Datengrenze für Impact Level 5 (IL5)

Auf dieser Seite werden die Steuerelemente beschrieben, die auf die Datengrenze für IL5-Arbeitslasten in Assured Workloads angewendet werden. Sie enthält detaillierte Informationen zum Datenstandort, zu den unterstützten Google Cloud Produkten und ihren API-Endpunkten sowie zu allen geltenden Einschränkungen oder Beschränkungen für diese Produkte. Für die Datengrenze für IL5 gelten die folgenden zusätzlichen Informationen:

  • Datenstandort: Das Kontrollpaket „Datengrenze für IL5“ legt die Steuerelemente für den Datenstandort so fest, dass nur Regionen in den USA unterstützt werden. Weitere Informationen finden Sie im Abschnitt Google Cloud-weite Einschränkungen für Organisationsrichtlinien.
  • Support: Technischer Support für die Datengrenze für IL5-Arbeitslasten ist mit Abos für den erweiterten oder Premium-Cloud Customer Care verfügbar. Supportfälle für IL5-Arbeitslasten werden an US-Personen in den USA weitergeleitet. Weitere Informationen finden Sie unter Support erhalten.
  • Preise: Das Kontrollpaket „Datengrenze für IL5“ ist in der Premium-Stufe von Assured Workloads enthalten, für die eine zusätzliche Gebühr von 20 % anfällt. Weitere Informationen finden Sie unter Assured Workloads – Preise.

Vorbereitung

Damit Sie als Nutzer des Kontrollpakets „Datengrenze für IL5“ die Compliance-Anforderungen erfüllen, müssen Sie die folgenden Voraussetzungen erfüllen und einhalten:

  • Erstellen Sie mit Assured Workloads eine Datengrenze für den IL5-Ordner und stellen Sie Ihre IL5-Arbeitslasten nur in diesem Ordner bereit.
  • Aktivieren und verwenden Sie nur Dienste im Geltungsbereich für die Datengrenze für IL5-Arbeitslasten.
  • Verwenden Sie keine Google Cloud-MCP-Server, sofern nicht anders angegeben. Die Datengrenze für IL5 bietet keine Steuerelemente für den Datenstandort für Daten in Verwendung und Daten bei der Übertragung mit Google Cloud-MCP-Servern. Informationen zum Blockieren des unerwünschten Zugriffs auf Google Cloud-MCP-Server finden Sie auf der Seite Nutzung von Google Cloud-MCP-Servern mit IAM steuern.
  • Ändern Sie die Standardwerte für die Einschränkungen der Organisationsrichtlinie nur, wenn Sie die Risiken für den Datenstandort verstehen und bereit sind, sie zu akzeptieren.
  • Speichern Sie für alle Dienste, die in einem Ordner „Datengrenze für IL5“ verwendet werden, keine technischen Daten in den folgenden benutzerdefinierten oder sicherheitsbezogenen Konfigurationsinformationstypen:
    • Fehlermeldungen
    • Console-Ausgabe
    • Attributdaten
    • Dienstkonfigurationsdaten
    • Netzwerkpaket-Header
    • Ressourcenkennzeichnungen
    • Datenlabels
  • Wir empfehlen, die allgemeinen Best Practices für die Sicherheit im Google Cloud -Center für Sicherheits-Best-Practices zu beachten.
  • Weitere Informationen zur Bereitstellung von IL5-Arbeitslasten inGoogle Cloudfinden Sie auf der Seite Vorläufige Zulassung des US-Verteidigungsministeriums (Department of Defense, DoD).
  • Wenn Sie auf die Google Cloud Console zugreifen, können Sie die Google Cloud -Console für die Gerichtsbarkeit verwenden. Sie müssen die Google Cloud Console für die Rechtsprechung nicht für die Datengrenze für IL5 verwenden. Sie kann über eine der folgenden URLs aufgerufen werden:

Unterstützte Produkte und API-Endpunkte

Sofern nicht anders angegeben, können Nutzer über die Google Cloud Console auf alle unterstützten Produkte zugreifen. In der folgenden Tabelle sind Einschränkungen oder Beschränkungen aufgeführt, die sich auf die Funktionen eines unterstützten Produkts auswirken, einschließlich derer, die durch Einschränkungseinstellungen für Organisationsrichtlinien erzwungen werden.

