‫Data Boundary לרמת השפעה 5 (IL5)

בדף הזה מתוארת קבוצת אמצעי הבקרה שחלים על Data Boundary לעומסי עבודה ברמת IL5 ב-Assured Workloads. הוא מספק מידע מפורט על מיקום אחסון הנתונים, המוצרים Google Cloud הנתמכים ונקודות הקצה שלהם ל-API, וכל ההגבלות או המגבלות שחלות על המוצרים האלה. המידע הנוסף הבא רלוונטי ל-Data Boundary ל-IL5:

  • מיקום אחסון הנתונים: חבילת אמצעי הבקרה "גבולות הנתונים" ל-IL5 מגדירה אמצעי בקרה על מיקום הנתונים כדי לתמוך באזורים בארה"ב בלבד. מידע נוסף מופיע בקטע אילוצים של מדיניות הארגון ברמתGoogle Cloud.
  • תמיכה: שירותי תמיכה טכנית לעומסי עבודה ב-Data Boundary for IL5 זמינים במינויים ל-Cloud Customer Care ברמה מתקדמת או פרימיום. בקשות תמיכה ב-Data Boundary לעומסי עבודה ברמת IL5 מנותבות לאנשים או ישויות בארה"ב שנמצאים בארה"ב. למידע נוסף, קראו את המאמר קבלת תמיכה.
  • תמחור: חבילת אמצעי הבקרה Data Boundary for IL5 כלולה במסלול פרימיום של Assured Workloads, שכוללת חיוב נוסף של 20%. למידע נוסף, קראו את התמחור של Assured Workloads.

דרישות מוקדמות

כדי להמשיך לעמוד בדרישות של חבילת אמצעי הבקרה Data Boundary for IL5, ודאו שאתם עומדים בדרישות המוקדמות הבאות:

  • יוצרים Data Boundary לתיקיית IL5 באמצעות Assured Workloads, ופורסים את עומסי העבודה של IL5 רק בתיקייה הזו.
  • להפעיל ולהשתמש רק בשירותים שנכללים בהיקף של Data Boundary לעומסי עבודה ברמת IL5.
  • אל תשתמשו בשרתי Google Cloud MCP, אלא אם צוין אחרת. ב-Data Boundary ל-IL5 אין אמצעי בקרה על מיקום אחסון הנתונים לנתונים בשימוש ולנתונים במעבר עם שרתי Google Cloud MCP. כדי לחסום גישה לא רצויה לשרתי MCP של Google Cloud, קראו את המאמר שליטה בשימוש בשרתי MCP של Google Cloud באמצעות IAM.
  • אל תשנו את ערכי ברירת המחדל של האילוצים במדיניות הארגון, אלא אם אתם מבינים את הסיכונים שעלולים להתרחש במיקום אחסון הנתונים ומוכנים לקבל אותם.
  • בכל השירותים שמשתמשים בהם בתיקייה Data Boundary for IL5, אל תאחסנו נתונים טכניים בסוגי המידע הבאים שמוגדרים על ידי המשתמש או בהגדרות האבטחה:
    • הודעות שגיאה
    • פלט בקונסולה
    • נתוני מאפיינים
    • נתוני הגדרת השירות
    • כותרות של חבילות נתונים ברשת
    • מזהי משאבים
    • תוויות נתונים
  • כדאי ליישם את השיטות המומלצות הכלליות לאבטחה שמפורטות Google Cloud במרכז לשיטות אבטחה מומלצות.
  • בדף האישור הזמני של מחלקת ההגנה של ארה"ב (DoD) מפורט מידע נוסף על פריסת עומסי עבודה ברמת IL5 ב-Google Cloud.
  • כשנכנסים למסוף Google Cloud , אפשר להשתמש במסוף Google Cloud . אתם לא חייבים להשתמש במסוף Jurisdictional Google Cloud כדי להגדיר את גבולות הנתונים ל-IL5. אפשר לגשת אליו באחת מכתובות ה-URL הבאות:

מוצרים נתמכים ונקודות קצה ל-API

אלא אם צוין אחרת, המשתמשים יכולים לגשת לכל המוצרים הנתמכים דרך מסוף Google Cloud . בטבלה הבאה מפורטות ההגבלות שמשפיעות על התכונות של מוצר נתמך, כולל הגבלות שנאכפות באמצעות הגדרות של אילוצי מדיניות הארגון.

