Périmètre de données pour le niveau d'impact 5 (IL5)
Cette page décrit l'ensemble des contrôles appliqués à la limite de données pour les charges de travail IL5 dans Assured Workloads. Il fournit des informations détaillées sur la résidence des données, les produits Google Cloud compatibles et leurs points de terminaison d'API, ainsi que sur les restrictions ou limites applicables à ces produits. Les informations supplémentaires suivantes s'appliquent au périmètre de données pour le niveau d'impact 5 (IL5) :
- Résidence des données : le package de contrôle de la limite des données pour IL5 définit les contrôles d'emplacement des données pour n'accepter que les régions des États-Unis. Pour en savoir plus, consultez la section Contraintes liées aux règles d'administration à l'échelle deGoogle Cloud.
- Assistance : les services d'assistance technique pour le périmètre de données pour les charges de travail IL5 sont disponibles avec les abonnements Cloud Customer Care Enhanced ou Premium. Les demandes d'assistance pour les charges de travail de la limite de données pour IL5 sont acheminées vers des personnes des États-Unis situées aux États-Unis. Pour en savoir plus, consultez la page Assistance.
- Tarification : le package de contrôle "Limite de données pour IL5" est inclus dans le niveau Premium d'Assured Workloads, qui entraîne des frais supplémentaires de 20 %. Pour en savoir plus, consultez Tarifs d'Assured Workloads.
Prérequis
Pour rester conforme en tant qu'utilisateur du package de contrôle de la limite des données pour IL5, vérifiez que vous remplissez et respectez les conditions préalables suivantes :
- Créez un dossier de périmètre de données pour IL5 à l'aide d'Assured Workloads et déployez vos charges de travail IL5 uniquement dans ce dossier.
- N'activez et n'utilisez que les services concernés pour le périmètre de données des charges de travail IL5.
- N'utilisez pas les serveurs MCP Google Cloud, sauf indication contraire. La limite de données pour IL5 ne fournit pas de contrôles de résidence des données pour les données en cours d'utilisation et les données en transit avec les serveurs MCP Google Cloud. Pour bloquer l'accès indésirable aux serveurs MCP Google Cloud, consultez la page Contrôler l'utilisation des serveurs MCP Google Cloud avec IAM.
- Ne modifiez pas les valeurs par défaut des contraintes de règles d'administration, sauf si vous comprenez et acceptez les risques liés à la résidence des données qui pourraient survenir.
- Pour tous les services utilisés dans un dossier de périmètre de données pour IL5, ne stockez pas de données techniques dans les types d'informations de configuration de sécurité ou définis par l'utilisateur suivants :
- Messages d'erreur
- Sortie vers la console
- Données d'attribut
- Données de configuration du service
- En-têtes de paquets réseau
- Identifiants de ressource
- Libellés de données
- Envisagez d'adopter les bonnes pratiques de sécurité générales fournies dans le centre des bonnes pratiques de sécuritéGoogle Cloud .
- Consultez la page Autorisation provisoire du Département de la Défense des États-Unis pour en savoir plus sur le déploiement de charges de travail IL5 dansGoogle Cloud.
- Lorsque vous accédez à la console Google Cloud , vous pouvez utiliser la console Google Cloud juridictionnelle.
Vous n'êtes pas obligé d'utiliser la console Google Cloud juridictionnelle pour la limite de données pour IL5. Vous pouvez y accéder via l'une des URL suivantes :
- console.us.cloud.google.com
- console.us.cloud.google pour les utilisateurs d'identités fédérées
Produits et points de terminaison d'API compatibles
Sauf indication contraire, les utilisateurs peuvent accéder à tous les produits compatibles via la console Google Cloud . Les restrictions ou limitations qui affectent les fonctionnalités d'un produit compatible, y compris celles qui sont appliquées via les paramètres de contrainte des règles d'administration, sont listées dans le tableau suivant.
Si un produit n'est pas listé, il n'est pas compatible et ne répond pas aux exigences de contrôle de la limite des données pour IL5. L'utilisation de produits non compatibles n'est pas recommandée sans une diligence raisonnable et une compréhension approfondie de vos responsabilités dans le modèle de responsabilité partagée. Avant d'utiliser un produit non compatible, assurez-vous de connaître et d'accepter les risques associés, tels que les impacts négatifs sur la résidence ou la souveraineté des données. En outre, examinez toute utilisation d'un produit non compatible avec votre agence d'autorisation avant d'accepter le risque.