Wenn ein Produkt nicht aufgeführt ist, wird es nicht unterstützt und erfüllt die Kontrollanforderungen für die Datengrenze für IL5 nicht. Nicht unterstützte Produkte sollten nicht ohne Due-Diligence-Prüfung und ein gründliches Verständnis Ihrer Verantwortlichkeiten im Modell der geteilten Verantwortung verwendet werden. Bevor Sie ein nicht unterstütztes Produkt verwenden, sollten Sie sich der damit verbundenen Risiken bewusst sein und diese akzeptieren, z. B. negative Auswirkungen auf den Datenstandort oder die Datenhoheit. Prüfen Sie außerdem die Nutzung nicht unterstützter Produkte mit Ihrer Autorisierungsstelle, bevor Sie das Risiko akzeptieren.

Unterstütztes Produkt API-Endpunkte Einschränkungen oder Limits
Access Context Manager accesscontextmanager.googleapis.com
 Keine
AlloyDB for PostgreSQL alloydb.googleapis.com
 Keine
Artifact Registry artifactregistry.googleapis.com
 Keine
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerymigration.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 Betroffene Funktionen und Einschränkungen für Organisationsrichtlinien
Certificate Authority Service privateca.googleapis.com
 Keine
Cloud Build cloudbuild.googleapis.com
 Keine
Cloud DNS dns.googleapis.com
 Keine
Cloud Data Fusion datafusion.googleapis.com
 Keine
Cloud External Key Manager (Cloud EKM) cloudkms.googleapis.com
 Keine
Cloud HSM cloudkms.googleapis.com
 Keine
Cloud Identity cloudidentity.googleapis.com
 Keine
Cloud Interconnect compute.googleapis.com
 Keine
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Cloud Logging logging.googleapis.com
 Betroffene Funktionen
Cloud Monitoring monitoring.googleapis.com
 Keine
Cloud NAT compute.googleapis.com
 Keine
Cloud Router compute.googleapis.com
 Keine
Cloud Run run.googleapis.com
 Betroffene Funktionen
Cloud SQL sqladmin.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
trafficdirector.googleapis.com
 Keine
Cloud Storage storage.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Cloud Tasks cloudtasks.googleapis.com
 Keine
Cloud VPN compute.googleapis.com
 Betroffene Funktionen
Cloud Vision API us-vision.googleapis.com
 Betroffene Funktionen
Cloud Workstations workstations.googleapis.com
 Betroffene Funktionen
Compute Engine compute.googleapis.com
 Betroffene Funktionen und Einschränkungen für Organisationsrichtlinien
Google Kubernetes Engine (GKE) Connect-Agent gkeconnect.googleapis.com
 Keine
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 Keine
Eventarc eventarc.googleapis.com
 Keine
Externer Passthrough-Network Load Balancer compute.googleapis.com
 Keine
Filestore file.googleapis.com
 Keine
Google Kubernetes Engine (GKE) Hub gkehub.googleapis.com
 Keine
Google Kubernetes Engine (GKE) Identity Service anthosidentityservice.googleapis.com
 Keine
Generative KI in Vertex AI aiplatform.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Google Cloud Armor compute.googleapis.com
 Betroffene Funktionen
Google Kubernetes Engine (GKE) container.googleapis.com
containersecurity.googleapis.com
 Keine
Google Security Operations SIEM chronicle.googleapis.com
chronicleservicemanager.googleapis.com
 Keine
Google Security Operations SOAR Not applicable
 Keine
Google Admin-Konsole Not applicable
 Keine
Identity and Access Management (IAM) iam.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Identity-Aware Proxy (IAP) iap.googleapis.com
 Betroffene Funktionen
Interner Passthrough-Network Load Balancer compute.googleapis.com
 Keine
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 Betroffene Funktionen
Managed Service for Apache Airflow composer.googleapis.com
 Keine
Managed Service for Apache Spark dataproc.googleapis.com
dataproc-control.googleapis.com
 Keine
Memorystore for Redis redis.googleapis.com
 Keine
Network Connectivity Center networkconnectivity.googleapis.com
 Keine
Persistent Disk compute.googleapis.com
 Keine
Pub/Sub pubsub.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Regionaler externer Application Load Balancer compute.googleapis.com
 Keine
Regionaler externer Proxy-Network Load Balancer compute.googleapis.com
 Keine
Regionaler interner Application Load Balancer compute.googleapis.com
 Keine
Regionaler interner Proxy-Network Load Balancer compute.googleapis.com
 Keine
Secret Manager secretmanager.googleapis.com
 Keine
Sensitive Data Protection dlp.googleapis.com
 Keine
Spanner spanner.googleapis.com
 Betroffene Funktionen und Einschränkungen für Organisationsrichtlinien
Speech-to-Text speech.googleapis.com
 Betroffene Funktionen
VPC Service Controls accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 Keine
Vertex AI-Batchvorhersage aiplatform.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Vertex AI Model Monitoring aiplatform.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Vertex AI Model Registry aiplatform.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Vertex AI-Onlinevorhersage aiplatform.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Vertex AI Pipelines aiplatform.googleapis.com
 Keine
Vertex AI Training aiplatform.googleapis.com
 Einschränkungen für Organisationsrichtlinien
Virtual Private Cloud (VPC) compute.googleapis.com
 Keine

