניות הארגון Resource Usage Restriction של התיקייה. אם שירותי BigQuery מופיעים ברשימה, לוחצים על Allow Services כדי להוסיף אותם. אם שירותי BigQuery לא מופיעים ברשימה, צריך להמתין עד שהתהליך הפנימי יסתיים. אם השירותים לא מופיעים תוך 12 שעות מיצירת התיקייה, פנו ל-Cloud Customer Care. בסיום תהליך ההפעלה, תוכלו להשתמש ב-BigQuery בתיקיית Assured Workloads. ‫Gemini ב-BigQuery לא נתמך ב-Assured Workloads.
תכונות שלא נתמכות	התכונות הבאות של BigQuery לא נתמכות, ואין להשתמש בהן ב-CLI של BigQuery. באחריותכם לא להשתמש בהם ב-BigQuery ל-Assured Workloads. אינטראקציה עם מקורות נתונים מרוחקים אין תמיכה במודלים של BQML שאומנו באופן חיצוני. יש תמיכה במודלים של BQML שאומנו באופן פנימי. אין תמיכה בהסתרת נתונים באמצעות תגי מדיניות. יש תמיכה בהסתרת נתונים על ידי החלת מדיניות נתונים ישירות על עמודות. ייצוא ל-GDrive פונקציות משירותים חיצוניים שאילתות שמורות תזמון תהליך עבודה ב-BigQuery Studio אין תמיכה בפריטי Notebook. ‫Gemini ב-BigQuery לא נתמך.
BigQuery CLI	יש תמיכה ב-CLI של BigQuery.
Google Cloud SDK	כדי לשמור על ההתחייבויות לריכוז נתונים אזורי של נתונים טכניים, צריך להשתמש ב-Google Cloud SDK בגרסה 403.0.0 ואילך. כדי לבדוק את הגרסה הנוכחית של Google Cloud SDK, מריצים את הפקודה `gcloud --version` ואז את הפקודה `gcloud components update` כדי לעדכן לגרסה החדשה ביותר.
אמצעי בקרה לאדמינים	‫BigQuery ישבית ממשקי API שלא נתמכים, אבל אדמינים עם הרשאות מספיקות ליצירת תיקיות של Assured Workloads יכולים להפעיל ממשק API שלא נתמך. במקרה כזה, תקבלו הודעה על אי-תאימות פוטנציאלית דרך לוח הבקרה למעקב של Assured Workloads.
טעינת נתונים	אין תמיכה במחברים של שירות העברת הנתונים ל-BigQuery לאפליקציות של Google תוכנה כשירות (SaaS), לספקי אחסון חיצוניים בענן ולמחסני נתונים. באחריותכם לא להשתמש במחברים של שירות העברת הנתונים ל-BigQuery לעומסי עבודה של CJIS.
העברות לצד שלישי	‫BigQuery לא מאמת את התמיכה בהעברות של צד שלישי בשירות העברת הנתונים ל-BigQuery. באחריותכם לוודא שיש תמיכה כשאתם משתמשים בהעברה של צד שלישי לשירות העברת הנתונים ל-BigQuery.
מודלים של BQML שלא עומדים בדרישות	אין תמיכה במודלים של BQML שאומנו באופן חיצוני.
משימות של השאילתה	צריך ליצור משימות שאילתה רק בתיקיות של Assured Workloads.
שאילתות על מערכי נתונים בפרויקטים אחרים	ב-BigQuery אפשר לשלוח שאילתות למערכי נתונים של Assured Workloads מפרויקטים שהם לא של Assured Workloads. חשוב לוודא שכל שאילתה שכוללת קריאה או צירוף של נתוני Assured Workloads תמוקם בתיקיות של Assured Workloads. אפשר לציין שם טבלה מלא לתוצאת השאילתה באמצעות `projectname.dataset.table` ב-CLI של BigQuery.
Cloud Logging	ב-BigQuery נעשה שימוש ב-Cloud Logging לחלק מנתוני היומן. כדי לשמור על תאימות, צריך להשבית את קטגוריות הרישום ביומן של `_default` או להגביל את הקטגוריות של `_default` לאזורים שבהיקף, באמצעות הפקודה הבאה: `gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink` מידע נוסף זמין במאמר התאמת היומנים לאזורים.