אם מוצר לא מופיע ברשימה, הוא לא נתמך ולא עומד בדרישות הבקרה של Data Boundary ל-IL5. לא מומלץ להשתמש במוצרים שלא נתמכים בלי בדיקת נאותות והבנה מעמיקה של תחומי האחריות שלכם במודל האחריות המשותפת. לפני שאתם משתמשים במוצר שלא נתמך, חשוב לוודא שאתם מודעים לסיכונים הכרוכים בכך ומוכנים לקבל אותם, כמו השפעות שליליות על מיקום אחסון הנתונים או על ריבונות הנתונים. בנוסף, לפני שאתם מקבלים את הסיכון, כדאי לבדוק עם הסוכנות המאשרת כל שימוש במוצר לא נתמך.

מוצר נתמך נקודות קצה ל-API הגבלות או מגבלות
Access Context Manager accesscontextmanager.googleapis.com
 ללא
AlloyDB ל-PostgreSQL alloydb.googleapis.com
 ללא
Artifact Registry artifactregistry.googleapis.com
 ללא
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerymigration.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 התכונות המושפעות והמגבלות של מדיניות הארגון
Certificate Authority Service privateca.googleapis.com
 ללא
Cloud Build cloudbuild.googleapis.com
 ללא
Cloud DNS dns.googleapis.com
 ללא
Cloud Data Fusion datafusion.googleapis.com
 ללא
Cloud External Key Manager ‏(Cloud EKM) cloudkms.googleapis.com
 ללא
Cloud HSM cloudkms.googleapis.com
 ללא
Cloud Identity cloudidentity.googleapis.com
 ללא
Cloud Interconnect compute.googleapis.com
 ללא
Cloud Key Management Service ‏(Cloud KMS) cloudkms.googleapis.com
 אילוצים של מדיניות הארגון
Cloud Logging logging.googleapis.com
 התכונות המושפעות
Cloud Monitoring monitoring.googleapis.com
 ללא
Cloud NAT compute.googleapis.com
 ללא
Cloud Router compute.googleapis.com
 ללא
Cloud Run run.googleapis.com
 התכונות המושפעות
Cloud SQL sqladmin.googleapis.com
 אילוצים של מדיניות הארגון
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
trafficdirector.googleapis.com
 ללא
Cloud Storage storage.googleapis.com
 אילוצים של מדיניות הארגון
Cloud Tasks cloudtasks.googleapis.com
 ללא
Cloud VPN compute.googleapis.com
 התכונות המושפעות
Cloud Vision API us-vision.googleapis.com
 התכונות המושפעות
Cloud Workstations workstations.googleapis.com
 התכונות המושפעות
Compute Engine compute.googleapis.com
 התכונות המושפעות והמגבלות של מדיניות הארגון
סוכן Connect של Google Kubernetes Engine (GKE) gkeconnect.googleapis.com
 ללא
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 ללא
Eventarc eventarc.googleapis.com
 ללא
מאזן עומסי רשת חיצוני להעברת סיגנל ללא שינוי compute.googleapis.com
 ללא
Filestore file.googleapis.com
 ללא
Google Kubernetes Engine (GKE) Hub gkehub.googleapis.com
 ללא
Google Kubernetes Engine (GKE) Identity Service anthosidentityservice.googleapis.com
 ללא
‫AI גנרטיבי ב-Vertex AI aiplatform.googleapis.com
 אילוצים של מדיניות הארגון
Google Cloud Armor compute.googleapis.com
 התכונות המושפעות
Google Kubernetes Engine (GKE)‎ container.googleapis.com
containersecurity.googleapis.com
 ללא
Google Security Operations SIEM chronicle.googleapis.com
chronicleservicemanager.googleapis.com
 ללא
Google Security Operations SOAR Not applicable
 ללא
מסוף Google Admin Not applicable
 ללא
ניהול זהויות והרשאות גישה (IAM) iam.googleapis.com
 אילוצים של מדיניות הארגון
שרת proxy לאימות זהויות (IAP) iap.googleapis.com
 התכונות המושפעות
מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי compute.googleapis.com
 ללא
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 התכונות המושפעות
Managed Service for Apache Airflow composer.googleapis.com
 ללא
Managed Service for Apache Spark dataproc.googleapis.com
dataproc-control.googleapis.com
 ללא
Memorystore for Redis redis.googleapis.com
 ללא
Network Connectivity Center networkconnectivity.googleapis.com
 ללא
Persistent Disk compute.googleapis.com
 ללא
Pub/Sub pubsub.googleapis.com
 אילוצים של מדיניות הארגון
מאזן עומסים חיצוני אזורי של אפליקציות (ALB) compute.googleapis.com
 ללא
מאזן עומסי רשת אזורי חיצוני בשרת proxy compute.googleapis.com
 ללא
מאזן עומסים פנימי אזורי של אפליקציות (ALB) compute.googleapis.com
 ללא
מאזן עומסי רשת אזורי פנימי בשרת proxy compute.googleapis.com
 ללא
Secret Manager secretmanager.googleapis.com
 ללא
Sensitive Data Protection dlp.googleapis.com
 ללא
Spanner spanner.googleapis.com
 התכונות המושפעות והמגבלות של מדיניות הארגון
המרת דיבור לטקסט (STT) speech.googleapis.com
 התכונות המושפעות
VPC Service Controls accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 ללא
חיזוי של Vertex AI Batch aiplatform.googleapis.com
 אילוצים של מדיניות הארגון
Vertex AI Model Monitoring aiplatform.googleapis.com
 אילוצים של מדיניות הארגון
מרשם המודלים של Vertex AI aiplatform.googleapis.com
 אילוצים של מדיניות הארגון
חיזוי אונליין של Vertex AI aiplatform.googleapis.com
 אילוצים של מדיניות הארגון
Vertex AI Pipelines aiplatform.googleapis.com
 ללא
Vertex AI Training aiplatform.googleapis.com
 אילוצים של מדיניות הארגון
ענן וירטואלי פרטי (VPC) compute.googleapis.com
 ללא