Limits und Einschränkungen

In den folgenden Abschnitten werden Google Cloud-weite oder produktspezifische Einschränkungen oder Limits für Funktionen beschrieben, einschließlich aller Einschränkungen von Organisationsrichtlinien, die standardmäßig für Ordner mit Datengrenzen für IL5 festgelegt sind. Andere anwendbare Einschränkungen für Organisationsrichtlinien, auch wenn sie nicht standardmäßig festgelegt sind, können eine zusätzliche gestaffelte Sicherheitsebene bieten, um die Google Cloud -Ressourcen Ihrer Organisation weiter zu schützen.

Google Cloud-weit

Betroffene Google Cloud-weite Funktionen

Funktion Beschreibung
Google Cloud Console Wenn Sie das Steuerungspaket „Datengrenze für IL5“ verwenden, können Sie die Google Cloud -Console verwenden, um auf die Google Cloud Console zuzugreifen. Die Jurisdictional Google Cloud -Console ist für die Datengrenze für IL5 nicht erforderlich und kann über eine der folgenden URLs aufgerufen werden:

Google Cloud-weite Einschränkungen für Organisationsrichtlinien

Die folgenden Einschränkungen für Organisationsrichtlinien gelten für Google Cloud.

Einschränkung der Organisationsrichtlinie Beschreibung
gcp.resourceLocations Legen Sie die folgenden Standorte in der Liste allowedValues fest:
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
Dieser Wert beschränkt das Erstellen neuer Ressourcen auf die ausgewählten Werte. Wenn diese Option festgelegt ist, können keine Ressourcen in anderen Regionen, in Multiregionen oder an Standorten außerhalb der Auswahl erstellt werden. Eine Liste der Ressourcen, die durch die Einschränkung der Organisationsrichtlinie für Ressourcenstandorte eingeschränkt werden können, finden Sie unter Unterstützte Dienste für Ressourcenstandorte. Einige Ressourcen sind möglicherweise nicht im Umfang enthalten und können nicht eingeschränkt werden.

Wenn Sie diesen Wert ändern, indem Sie ihn weniger einschränken, untergraben Sie möglicherweise den Datenstandort, indem Sie das Erstellen oder Speichern von Daten außerhalb einer konformen Datengrenze zulassen.
gcp.restrictCmekCryptoKeyProjects Legen Sie under:organizations/your-organization-name fest, d. h. Ihre Assured Workloads-Organisation. Sie können diesen Wert weiter einschränken, indem Sie ein Projekt oder einen Ordner angeben.

Beschränkt den Bereich genehmigter Ordner oder Projekte, die Cloud KMS-Schlüssel für die Verschlüsselung von Daten im Ruhezustand mithilfe von CMEK bereitstellen können. Diese Einschränkung verhindert, dass nicht genehmigte Ordner oder Projekte Verschlüsselungsschlüssel bereitstellen. Dadurch wird die Datenhoheit für inaktive Daten innerhalb des Geltungsbereichs gewährleistet.
gcp.restrictNonCmekServices Legen Sie eine Liste aller API-Dienstnamen innerhalb des Geltungsbereichs fest, einschließlich:
  • aiplatform.googleapis.com
  • alloydb.googleapis.com
  • apigee.googleapis.com
  • artifactregistry.googleapis.com
  • backupdr.googleapis.com
  • bigquery.googleapis.com
  • bigquerydatatransfer.googleapis.com
  • bigtable.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudtasks.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • contactcenterinsights.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • dataform.googleapis.com
  • datafusion.googleapis.com
  • dataplex.googleapis.com
  • dataproc.googleapis.com
  • dialogflow.googleapis.com
  • discoveryengine.googleapis.com
  • documentai.googleapis.com
  • eventarc.googleapis.com
  • file.googleapis.com
  • firestore.googleapis.com
  • gkebackup.googleapis.com
  • integrations.googleapis.com
  • logging.googleapis.com
  • looker.googleapis.com
  • lustre.googleapis.com
  • memorystore.googleapis.com
  • netapp.googleapis.com
  • notebooks.googleapis.com
  • observability.googleapis.com
  • pubsub.googleapis.com
  • redis.googleapis.com
  • run.googleapis.com
  • secretmanager.googleapis.com
  • securesourcemanager.googleapis.com
  • securitycenter.googleapis.com
  • spanner.googleapis.com
  • speech.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
  • storagetransfer.googleapis.com
  • tpu.googleapis.com
  • workstations.googleapis.com
Einige Funktionen können für jeden der oben aufgeführten Dienste betroffen sein.