Restrictions et limitations
Les sections suivantes décrivent les restrictions ou limites spécifiques à Google Cloudou à un produit pour les fonctionnalités, y compris les contraintes de règles d'administration définies par défaut sur la limite de données pour les dossiers IL5. D'autres contraintes de règle d'administration applicables, même si elles ne sont pas définies par défaut, peuvent fournir une défense en profondeur supplémentaire pour protéger davantage les ressources Google Cloud de votre organisation.
Google Cloud-wide
Fonctionnalités concernées à l'échelle de Google Cloud
| Fonctionnalité | Description |
|---|---|
| ConsoleGoogle Cloud | Pour accéder à la console Google Cloud lorsque vous utilisez le package de contrôle de limite de données pour IL5, vous pouvez utiliser la console Google Cloud juridictionnelle.
La console juridictionnelle Google Cloud n'est pas requise pour la limite de données pour IL5 et est accessible à l'aide de l'une des URL suivantes :
|
Contraintes liées aux règles d'administration à l'échelle deGoogle Cloud
Les contraintes de règles d'administration suivantes s'appliquent à Google Cloud.
| Contrainte liée aux règles d'administration | Description |
|---|---|
gcp.resourceLocations |
Définissez les emplacements suivants dans la liste allowedValues :
Modifier cette valeur pour la rendre moins restrictive compromet la résidence des données en autorisant la création ou le stockage de données en dehors d'une limite de données conforme. |
gcp.restrictCmekCryptoKeyProjects |
Définissez cette valeur sur under:organizations/your-organization-name, qui correspond à votre organisation Assured Workloads. Vous pouvez restreindre davantage cette valeur en spécifiant un projet ou un dossier.Limite le champ d'application des dossiers ou projets approuvés pouvant fournir des clés Cloud KMS pour le chiffrement des données au repos à l'aide de CMEK. Cette contrainte empêche les dossiers ou projets non approuvés de fournir des clés de chiffrement, ce qui permet de garantir la souveraineté des données au repos des services concernés. |
gcp.restrictNonCmekServices |
Définissez la liste de tous les noms de service d'API couverts par le champ d'application, y compris :
Chaque service listé nécessite des clés de chiffrement gérées par le client (CMEK). Les CMEK chiffrent les données au repos avec une clé que vous gérez, et non avec les mécanismes de chiffrement par défaut de Google. La modification de cette valeur en supprimant un ou plusieurs services couverts dans la liste peut compromettre la souveraineté des données, car les nouvelles données au repos seront automatiquement chiffrées à l'aide des clés Google et non de la vôtre. Les données au repos existantes resteront chiffrées par la clé que vous avez fournie. |
gcp.restrictServiceUsage |
Définissez cette option pour autoriser tous les produits et points de terminaison de l'API compatibles. Détermine les services pouvant être utilisés en limitant l'accès d'exécution à leurs ressources. Pour en savoir plus, consultez la section Restreindre l'utilisation des ressources. |
gcp.restrictTLSVersion |
Définie pour refuser les versions TLS suivantes :
|
BigQuery
Fonctionnalités BigQuery concernées
| Fonctionnalité | Description |
|---|---|
| Activer BigQuery sur un nouveau dossier | BigQuery est compatible, mais il n'est pas automatiquement activé lorsque vous créez un dossier Assured Workloads en raison d'un processus de configuration interne. Ce processus se termine normalement en dix minutes, mais peut prendre beaucoup plus de temps dans certaines circonstances. Pour vérifier si le processus est terminé et activer BigQuery, procédez comme suit :
Une fois le processus d'activation terminé, vous pouvez utiliser BigQuery dans votre dossier Assured Workloads. Gemini dans BigQuery n'est pas compatible avec Assured Workloads. |
| API BigQuery conformes | Les API BigQuery suivantes sont conformes à la norme IL5 : |
| Régions | BigQuery est conforme à la norme IL5 pour toutes les régions BigQuery des États-Unis, à l'exception de l'emplacement multirégional des États-Unis. La conformité IL5 ne peut pas être garantie si un ensemble de données est créé dans un emplacement multirégional aux États-Unis, dans une région hors des États-Unis ou dans un emplacement multirégional hors des États-Unis. Il est de votre responsabilité de spécifier une région conforme à la norme IL5 lors de la création d'ensembles de données BigQuery. |
| Requêtes sur des ensembles de données IL5 à partir de projets non IL5 | BigQuery n'empêche pas l'interrogation des ensembles de données IL5 à partir de projets non IL5. Assurez-vous que toute requête utilisant une opération de lecture ou de jointure sur des données techniques IL5 se trouve dans un dossier conforme à la norme IL5. |
| Connexions à des sources de données externes | La responsabilité de Google en matière de conformité se limite à la fonctionnalité de l'API BigQuery Connection. Il est de votre responsabilité de vous assurer de la conformité des produits sources utilisés avec l'API BigQuery Connection. |
| Fonctionnalités non compatibles | Les fonctionnalités BigQuery suivantes ne sont pas compatibles et ne doivent pas être utilisées dans la CLI BigQuery. Il est de votre responsabilité de ne pas les utiliser dans BigQuery pour Assured Workloads.