הגבלות ומגבלות

בקטעים הבאים מתוארות ההגבלות או המגבלות של התכונות ברמת Google Cloudאו ברמת המוצר, כולל אילוצים של מדיניות הארגון שמוגדרים כברירת מחדל בתיקיות של Data Boundary ל-IL5. אילוצים אחרים שחלים על מדיניות הארגון – גם אם הם לא מוגדרים כברירת מחדל – יכולים לספק הגנה נוספת לעומק כדי להגן על המשאבים של Google Cloud בארגון.

בכלGoogle Cloud

תכונות שמושפעות בכל רחבי Google Cloud

תכונה תיאור
מסוףGoogle Cloud כדי לגשת למסוף Google Cloud כשמשתמשים בחבילת אמצעי הבקרה "גבולות נתונים ל-IL5", אפשר להשתמש במסוף Google Cloud Jurisdictional. לא צריך את מסוף Google Cloud Jurisdictional בשביל Data Boundary ל-IL5, ואפשר לגשת אליו באמצעות אחת מכתובות ה-URL הבאות:

אילוצים של מדיניות הארגון ברמתGoogle Cloud

האילוצים הבאים של מדיניות הארגון חלים על כל Google Cloud.

אילוץ של מדיניות הארגון תיאור
gcp.resourceLocations מגדירים את המיקומים הבאים ברשימה allowedValues:
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
הערך הזה מגביל את היצירה של משאבים חדשים לערכים שנבחרו. אחרי שמגדירים את המדיניות, אי אפשר ליצור משאבים באזורים אחרים, במספר אזורים או במיקומים מחוץ לאזור שנבחר. במאמר שירותים נתמכים של מיקומי משאבים מפורטים המשאבים שאפשר להגביל באמצעות האילוץ של מדיניות הארגון "מיקומי משאבים". יכול להיות שחלק מהמשאבים לא נכללים בהיקף ואי אפשר להגביל אותם.