Für jeden aufgeführten Dienst sind kundenverwaltete Verschlüsselungsschlüssel (CMEK) erforderlich. Mit CMEK werden ruhende Daten mit einem von Ihnen verwalteten Schlüssel verschlüsselt, nicht mit den Standardverschlüsselungsmechanismen von Google.

Wenn Sie diesen Wert ändern, indem Sie einen oder mehrere Dienste innerhalb des Geltungsbereichs aus der Liste entfernen, kann dies die Datenhoheit untergraben, da neue Daten im Ruhezustand automatisch mit den eigenen Schlüsseln von Google anstelle Ihrer Schlüssel verschlüsselt werden. Vorhandene inaktive Daten werden mit dem von Ihnen angegebenen Schlüssel verschlüsselt.
gcp.restrictServiceUsage Legen Sie fest, dass alle unterstützten Produkte und API-Endpunkte zugelassen werden.

Bestimmt, welche Dienste verwendet werden können, indem der Laufzeitzugriff auf ihre Ressourcen eingeschränkt wird. Weitere Informationen finden Sie unter Ressourcennutzung einschränken.
gcp.restrictTLSVersion Legen Sie fest, dass die folgenden TLS-Versionen abgelehnt werden:
  • TLS_1_0
  • TLS_1_1
Weitere Informationen finden Sie unter TLS-Versionen einschränken.

BigQuery

Betroffene BigQuery-Funktionen

Funktion Beschreibung
BigQuery für einen neuen Ordner aktivieren BigQuery wird unterstützt, aber aufgrund eines internen Konfigurationsprozesses nicht automatisch aktiviert, wenn Sie einen neuen Assured Workloads-Ordner erstellen. Dieser Vorgang dauert normalerweise zehn Minuten, kann aber unter Umständen auch viel länger dauern. So prüfen Sie, ob der Vorgang abgeschlossen ist, und aktivieren BigQuery:
  1. Rufen Sie in der Google Cloud Console die Seite Assured Workloads auf.

    Zu Assured Workloads

  2. Wählen Sie den neuen Assured Workloads-Ordner aus der Liste aus.
  3. Klicken Sie auf der Seite Ordnerdetails im Abschnitt Zulässige Dienste auf Verfügbare Updates prüfen.
  4. Prüfen Sie im Bereich Zulässige Dienste die Dienste, die der Organisationsrichtlinie Einschränkung der Ressourcennutzung für den Ordner hinzugefügt werden sollen. Wenn BigQuery-Dienste aufgeführt sind, klicken Sie auf Dienste zulassen, um sie hinzuzufügen.

    Wenn BigQuery-Dienste nicht aufgeführt sind, warten Sie, bis der interne Prozess abgeschlossen ist. Wenn die Dienste nicht innerhalb von 12 Stunden nach der Ordnererstellung aufgeführt werden, wenden Sie sich an Cloud Customer Care.

Nach Abschluss des Aktivierungsprozesses können Sie BigQuery in Ihrem Assured Workloads-Ordner verwenden.

Gemini in BigQuery wird von Assured Workloads nicht unterstützt.
Konforme BigQuery APIs Die folgenden BigQuery APIs sind IL5-konform:
Regionen BigQuery ist für alle BigQuery-Regionen in den USA mit Ausnahme der multiregionalen USA-Region IL5-konform. Die IL5-Compliance kann nicht garantiert werden, wenn ein Dataset in einer US-Multiregion, einer Region außerhalb der USA oder einer Multiregion außerhalb der USA erstellt wird. Sie sind dafür verantwortlich, beim Erstellen von BigQuery-Datasets eine IL5-konforme Region anzugeben.
Abfragen von IL5-Datasets aus Nicht-IL5-Projekten BigQuery verhindert nicht, dass IL5-Datasets von Nicht-IL5-Projekten abgefragt werden. Achten Sie darauf, dass alle Abfragen, die einen Lese- oder Join-Vorgang für technische IL5-Daten verwenden, in einem IL5-konformen Ordner gespeichert sind.
Verbindungen zu externen Datenquellen herstellen Die Compliance-Verantwortung von Google beschränkt sich auf die BigQuery Connection API-Funktion. Sie sind dafür verantwortlich, dass die Quellprodukte, die mit der BigQuery Connection API verwendet werden, den Compliance-Anforderungen entsprechen.
Nicht unterstützte Funktionen Die folgenden BigQuery-Features werden nicht unterstützt und sollten nicht in der BigQuery-Befehlszeile verwendet werden. Sie sind dafür verantwortlich, sie nicht in BigQuery für Assured Workloads zu verwenden.
BigQuery-Befehlszeile Die BigQuery-Befehlszeile wird unterstützt.