Cloud Interconnect

התכונות שיושפעו ב-Cloud Interconnect

תכונה	תיאור
רשת VPN בזמינות גבוהה (HA)	כשמשתמשים ב-Cloud Interconnect עם Cloud VPN, צריך להפעיל את הפונקציונליות של VPN בזמינות גבוהה (HA). בנוסף, צריך לעמוד בדרישות ההצפנה והאזוריות שמפורטות בקטע התכונות המושפעות של Cloud VPN.

Cloud KMS

אילוצים של מדיניות הארגון ב-Cloud KMS

אילוץ של מדיניות הארגון	תיאור
`cloudkms.allowedProtectionLevels`	הגדרה שמאפשרת ליצור מפתחות קריפטוגרפיים של Cloud Key Management Service עם רמות ההגנה הבאות: `SOFTWARE` `HSM` `EXTERNAL` `EXTERNAL_VPC` מידע נוסף זמין במאמר רמות הגנה.

Cloud Logging

התכונות שיושפעו ב-Cloud Logging

תכונה	תיאור
Sinks ביומן	המסננים לא צריכים להכיל נתוני לקוחות. אובייקטי sink ביומן כוללים מסננים שמאוחסנים כהגדרות אישיות. אין ליצור מסננים שמכילים נתוני לקוחות.
רישום ביומן בזמן אמת של רשומות ביומן	המסננים לא צריכים להכיל נתוני לקוחות. סשן של רישום ביומן בזמן אמת כולל מסנן שמאוחסן כהגדרה. במעקב אחרי יומנים לא מאוחסנים נתונים של רשומות ביומן, אבל אפשר לשלוח שאילתות על נתונים ולהעביר אותם בין אזורים. אל תיצרו מסננים שמכילים נתוני לקוחות.
כללי מדיניות התראה מבוססי-SQL	התכונה הזו מושבתת. אי אפשר להשתמש בתכונה של מדיניות התראות מבוססת-SQL.

Cloud Monitoring

התכונות שיושפעו ב-Cloud Monitoring

תכונה	תיאור
Synthetic Monitor	התכונה הזו מושבתת.
בדיקות זמני פעילות	התכונה הזו מושבתת.
ווידג'טים של חלונית היומנים ב-Dashboards	התכונה הזו מושבתת. אי אפשר להוסיף חלונית יומנים למרכז בקרה.
ווידג'טים של חלונית Error Reporting ב-Dashboards	התכונה הזו מושבתת. אי אפשר להוסיף חלונית של Error Reporting למרכז בקרה.
מסננים ב-`EventAnnotation` למרכזי בקרה	התכונה הזו מושבתת. אי אפשר להגדיר מסנן של `EventAnnotation` במרכז בקרה.
‫`SqlCondition` ב`alertPolicies`	התכונה הזו מושבתת. אי אפשר להוסיף `SqlCondition` אל `alertPolicy`.

Cloud Run

התכונות שיושפעו ב-Cloud Run

תכונה	תיאור
תכונות שלא נתמכות	התכונות הבאות של Cloud Run לא נתמכות: שילוב עם Cloud Trace פונקציות Cloud Run טריגרים של Eventarc

Cloud VPN

התכונות המושפעות של Cloud VPN

תכונה	תיאור
נקודות קצה של VPN	אתם צריכים להשתמש רק בנקודות קצה של Cloud VPN שנמצאות באזור שבהיקף ההסמכה. חשוב לוודא ששער ה-VPN מוגדר לשימוש רק באזור שנכלל בהיקף.