אם משנים את הערך הזה ומגדירים אותו כפחות מגביל, יכול להיות שזה יפגע במיקום אחסון הנתונים כי הנתונים יוכלו להיווצר או להישמר מחוץ לגבולות הנתונים התואמים.
gcp.restrictCmekCryptoKeyProjects צריך להגדיר את הערך under:organizations/your-organization-name, שהוא הארגון שלכם ב-Assured Workloads. כדי להגביל עוד יותר את הערך הזה, אפשר לציין פרויקט או תיקייה.‫

מגבילה את ההיקף של תיקיות או פרויקטים מאושרים שיכולים לספק מפתחות Cloud KMS להצפנת נתונים במנוחה באמצעות CMEK. האילוץ הזה מונע מתיקיות או מפרויקטים לא מאושרים לספק מפתחות הצפנה, וכך עוזר להבטיח את ריבונות הנתונים במנוחה בשירותים הרלוונטיים.
gcp.restrictNonCmekServices צריך להגדיר רשימה של כל שמות שירותי ה-API שבהיקף, כולל:
  • aiplatform.googleapis.com
  • alloydb.googleapis.com
  • apigee.googleapis.com
  • artifactregistry.googleapis.com
  • backupdr.googleapis.com
  • bigquery.googleapis.com
  • bigquerydatatransfer.googleapis.com
  • bigtable.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudtasks.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • contactcenterinsights.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • dataform.googleapis.com
  • datafusion.googleapis.com
  • dataplex.googleapis.com
  • dataproc.googleapis.com
  • dialogflow.googleapis.com
  • discoveryengine.googleapis.com
  • documentai.googleapis.com
  • eventarc.googleapis.com
  • file.googleapis.com
  • firestore.googleapis.com
  • gkebackup.googleapis.com
  • integrations.googleapis.com
  • logging.googleapis.com
  • looker.googleapis.com
  • lustre.googleapis.com
  • memorystore.googleapis.com
  • netapp.googleapis.com
  • notebooks.googleapis.com
  • observability.googleapis.com
  • pubsub.googleapis.com
  • redis.googleapis.com
  • run.googleapis.com
  • secretmanager.googleapis.com
  • securesourcemanager.googleapis.com
  • securitycenter.googleapis.com
  • spanner.googleapis.com
  • speech.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
  • storagetransfer.googleapis.com
  • tpu.googleapis.com
  • workstations.googleapis.com
יכול להיות שחלק מהתכונות יושפעו בכל אחד מהשירותים שמפורטים למעלה.

כל שירות שמופיע ברשימה דורש מפתחות הצפנה בניהול הלקוח (CMEK). מפתחות CMEK מצפינים נתונים במנוחה באמצעות מפתח שמנוהל על ידכם, ולא באמצעות מנגנוני ההצפנה שמוגדרים כברירת מחדל ב-Google.

שינוי הערך הזה על ידי הסרת שירות אחד או יותר מהרשימה עלול לפגוע בריבונות הנתונים, כי נתונים חדשים במנוחה יוצפנו באופן אוטומטי באמצעות המפתחות של Google במקום המפתחות שלך. הנתונים הקיימים באחסון יישארו מוצפנים באמצעות המפתח שסיפקת.
gcp.restrictServiceUsage מגדירים את הכלל כך שיאפשר את כל המוצרים ונקודות הקצה ל-API הנתמכים.

ההגדרה הזו קובעת באילו שירותים אפשר להשתמש על ידי הגבלת הגישה של זמן הריצה למשאבים שלהם. למידע נוסף, קראו את המאמר הגבלת השימוש במשאבים.
gcp.restrictTLSVersion הגדרת דחייה של גרסאות ה-TLS הבאות:
  • TLS_1_0
  • TLS_1_1
מידע נוסף זמין במאמר הגבלת גרסאות TLS.

BigQuery

התכונות המושפעות ב-BigQuery

תכונה תיאור
הפעלת BigQuery בתיקייה חדשה יש תמיכה ב-BigQuery, אבל הוא לא מופעל באופן אוטומטי כשיוצרים תיקיית Assured Workloads חדשה בגלל תהליך הגדרה פנימי. התהליך הזה בדרך כלל מסתיים תוך עשר דקות, אבל בנסיבות מסוימות הוא יכול להימשך הרבה יותר זמן. כדי לבדוק אם התהליך הסתיים ולהפעיל את BigQuery, מבצעים את השלבים הבאים:
  1. נכנסים לדף Assured Workloads במסוף Google Cloud .

    כניסה לדף Assured Workloads

  2. בוחרים את התיקייה החדשה של Assured Workloads מהרשימה.
  3. בדף Folder Details, בקטע Allowed services, לוחצים על Review Available Updates.
  4. בחלונית Allowed services, בודקים את השירותים שרוצים להוסיף למדיניות הארגון Resource Usage Restriction של התיקייה. אם שירותי BigQuery מופיעים ברשימה, לוחצים על Allow Services כדי להוסיף אותם.