Google Cloud SDK Sie müssen mindestens die Google Cloud SDK-Version 403.0.0 verwenden, um die Regionalisierung von technischen Daten zu gewährleisten. Führen Sie gcloud --version aus, um die aktuelle Version des Google Cloud SDK zu prüfen, und dann gcloud components update, um auf die neueste Version zu aktualisieren.
Steuerelemente für Administratoren BigQuery deaktiviert nicht unterstützte APIs. Administratoren mit ausreichenden Berechtigungen zum Erstellen von Assured Workloads-Ordnern können jedoch eine nicht unterstützte API aktivieren. In diesem Fall werden Sie über das Assured Workloads-Monitoring-Dashboard über potenzielle Compliance-Verstöße benachrichtigt.
Daten laden BigQuery Data Transfer Service-Connectors für Google Software as a Service (SaaS)-Anwendungen, externe Cloud-Speicheranbieter und Data Warehouses werden nicht unterstützt. Sie sind dafür verantwortlich, BigQuery Data Transfer Service-Connectors für die Datengrenze für IL5-Arbeitslasten nicht zu verwenden.
Drittanbieter-Übertragungen BigQuery prüft nicht, ob Drittanbieterübertragungen für den BigQuery Data Transfer Service unterstützt werden. Sie sind dafür verantwortlich, die Unterstützung zu prüfen, wenn Sie eine Drittanbieterübertragung für den BigQuery Data Transfer Service verwenden.
Nicht konforme BQML-Modelle Extern trainierte BQML-Modelle werden nicht unterstützt.
Abfragejobs Abfragejobs sollten nur in Assured Workloads-Ordnern erstellt werden.
Abfragen von Datasets in anderen Projekten BigQuery verhindert nicht, dass Assured Workloads-Datasets von Nicht-Assured Workloads-Projekten abgefragt werden. Sie sollten dafür sorgen, dass alle Abfragen, die einen Lesevorgang oder einen Join für Assured Workloads-Daten enthalten, in Assured Workloads-Ordnern platziert werden. Sie können in der BigQuery-Befehlszeile mit projectname.dataset.table einen vollständig qualifizierten Tabellennamen für das Abfrageergebnis angeben.
Cloud Logging BigQuery verwendet Cloud Logging für einige Ihrer Logdaten. Sie sollten Ihre _default-Logging-Buckets deaktivieren oder _default-Buckets auf die relevanten Regionen beschränken, um die Compliance aufrechtzuerhalten. Verwenden Sie dazu den folgenden Befehl:

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

Weitere Informationen finden Sie unter Logs regionalisieren.

Cloud Interconnect

Betroffene Cloud Interconnect-Funktionen

Funktion Beschreibung
Hochverfügbarkeits-VPN Sie müssen die Hochverfügbarkeits-VPN-Funktion aktivieren, wenn Sie Cloud Interconnect mit Cloud VPN verwenden. Außerdem müssen Sie die Verschlüsselungs- und Regionalisierungsanforderungen einhalten, die im Abschnitt Betroffene Cloud VPN-Funktionen aufgeführt sind.

Cloud KMS

Einschränkungen für Cloud KMS-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
cloudkms.allowedProtectionLevels Legen Sie fest, dass Cloud Key Management Service-CryptoKeys mit den folgenden Schutzstufen erstellt werden können:
  • SOFTWARE
  • HSM
  • EXTERNAL
  • EXTERNAL_VPC
Weitere Informationen finden Sie unter Schutzstufen.

Cloud Logging

Betroffene Cloud Logging-Funktionen

Funktion Beschreibung
Logsenken Filter dürfen keine Kundendaten enthalten.

Logsenken enthalten Filter, die als Konfiguration gespeichert sind. Erstellen Sie keine Filter, die Kundendaten enthalten.
Live-Verfolgung von Logeinträgen Filter dürfen keine Kundendaten enthalten.

Eine Live-Verfolgungs-Sitzung enthält einen Filter, der als Konfiguration gespeichert wird. In Tailing-Logs werden keine Logeintragsdaten gespeichert, sie können jedoch Daten zwischen Regionen abfragen und übertragen. Erstellen Sie keine Filter, die Kundendaten enthalten.
SQL-basierte Benachrichtigungsrichtlinien Die Funktion ist deaktiviert.