|
| CLI BigQuery | La CLI BigQuery est compatible.
|
| SDK Google Cloud | Vous devez utiliser la version 403.0.0 ou ultérieure de Google Cloud SDK pour maintenir les garanties de régionalisation des données techniques. Pour vérifier la version actuelle de votre Google Cloud SDK, exécutez gcloud --version, puis gcloud components update pour passer à la version la plus récente.
|
| Commandes d'administration | BigQuery désactivera les API non compatibles, mais les administrateurs disposant des autorisations suffisantes pour créer des dossiers Assured Workloads pourront activer une API non compatible. Dans ce cas, vous serez informé d'un éventuel non-respect de la conformité via le tableau de bord de surveillance Assured Workloads. |
| Charger des données | Les connecteurs du service de transfert de données BigQuery pour les applications SaaS (Software as a Service) de Google, les fournisseurs de stockage cloud externes et les entrepôts de données ne sont pas compatibles. Il est de votre responsabilité de ne pas utiliser les connecteurs du service de transfert de données BigQuery pour les charges de travail Data Boundary for IL5. |
| Transferts tiers | BigQuery ne vérifie pas la compatibilité des transferts tiers pour le service de transfert de données BigQuery. Il est de votre responsabilité de vérifier la compatibilité lorsque vous utilisez un transfert tiers pour le service de transfert de données BigQuery. |
| Modèles BQML non conformes | Les modèles BQML entraînés en externe ne sont pas acceptés. |
| Tâches de requête | Les jobs de requête ne doivent être créés que dans des dossiers Assured Workloads. |
| Requêtes sur des ensembles de données d'autres projets | BigQuery n'empêche pas l'interrogation des ensembles de données Assured Workloads à partir de projets non Assured Workloads. Vous devez vous assurer que toute requête comportant une lecture ou une jointure sur des données Assured Workloads est placée dans des dossiers Assured Workloads. Vous pouvez spécifier un nom de table complet pour le résultat de la requête à l'aide de projectname.dataset.table dans la CLI BigQuery.