Compute Engine

התכונות שיושפעו ב-Compute Engine

תכונה	תיאור
השהיה והפעלה מחדש של מכונת VM	התכונה הזו מושבתת. כדי להשהות ולהפעיל מחדש מכונת VM, צריך אחסון בדיסק מתמיד (persistent disk). כרגע אי אפשר להצפין באמצעות CMEK את האחסון בדיסק המתמיד (persistent disk) שמשמש לאחסון המצב של מכונת ה-VM המושהית. כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ומיקום אחסון הנתונים, עיינו באילוץ של מדיניות הארגון `gcp.restrictNonCmekServices` בקטע שלמעלה.
כונני SSD מקומיים	התכונה הזו מושבתת. לא תוכלו ליצור מכונה עם כונני SSD מקומיים, כי אי אפשר להצפין אותם באמצעות CMEK. כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ומיקום אחסון הנתונים, קראו את הקטע שלמעלה על האילוץ `gcp.restrictNonCmekServices` במדיניות הארגון.
סביבת אורח	סקריפטים, תהליכי daemon וקבצים בינאריים שכלולים בסביבת האורח יכולים לגשת לנתונים לא מוצפנים במנוחה ובשימוש. בהתאם להגדרות של המכונה הווירטואלית, יכול להיות שעדכונים לתוכנה הזו יותקנו כברירת מחדל. במאמר סביבת אורח מפורט מידע ספציפי על התוכן של כל חבילה, קוד המקור ועוד. הרכיבים האלה עוזרים לכם לעמוד בדרישות של ריבונות הנתונים באמצעות אמצעי בקרה ותהליכים פנימיים לאבטחה. עם זאת, אם אתם רוצים שליטה נוספת, אתם יכולים גם לאסוף תמונות או סוכנים משלכם, ואם רוצים, להשתמש באילוץ של מדיניות הארגון `compute.trustedImageProjects`. מידע נוסף זמין במאמר יצירת קובץ אימג' בהתאמה אישית.
מדיניות של מערכת ההפעלה ב-VM Manager	סקריפטים מוטבעים וקובצי פלט בינאריים בקובצי המדיניות של מערכת ההפעלה לא מוצפנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). חשוב לא לכלול מידע רגיש בקבצים האלה. מומלץ לאחסן את הסקריפטים וקובצי הפלט האלה בקטגוריות של Cloud Storage. למידע נוסף, קראו את המאמר דוגמאות למדיניות של מערכת ההפעלה. אם רוצים להגביל את היצירה או השינוי של משאבי מדיניות של מערכת ההפעלה שמשתמשים בסקריפטים מוטבעים או בקובצי פלט בינאריים, צריך להפעיל את אילוץ מדיניות הארגון `constraints/osconfig.restrictInlineScriptAndOutputFileUsage`. מידע נוסף זמין במאמר אילוצים של OS Config.
`instances.getSerialPortOutput()`	ה-API הזה מושבת. לא תוכלו לקבל פלט של יציאה טורית מהמכונה שצוינה באמצעות ה-API הזה. כדי להפעיל את ה-API הזה, צריך לשנות את הערך של אילוץ מדיניות הארגון `compute.disableInstanceDataAccessApis` ל-False. אפשר גם להפעיל את היציאה הטורית האינטראקטיבית ולהשתמש בה, לפי ההוראות שבמאמר הפעלת גישה לפרויקט.
`instances.getScreenshot()`	ה-API הזה מושבת. לא תהיה לך אפשרות לקבל צילום מסך מהמכונה שצוינה באמצעות ה-API הזה. כדי להפעיל את ה-API הזה, צריך לשנות את הערך של אילוץ מדיניות הארגון `compute.disableInstanceDataAccessApis` ל-False. אפשר גם להפעיל את היציאה הטורית האינטראקטיבית ולהשתמש בה, לפי ההוראות שבמאמר הפעלת גישה לפרויקט.