Sie können das Feature für SQL-basierte Benachrichtigungsrichtlinien nicht verwenden.

Cloud Monitoring

Betroffene Cloud Monitoring-Funktionen

Funktion Beschreibung
Synthetischer Monitor Die Funktion ist deaktiviert.
Verfügbarkeitsdiagnosen Die Funktion ist deaktiviert.

Cloud Run

Betroffene Cloud Run-Funktionen

Funktion Beschreibung
Nicht unterstützte Funktionen Die folgenden Cloud Run-Features werden nicht unterstützt:

Cloud SQL

Einschränkungen für Cloud SQL-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
sql.restrictNoncompliantDiagnosticDataAccess Auf True festlegen.

Wendet zusätzliche Kontrollen für Datenhoheit und Support auf Cloud SQL-Ressourcen an.

Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
sql.restrictNoncompliantResourceCreation Auf True festlegen.

Wendet zusätzliche Kontrollen für die Datenhoheit an, um die Erstellung nicht konformer Cloud SQL-Ressourcen zu verhindern.

Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.

Cloud Storage

Einschränkungen für Cloud Storage-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
storage.publicAccessPrevention Auf True festlegen.

Der öffentliche Zugriff ist für alle Buckets und Objekte (neue und vorhandene) im Assured Workloads-Ordner eingeschränkt.

Cloud Vision API

Betroffene Cloud Vision API-Funktionen

Funktion Beschreibung
IL5-konforme Cloud Vision API-Endpunkte Sie sind dafür verantwortlich, nur den API-Endpunkt der US-Region (us-vision.googleapis.com) für die Cloud Vision API zu verwenden. Der globale Endpunkt (vision.googleapis.com) ist nicht IL5-konform und seine Verwendung kann den Datenstandort Ihrer Arbeitslast beeinträchtigen.

Cloud VPN

Betroffene Cloud VPN-Funktionen

Funktion Beschreibung
VPN-Endpunkte Sie dürfen nur Cloud VPN-Endpunkte verwenden, die sich in einer zulässigen Region befinden. Achten Sie darauf, dass Ihr VPN-Gateway nur für die Verwendung in einer Region im Geltungsbereich konfiguriert ist.

Cloud Workstations

Betroffene Cloud Workstations-Funktionen

Funktion Beschreibung
Workstation-Cluster erstellen

Wenn Sie einen Workstation-Cluster erstellen, müssen Sie ihn so konfigurieren, dass der Datenstandort gewährleistet ist:

Compute Engine

Betroffene Compute Engine-Funktionen

Funktion Beschreibung
VM-Instanz anhalten bzw. fortsetzen Die Funktion ist deaktiviert.

Das Anhalten und Fortsetzen einer VM-Instanz erfordert nichtflüchtigen Speicher. Der nichtflüchtige Speicher, der zum Speichern des Status der angehaltenen VM verwendet wird, kann derzeit nicht mit CMEK verschlüsselt werden. Informationen zu den Auswirkungen der Aktivierung dieser Funktion auf die Datenhoheit und den Datenstandort finden Sie im Abschnitt oben unter der Organisationsrichtlinieneinschränkung gcp.restrictNonCmekServices.
Lokale SSDs Die Funktion ist deaktiviert.

Sie können keine Instanz mit lokalen SSDs erstellen, da sie nicht mit CMEK verschlüsselt werden kann. Informationen zu den Auswirkungen der Aktivierung dieser Funktion auf die Datenhoheit und den Datenstandort finden Sie im Abschnitt oben unter der Organisationsrichtlinieneinschränkung gcp.restrictNonCmekServices.
Instanzgruppe einem globalen Load Balancer hinzufügen Sie können einem globalen Load Balancer keine Instanzgruppe hinzufügen.

Diese Funktion ist durch die Einschränkung der Organisationsrichtlinie compute.disableGlobalLoadBalancing deaktiviert.
Gastumgebung Skripts, Daemons und Binärdateien, die in der Gastumgebung enthalten sind, können auf unverschlüsselte Daten sowie inaktive Daten zugreifen. Abhängig von Ihrer VM-Konfiguration können Aktualisierungen dieser Software standardmäßig installiert werden. Ausführliche Informationen zum Inhalt, zum Quellcode und zu den einzelnen Paketen finden Sie unter Gastumgebung.

Diese Komponenten tragen dazu bei, dass Sie die Datenhoheit durch interne Sicherheitskontrollen und -prozesse erfüllen. Wenn Sie jedoch zusätzliche Kontrolle wünschen, können Sie auch eigene Images oder Agents auswählen und optional die Organisationsrichtlinieneinschränkung compute.trustedImageProjects verwenden.