|
| Cloud Logging | BigQuery utilise Cloud Logging pour certaines de vos données de journaux. Vous devez désactiver vos buckets de journalisation _default ou limiter les buckets _default aux régions concernées pour maintenir la conformité à l'aide de la commande suivante :gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink
Pour en savoir plus, consultez Régionaliser vos journaux. |
Cloud Interconnect
Fonctionnalités Cloud Interconnect concernées
| Fonctionnalité | Description |
|---|---|
| VPN haute disponibilité | Vous devez activer la fonctionnalité de VPN haute disponibilité (HA) lorsque vous utilisez Cloud Interconnect avec Cloud VPN. De plus, vous devez respecter les exigences de chiffrement et de régionalisation listées dans la section Fonctionnalités Cloud VPN concernées. |
Cloud KMS
Contraintes liées aux règles d'administration Cloud KMS
| Contrainte liée aux règles d'administration | Description |
|---|---|
cloudkms.allowedProtectionLevels |
Définissez cette option pour autoriser la création de CryptoKeys Cloud Key Management Service avec les niveaux de protection suivants :
|
Cloud Logging
Fonctionnalités Cloud Logging concernées
| Fonctionnalité | Description |
|---|---|
| Récepteurs de journaux | Les filtres ne doivent pas contenir de données client. Les récepteurs de journaux incluent des filtres qui sont stockés en tant que configuration. Ne créez pas de filtres contenant des données client. |
| Affichage en direct des dernières lignes des entrées de journal | Les filtres ne doivent pas contenir de données client. Une session d'affichage des dernières lignes en direct inclut un filtre stocké en tant que configuration. Le suivi des journaux ne stocke aucune donnée d'entrée de journal, mais peut interroger et transmettre des données entre les régions. Ne créez pas de filtres contenant des données client. |
| Règles d'alerte basées sur SQL | Cette fonctionnalité est désactivée. Vous ne pouvez pas utiliser la fonctionnalité de règles d'alerte basées sur SQL. |
Cloud Monitoring
Fonctionnalités Cloud Monitoring concernées
| Fonctionnalité | Description |
|---|---|
| Surveillance synthétique | Cette fonctionnalité est désactivée. |
| Tests de disponibilité | Cette fonctionnalité est désactivée. |
Cloud Run
Fonctionnalités Cloud Run concernées
| Fonctionnalité | Description |
|---|---|
| Fonctionnalités non compatibles | Les fonctionnalités Cloud Run suivantes ne sont pas compatibles : |
Cloud SQL
Contraintes applicables aux règles d'administration Cloud SQL
| Contrainte liée aux règles d'administration | Description |
|---|---|
sql.restrictNoncompliantDiagnosticDataAccess |
Défini sur True. Applique des contrôles supplémentaires de souveraineté des données et de compatibilité aux ressources Cloud SQL. La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail. |
sql.restrictNoncompliantResourceCreation |
Défini sur True. Applique des contrôles de souveraineté des données supplémentaires pour empêcher la création de ressources Cloud SQL non conformes. La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail. |
Cloud Storage
Contraintes applicables aux règles d'administration Cloud Storage
| Contrainte liée aux règles d'administration | Description |
|---|---|
storage.publicAccessPrevention |
Défini sur True. L'accès public est limité pour tous les buckets et objets, nouveaux ou existants, inclus dans le dossier Assured Workloads. |
API Cloud Vision
Fonctionnalités de l'API Cloud Vision concernées
| Fonctionnalité | Description |
|---|---|
| Points de terminaison de l'API Cloud Vision conformes au niveau d'impact IL5 | Il est de votre responsabilité de n'utiliser que le point de terminaison de l'API de la région des États-Unis (us-vision.googleapis.com) pour l'API Cloud Vision. Le point de terminaison mondial (vision.googleapis.com) n'est pas conforme à la norme IL5, et son utilisation peut compromettre la résidence des données de votre charge de travail.
|
Cloud VPN
Fonctionnalités Cloud VPN concernées
| Fonctionnalité | Description |
|---|---|
| Points de terminaison VPN | Vous ne devez utiliser que des points de terminaison Cloud VPN situés dans une région concernée. Vérifiez que votre passerelle VPN n'est configurée pour être utilisée que dans une région concernée. |
Cloud Workstations
Fonctionnalités Cloud Workstations concernées
| Fonctionnalité | Description |
|---|---|
| Créer un cluster de stations de travail | Lorsque vous créez un cluster de stations de travail, il vous incombe de le configurer de la manière suivante pour garantir la résidence des données :
|
Compute Engine
Fonctionnalités Compute Engine concernées
| Fonctionnalité | Description |
|---|---|
| Suspendre et réactiver une instance de VM | Cette fonctionnalité est désactivée. La suspension et la réactivation d'une instance de VM nécessitent un stockage sur disque persistant, et le stockage sur disque persistant utilisé pour stocker l'état de VM suspendue ne peut actuellement pas être chiffré avec CMEK. Consultez la contrainte de règle d'administration gcp.restrictNonCmekServices dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté des données et la résidence des données.
|
| Disques SSD locaux | Cette fonctionnalité est désactivée. Vous ne pourrez pas créer d'instance avec des disques SSD locaux, car ils ne peuvent pas être chiffrés à l'aide de CMEK. Consultez la contrainte de règle d'administration gcp.restrictNonCmekServices dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté et la résidence des données.
|
| Ajouter un groupe d'instances à un équilibreur de charge mondial | Vous ne pouvez pas ajouter un groupe d'instances à un équilibreur de charge mondial. Cette fonctionnalité est désactivée par la contrainte de règle d'administration compute.disableGlobalLoadBalancing.