אילוצים של מדיניות הארגון ב-Compute Engine

אילוץ של מדיניות הארגון	תיאור
`compute.disableGlobalCloudArmorPolicy`	מגדירים את האפשרות True. השבתת היצירה של כללי מדיניות אבטחה גלובליים חדשים של Google Cloud Armor, והשבתת ההוספה או השינוי של כללים במדיניות אבטחה גלובלית קיימת של Google Cloud Armor. המגבלה הזו לא מונעת הסרה של כללים או את היכולת להסיר או לשנות את התיאור והרשימה של מדיניות האבטחה הגלובלית של Google Cloud Armor. המגבלה הזו לא משפיעה על מדיניות האבטחה האזורית של Google Cloud Armor. כל כללי מדיניות האבטחה הגלובליים והאזוריים שקיימים לפני אכיפת האילוץ הזה נשארים בתוקף.
`compute.disableInstanceDataAccessApis`	מגדירים את האפשרות True. משבית באופן גלובלי את ממשקי ה-API של `instances.getSerialPortOutput()` ו-`instances.getScreenshot()`. אם מפעילים את האילוץ הזה, אי אפשר ליצור פרטי כניסה במכונות וירטואליות של Windows Server. כדי לנהל שם משתמש וסיסמה במכונה וירטואלית של Windows: הפעלת SSH למכונות וירטואליות של Windows. מריצים את הפקודה הבאה כדי לשנות את הסיסמה של המכונה הווירטואלית: gcloud compute ssh `VM_NAME` --command "net user `USERNAME` `PASSWORD`" מחליפים את הערכים הבאים: ‫`VM_NAME`: השם של המכונה הווירטואלית שאתם מגדירים לה סיסמה. ‫`USERNAME`: שם המשתמש של המשתמש שמגדירים לו את הסיסמה. ‫`PASSWORD`: הסיסמה החדשה.
`compute.restrictNonConfidentialComputing`	(אופציונלי) הערך לא מוגדר. צריך להגדיר את הערך הזה כדי לספק הגנה נוספת לעומק. מידע נוסף זמין במאמרי העזרה בנושא Confidential VM.
`compute.trustedImageProjects`	(אופציונלי) הערך לא מוגדר. צריך להגדיר את הערך הזה כדי לספק הגנה נוספת לעומק. הגדרת הערך הזה מגבילה את אחסון התמונות ואת יצירת המופעים של הדיסקים לרשימת הפרויקטים שצוינה. הערך הזה משפיע על ריבונות הנתונים כי הוא מונע שימוש בתמונות או בסוכנים לא מורשים.

תובנות לגבי חוויית הלקוח (CX)

התכונות שיושפעו ב-Customer Experience Insights

תכונה	תיאור
AI איכותי עם שיחות לדוגמה	באחריותך לא להשתמש בתכונה הזו, כי היא לא תואמת ל-CJIS.

Dataform

התכונות שיושפעו ב-Dataform

תכונה	תיאור
תכונות	באחריותכם לא להשתמש במוצר או בתכונות של Vertex Colab Enterprise, כי הם לא תואמים ל-CJIS.

Knowledge Catalog

התכונות של Knowledge Catalog

תכונה	תיאור
Attribute Store	התכונה הזו הוצאה משימוש והושבתה.
Data Catalog	התכונה הזו הוצאה משימוש והושבתה. אי אפשר לחפש במטא-נתונים או לנהל אותם ב-Data Catalog.
אגמים ואזורים	התכונה הזו מושבתת. אתם לא יכולים לנהל אגמים, אזורים ומשימות.

Firestore

אילוצים של מדיניות הארגון ב-Firestore

אילוץ של מדיניות הארגון	תיאור
`firestore.managed.disableEnhancedTextSearch`	מגדירים את האפשרות True. מונעת את ההפעלה של שיפורי שאילתות בחיפוש טקסט מלא ב-Firestore.

Gemini Enterprise

התכונות של Gemini Enterprise

תכונה	תיאור
עיגון בנתונים מהאינטרנט עבור Enterprise	‫Gemini Enterprise כולל תמיכה בתכונה "ביסוס מידע באינטרנט לארגונים". מידע נוסף זמין בדף הנחיות לפריסת Gemini for Government.

Google Cloud Armor

התכונות המושפעות של Google Cloud Armor

תכונה	תיאור
כללי מדיניות אבטחה ברמה הגלובלית	התכונה הזו מושבתת בגלל האילוץ `compute.disableGlobalCloudArmorPolicy` במדיניות הארגון.

Spanner

התכונות המושפעות של Spanner

תכונה	תיאור
גבולות פיצול	‫Spanner משתמש בקבוצת משנה קטנה של מפתחות ראשיים ועמודות שנוספו לאינדקס כדי להגדיר גבולות פיצול, שעשויים לכלול נתוני לקוחות ומטא-נתונים. גבול פיצול ב-Spanner מציין את המיקום שבו טווחים רציפים של שורות מפוצלים לחלקים קטנים יותר. לצוות של Google יש גישה לגבולות הפיצול האלה למטרות תמיכה טכנית וניפוי באגים, והם לא כפופים לאפשרויות לניהול השימוש בנתונים של אדמינים ב-Assured Workloads.