Weitere Informationen finden Sie unter Benutzerdefiniertes Image erstellen.
Betriebssystemrichtlinien in VM Manager Inline-Skripts und binäre Ausgabedateien in den Betriebssystemrichtliniendateien werden nicht mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt. Geben Sie in diesen Dateien keine vertraulichen Informationen an. Sie können diese Skripts und Ausgabedateien in Cloud Storage-Buckets speichern. Weitere Informationen finden Sie unter Beispiele für Betriebssystemrichtlinien.

Wenn Sie das Erstellen oder Ändern von Betriebssystemrichtlinien-Ressourcen einschränken möchten, die Inline-Scripts oder Binärausgabedateien verwenden, aktivieren Sie die Organisationsrichtlinien-Einschränkung constraints/osconfig.restrictInlineScriptAndOutputFileUsage.

Weitere Informationen finden Sie unter Einschränkungen für OS Config.
instances.getSerialPortOutput() Diese API ist deaktiviert. Mit der API können Sie keine Ausgabe vom seriellen Port der angegebenen Instanz abrufen.

Ändern Sie den Wert der Einschränkung für die Organisationsrichtlinie compute.disableInstanceDataAccessApis in False, um diese API zu aktivieren. Sie können den interaktiven seriellen Port auch aktivieren und verwenden. Folgen Sie dazu der Anleitung unter Zugriff für ein Projekt aktivieren.
instances.getScreenshot() Diese API ist deaktiviert. Mit dieser API können Sie keinen Screenshot von der angegebenen Instanz erhalten.

Ändern Sie den Wert der Einschränkung für die Organisationsrichtlinie compute.disableInstanceDataAccessApis in False, um diese API zu aktivieren. Sie können den interaktiven seriellen Port auch aktivieren und verwenden. Folgen Sie dazu der Anleitung unter Zugriff für ein Projekt aktivieren.

Einschränkungen für Compute Engine-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
compute.disableGlobalCloudArmorPolicy Auf True festlegen.

Deaktiviert das Erstellen neuer globaler Google Cloud Armor-Sicherheitsrichtlinien sowie das Hinzufügen oder Ändern von Regeln für vorhandene globale Google Cloud Armor-Sicherheitsrichtlinien. Das Entfernen von Regeln oder das Entfernen oder Ändern der Beschreibung und Auflistung globaler Google Cloud Armor-Sicherheitsrichtlinien wird durch diese Beschränkung nicht eingeschränkt. Regionale Google Cloud Armor-Sicherheitsrichtlinien sind von dieser Beschränkung nicht betroffen. Alle globalen und regionalen Sicherheitsrichtlinien, die vor der Erzwingung dieser Beschränkung vorhanden waren, bleiben in Kraft.
compute.disableGlobalLoadBalancing Auf True festlegen.

Deaktiviert das Erstellen von globalen Load-Balancing-Produkten.

Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
compute.disableInstanceDataAccessApis Auf True festlegen.

Deaktiviert global die APIs instances.getSerialPortOutput() und instances.getScreenshot().

Wenn Sie diese Einschränkung aktivieren, können Sie keine Anmeldedaten auf Windows Server-VMs generieren.

Wenn Sie einen Nutzernamen und ein Passwort auf einer Windows-VM verwalten müssen, gehen Sie so vor:
  1. SSH für Windows-VMs aktivieren
  2. Führen Sie den folgenden Befehl aus, um das Passwort der VM zu ändern: 
      gcloud compute ssh
  VM_NAME --command "net user USERNAME PASSWORD"
    Ersetzen Sie Folgendes:
    • VM_NAME: Der Name der VM, für die Sie das Passwort festlegen.
    • USERNAME: Der Nutzername des Nutzers, für den Sie das Passwort festlegen.
    • PASSWORD: Das neue Passwort.
compute.setNewProjectDefaultToZonalDNSOnly Auf True festlegen.

Legt die DNS-Einstellung für neue Projekte auf Nur zonales DNS fest. Zonales DNS verringert das Risiko regionsübergreifender Ausfälle und verbessert die allgemeine Zuverlässigkeit Ihrer Projekte in Compute Engine.
compute.skipDefaultNetworkCreation Auf True festlegen.

Deaktiviert die Erstellung eines Standardnetzwerks und der zugehörigen unterstützenden Ressourcen, wenn ein neues Projekt erstellt wird.
compute.restrictNonConfidentialComputing

 (Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um eine zusätzliche Verteidigung in der Tiefe zu ermöglichen. Weitere Informationen finden Sie in der Confidential VM-Dokumentation.
compute.trustedImageProjects

 (Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um eine zusätzliche Verteidigung in der Tiefe zu ermöglichen.