|
| Environnement invité | Les scripts, les daemons et les binaires inclus dans l'environnement invité peuvent accéder aux données non chiffrées au repos et en cours d'utilisation. Selon la configuration de votre VM, les mises à jour de ce logiciel peuvent être installées par défaut. Pour en savoir plus sur le contenu, le code source et d'autres informations concernant chaque package, consultez Environnement invité. Ces composants vous aident à respecter la souveraineté des données grâce à des contrôles et des processus de sécurité internes. Toutefois, si vous souhaitez un contrôle supplémentaire, vous pouvez également organiser vos propres images ou agents et éventuellement utiliser la contrainte de règle d'administration compute.trustedImageProjects.
Pour en savoir plus, consultez Créer une image personnalisée. |
| Règles d'OS dans VM Manager |
Les scripts intégrés et les fichiers de sortie binaires des fichiers de règles d'OS ne sont pas chiffrés à l'aide de clés de chiffrement gérées par le client (CMEK). N'incluez aucune information sensible dans ces fichiers. Envisagez de stocker ces scripts et fichiers de sortie dans des buckets Cloud Storage. Pour en savoir plus, consultez Exemples de règles d'OS. Si vous souhaitez limiter la création ou la modification de ressources de règles d'OS qui utilisent des scripts intégrés ou des fichiers de sortie binaires, activez la contrainte de règle d'administration constraints/osconfig.restrictInlineScriptAndOutputFileUsage.Pour en savoir plus, consultez Contraintes pour OS Config. |
instances.getSerialPortOutput()
|
Cette API est désactivée. Vous ne pourrez pas obtenir de données en sortie du port série depuis l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès pour un projet.
|
instances.getScreenshot() |
Cette API est désactivée. Vous ne pourrez pas obtenir de capture d'écran à partir de l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès pour un projet.
|
Contraintes liées aux règles d'administration Compute Engine
| Contrainte liée aux règles d'administration | Description |
|---|---|
compute.disableGlobalCloudArmorPolicy |
Défini sur True. Désactive la création de nouvelles stratégies de sécurité Google Cloud Armor globales, ainsi que l'ajout de règles à ces stratégies globales existantes et la modification des règles qui les composent. Cette contrainte n'empêche pas la suppression de règles, ni la suppression ou la modification de la description et du recensement des stratégies de sécurité Google Cloud Armor globales. Cette contrainte n'a aucune incidence sur les stratégies de sécurité Google Cloud Armor régionales. Toutes les stratégies de sécurité globales et régionales qui existaient avant l'application de cette contrainte restent en vigueur. |
compute.disableGlobalLoadBalancing |
Défini sur True. Désactive la création de produits d'équilibrage de charge mondiaux. La modification de cette valeur peut affecter la résidence des données ou la souveraineté des données de votre charge de travail. |
compute.disableInstanceDataAccessApis
| Défini sur True. Désactive globalement les API instances.getSerialPortOutput() et instances.getScreenshot().L'activation de cette contrainte vous empêche de générer des identifiants sur les VM Windows Server. Si vous devez gérer un nom d'utilisateur et un mot de passe sur une VM Windows, procédez comme suit :
|
compute.setNewProjectDefaultToZonalDNSOnly
| Défini sur True. Définit le paramètre DNS des nouveaux projets sur DNS zonal uniquement. Le DNS zonal réduit les risques de pannes interrégionales et améliore la fiabilité globale de vos projets sur Compute Engine. |
compute.skipDefaultNetworkCreation
| Défini sur True. Désactive la création d'un réseau par défaut et des ressources associées lorsqu'un projet est créé. |
compute.restrictNonConfidentialComputing |
(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour fournir une défense en profondeur supplémentaire. Pour en savoir plus, consultez la documentation sur Confidential VM. |
compute.trustedImageProjects |
(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour fournir une défense en profondeur supplémentaire.
La définition de cette valeur limite le stockage des images et l'instanciation des disques à la liste de projets spécifiée. Cette valeur affecte la souveraineté des données en empêchant l'utilisation d'images ou d'agents non autorisés. |
Google Cloud Armor
Fonctionnalités Google Cloud Armor concernées
| Fonctionnalité | Description |
|---|---|
| Stratégies de sécurité à l'échelle mondiale | Cette fonctionnalité est désactivée par la contrainte de règle d'administration compute.disableGlobalCloudArmorPolicy.
|
IAM
Contraintes liées aux règles d'administration IAM
| Contrainte liée aux règles d'administration | Description |
|---|---|
iam.automaticIamGrantsForDefaultServiceAccounts |
Défini sur True. Désactive l'attribution automatique du rôle de base ancien Éditeur ( roles/editor) aux comptes de service par défaut.Cette contrainte n'empêche pas l'attribution d'anciens rôles de base aux comptes de service par défaut à l'avenir. Pour éviter ce comportement, vous pouvez définir la contrainte iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts sur votre dossier Assured Workloads.
|
iam.disableServiceAccountKeyCreation |
Défini sur True. Désactive la création de clés de compte de service et de clés HMAC Cloud Storage. Si des clés de compte de service sont requises pour votre charge de travail, assurez-vous d'avoir lu la page Bonnes pratiques pour la gestion des clés de compte de service avant de modifier la valeur de cette contrainte. |
Identity-Aware Proxy
Fonctionnalités Identity-Aware Proxy concernées
| Fonctionnalité | Description |
|---|---|
| Utiliser IAP pour le transfert TCP | Il est de votre responsabilité de ne pas utiliser le transfert TCP IAP, car il n'est pas conforme au périmètre de données pour IL5. |
Knowledge Catalog
Fonctionnalités de Knowledge Catalog
| Fonctionnalité | Description |
|---|---|
| Magasin d'attributs | Cette fonctionnalité est obsolète et désactivée. |
| Data Catalog | Cette fonctionnalité est obsolète et désactivée. Vous ne pouvez pas rechercher ni gérer vos métadonnées dans Data Catalog. |
| Lacs et zones | Cette fonctionnalité est désactivée. Vous ne pouvez pas gérer les lacs, les zones et les tâches. |
Pub/Sub
Contraintes liées aux règles d'administration Pub/Sub
| Contrainte liée aux règles d'administration | Description |
|---|---|
pubsub.managed.disableSubscriptionMessageTransforms |
Défini sur True. Désactive la définition des abonnements Pub/Sub avec des transformations de message unique (SMT). La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail. |
pubsub.managed.disableTopicMessageTransforms |
Défini sur True. Désactive la définition de transformations de message unique (SMT) pour les sujets Pub/Sub. La modification de cette valeur peut affecter la résidence des données ou la souveraineté des données de votre charge de travail. |
Spanner
Fonctionnalités Spanner concernées
| Fonctionnalité | Description |
|---|---|
| Limites de division | Spanner utilise un petit sous-ensemble de clés primaires et de colonnes indexées pour définir des limites de division, qui peuvent inclure des données et des métadonnées client. Une limite de division dans Spanner indique l'emplacement où les plages de lignes contiguës sont divisées en fragments plus petits. Ces limites de division sont accessibles par le personnel Google à des fins d'assistance technique et de débogage, et ne sont pas soumises aux contrôles d'accès administratif aux données dans Assured Workloads. |
Contraintes liées aux règles d'administration Spanner
| Contrainte liée aux règles d'administration | Description |
|---|---|
spanner.disableMultiRegionInstanceIfNoLocationSelected |
Défini sur True. Désactive la possibilité de créer des instances Spanner multirégionales pour appliquer la résidence et la souveraineté des données. |
Speech-to-Text
Fonctionnalités Speech-to-Text concernées
| Fonctionnalité | Description |
|---|---|
| Modèles Speech-to-Text personnalisés | Il est de votre responsabilité de ne pas utiliser de modèles Speech-to-Text personnalisés, car ils ne sont pas conformes à la limite de données pour IL5. |
Vertex AI
Contraintes liées aux règles d'administration Vertex AI
| Contrainte liée aux règles d'administration | Description |
|---|---|
vertexai.allowOnlyIL5CompliantAPIs |
Défini sur True. N'autorise que l'utilisation d'API conformes au niveau d'impact 5 (IL5) pour les API Vertex AI. Par défaut, toutes les API sont autorisées. |
Étapes suivantes
- Découvrez comment créer un dossier Assured Workloads.
- Comprendre les tarifs d'Assured Workloads