Durch Festlegen dieses Werts wird die Image-Speicherung und Instanziierung von Laufwerken auf die angegebene Liste von Projekten beschränkt. Dieser Wert wirkt sich auf die Datenhoheit aus, da nicht autorisierte Images oder Agents nicht verwendet werden.

Google Cloud Armor

Betroffene Google Cloud Armor-Funktionen

Funktion Beschreibung
Globale Sicherheitsrichtlinien Diese Funktion ist durch die Einschränkung der Organisationsrichtlinie compute.disableGlobalCloudArmorPolicy deaktiviert.

IAM

Einschränkungen für IAM-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
iam.automaticIamGrantsForDefaultServiceAccounts Auf True festlegen.

Deaktiviert die automatische Zuweisung der einfachen Legacy-Rolle „Bearbeiter“ (roles/editor) für Standarddienstkonten.

Diese Einschränkung verhindert nicht, dass Standarddienstkonten in Zukunft grundlegende Legacy-Rollen zugewiesen werden. Wenn Sie dieses Verhalten verhindern möchten, können Sie die Einschränkung iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts für Ihren Assured Workloads-Ordner festlegen.
iam.disableServiceAccountKeyCreation Auf True festlegen.

Deaktiviert das Erstellen neuer Dienstkontoschlüssel und Cloud Storage-HMAC-Schlüssel.

Wenn für Ihre Arbeitslast Dienstkontoschlüssel erforderlich sind, lesen Sie die Seite Best Practices für die Verwaltung von Dienstkontoschlüsseln, bevor Sie den Wert dieser Einschränkung ändern.

Identity-Aware Proxy

Betroffene Identity-Aware Proxy-Funktionen

Funktion Beschreibung
IAP für die TCP-Weiterleitung verwenden Sie sind dafür verantwortlich, IAP nicht für die TCP-Weiterleitung zu verwenden, da dies nicht mit der Datengrenze für IL5 konform ist.

Knowledge Catalog

Knowledge Catalog-Funktionen

Funktion Beschreibung
Attribute Store Diese Funktion wurde eingestellt und deaktiviert.
Data Catalog Diese Funktion wurde eingestellt und deaktiviert. Sie können Ihre Metadaten in Data Catalog weder durchsuchen noch verwalten.
Lakes und Zonen Die Funktion ist deaktiviert. Sie können keine Lakes, Zonen und Aufgaben verwalten.

Pub/Sub

Einschränkungen für Pub/Sub-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
pubsub.managed.disableSubscriptionMessageTransforms Auf True festlegen.

Verhindert, dass Pub/Sub-Abos mit Single Message Transforms (SMTs) festgelegt werden.

Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.
pubsub.managed.disableTopicMessageTransforms Auf True festlegen.

Verhindert, dass Pub/Sub-Themen mit Single Message Transforms (SMTs) festgelegt werden.

Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit Ihrer Arbeitslast auswirken.

Spanner

Betroffene Spanner-Funktionen

Funktion Beschreibung
Split-Grenzen Spanner verwendet eine kleine Teilmenge von Primärschlüsseln und indexierten Spalten, um Split-Grenzen zu definieren, die Kundendaten und Metadaten enthalten können. Eine Split-Grenze in Spanner gibt die Stelle an, an der zusammenhängende Zeilenbereiche in kleinere Teile aufgeteilt werden.

Diese Split-Grenzen sind für Google-Mitarbeiter für technischen Support und Debugging zugänglich und unterliegen nicht den Steuerelementen für den Administratorzugriff in Assured Workloads.

Einschränkungen für Spanner-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
spanner.disableMultiRegionInstanceIfNoLocationSelected Auf True festlegen.

Deaktiviert die Möglichkeit, multiregionale Spanner-Instanzen zu erstellen, um Datenstandort und Datenhoheit zu erzwingen.

Speech-to-Text

Betroffene Speech-to-Text-Funktionen

Funktion Beschreibung
Benutzerdefinierte Speech-to-Text-Modelle Sie sind dafür verantwortlich, keine benutzerdefinierten Speech-to-Text-Modelle zu verwenden, da diese nicht mit der Datengrenze für IL5 konform sind.

Vertex AI

Einschränkungen für Vertex AI-Organisationsrichtlinien

Einschränkung der Organisationsrichtlinie Beschreibung
vertexai.allowOnlyIL5CompliantAPIs Auf True festlegen.

In Vertex AI-APIs dürfen nur IL5-konforme APIs verwendet werden. Standardmäßig sind alle APIs zulässig.

Nächste Schritte