    אם שירותי BigQuery לא מופיעים ברשימה, צריך להמתין עד שהתהליך הפנימי יסתיים. אם השירותים לא מופיעים תוך 12 שעות מיצירת התיקייה, פנו ל-Cloud Customer Care.

בסיום תהליך ההפעלה, תוכלו להשתמש ב-BigQuery בתיקיית Assured Workloads.

‫Gemini ב-BigQuery לא נתמך ב-Assured Workloads.
ממשקי BigQuery API תואמים ממשקי ה-API הבאים של BigQuery תואמים ל-IL5:
אזורים ‫BigQuery תואם ל-IL5 בכל האזורים של BigQuery בארה"ב, חוץ מהאזור הגיאוגרפי שכולל מספר אזורים בארה"ב. אי אפשר להבטיח תאימות ל-IL5 אם מערך הנתונים נוצר במספר אזורים בארה"ב, באזור מחוץ לארה"ב או במספר אזורים מחוץ לארה"ב. כשיוצרים מערכי נתונים ב-BigQuery, צריך לציין אזור שתואם ל-IL5.
שאילתות על מערכי נתונים ברמת IL5 מפרויקטים שלא ברמת IL5 ב-BigQuery אפשר לשלוח שאילתות למערכי נתונים ברמת IL5 מפרויקטים שהם לא ברמת IL5. חשוב לוודא שכל שאילתה שמשתמשת בפעולת קריאה או צירוף בנתונים טכניים ברמת IL5 נמצאת בתיקייה שתואמת ל-IL5.
חיבורים למקורות נתונים חיצוניים האחריות של Google לתאימות מוגבלת ליכולת של BigQuery Connection API. באחריותכם לוודא שמוצרי המקור שבהם אתם משתמשים עם BigQuery Connection API עומדים בדרישות.
תכונות שלא נתמכות התכונות הבאות של BigQuery לא נתמכות, ואין להשתמש בהן ב-CLI של BigQuery. באחריותכם לא להשתמש בהם ב-BigQuery ל-Assured Workloads.
BigQuery CLI יש תמיכה ב-CLI של BigQuery.

Google Cloud SDK כדי לשמור על ההתחייבויות לריכוז נתונים אזורי של נתונים טכניים, צריך להשתמש ב-Google Cloud SDK בגרסה 403.0.0 ואילך. כדי לבדוק את הגרסה הנוכחית של Google Cloud SDK, מריצים את הפקודה gcloud --version ואז את הפקודה gcloud components update כדי לעדכן לגרסה החדשה ביותר.
אמצעי בקרה לאדמינים ‫BigQuery ישבית ממשקי API שלא נתמכים, אבל אדמינים עם הרשאות מספיקות ליצירת תיקיות של Assured Workloads יכולים להפעיל ממשק API שלא נתמך. במקרה כזה, תקבלו הודעה על אי-תאימות פוטנציאלית דרך לוח הבקרה למעקב של Assured Workloads.
טעינת נתונים אין תמיכה במחברים של שירות העברת הנתונים ל-BigQuery לאפליקציות של Google תוכנה כשירות (SaaS), לספקי אחסון חיצוניים בענן ולמחסני נתונים. באחריותכם לא להשתמש במחברים של שירות העברת הנתונים ל-BigQuery בשביל עומסי עבודה של Data Boundary ל-IL5.
העברות לצד שלישי ב-BigQuery אין אימות של תמיכה בהעברות של צד שלישי בשירות העברת הנתונים ל-BigQuery. באחריותכם לוודא שיש תמיכה כשאתם משתמשים בהעברה של צד שלישי לשירות העברת הנתונים ל-BigQuery.
מודלים של BQML שלא עומדים בדרישות אין תמיכה במודלים של BQML שאומנו באופן חיצוני.
משימות של השאילתה צריך ליצור משימות שאילתה רק בתיקיות של Assured Workloads.
שאילתות על מערכי נתונים בפרויקטים אחרים ב-BigQuery אפשר לשלוח שאילתות למערכי נתונים של Assured Workloads מפרויקטים שהם לא של Assured Workloads. חשוב לוודא שכל שאילתה שכוללת קריאה או צירוף של נתוני Assured Workloads תמוקם בתיקיות של Assured Workloads. אפשר לציין שם טבלה מלא לתוצאת השאילתה באמצעות projectname.dataset.table ב-CLI של BigQuery.
Cloud Logging ב-BigQuery נעשה שימוש ב-Cloud Logging לחלק מנתוני היומן. כדי לשמור על תאימות, צריך להשבית את קטגוריות הרישום ביומן של _default או להגביל את הקטגוריות של _default לאזורים שבהיקף, באמצעות הפקודה הבאה:

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

מידע נוסף זמין במאמר התאמת היומנים לאזורים.

Cloud Interconnect

התכונות שיושפעו ב-Cloud Interconnect

תכונה תיאור
רשת VPN בזמינות גבוהה (HA) כשמשתמשים ב-Cloud Interconnect עם Cloud VPN, צריך להפעיל את הפונקציונליות של VPN בזמינות גבוהה (HA). בנוסף, צריך לעמוד בדרישות ההצפנה והאזוריות שמפורטות בקטע התכונות המושפעות של Cloud VPN.

Cloud KMS

אילוצים של מדיניות הארגון ב-Cloud KMS

אילוץ של מדיניות הארגון תיאור
cloudkms.allowedProtectionLevels הגדרה שמאפשרת ליצור מפתחות קריפטוגרפיים של Cloud Key Management Service עם רמות ההגנה הבאות:
  • SOFTWARE
  • HSM
  • EXTERNAL
  • EXTERNAL_VPC
מידע נוסף זמין במאמר רמות הגנה.

Cloud Logging

התכונות שיושפעו ב-Cloud Logging

תכונה תיאור
Sinks ביומן המסננים לא צריכים להכיל נתוני לקוחות.

אובייקטי sink ביומן כוללים מסננים שמאוחסנים כהגדרות אישיות. אין ליצור מסננים שמכילים נתוני לקוחות.
רישום ביומן בזמן אמת של רשומות ביומן המסננים לא צריכים להכיל נתוני לקוחות.

סשן של רישום ביומן בזמן אמת כולל מסנן שמאוחסן כהגדרה. במעקב אחרי יומנים לא מאוחסנים נתונים של רשומות ביומן, אבל אפשר לשלוח שאילתות על נתונים ולהעביר אותם בין אזורים. אל תיצרו מסננים שמכילים נתוני לקוחות.
כללי מדיניות התראה מבוססי-SQL התכונה הזו מושבתת.

אי אפשר להשתמש בתכונה של מדיניות התראות מבוססת-SQL.

Cloud Monitoring

התכונות שיושפעו ב-Cloud Monitoring

תכונה תיאור
Synthetic Monitor התכונה הזו מושבתת.
בדיקות זמני פעילות התכונה הזו מושבתת.

Cloud Run

התכונות שיושפעו ב-Cloud Run

תכונה תיאור
תכונות שלא נתמכות התכונות הבאות של Cloud Run לא נתמכות:

Cloud SQL

אילוצים של מדיניות הארגון ב-Cloud SQL

אילוץ של מדיניות הארגון תיאור
sql.restrictNoncompliantDiagnosticDataAccess מגדירים את האפשרות True.‫

החלת אמצעי בקרה נוספים על ריבונות הנתונים ועל התמיכה במשאבי Cloud SQL.

שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.
sql.restrictNoncompliantResourceCreation מגדירים את האפשרות True.

אמצעי בקרה נוספים על ריבונות הנתונים, כדי למנוע יצירה של משאבי Cloud SQL שלא עומדים בדרישות.

שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.

Cloud Storage

אילוצים של מדיניות הארגון ב-Cloud Storage

אילוץ של מדיניות הארגון תיאור
storage.publicAccessPrevention מגדירים את האפשרות True.

הגישה הציבורית מוגבלת לכל הקטגוריות והאובייקטים, גם חדשים וגם קיימים, בתיקיית Assured Workloads.

Cloud Vision API

התכונות של Cloud Vision API שיושפעו

תכונה תיאור
נקודות קצה ל-Cloud Vision API שתואמות ל-IL5 באחריותכם להשתמש רק בנקודת קצה ל-API באזור ארה"ב (us-vision.googleapis.com) ל-Cloud Vision API. נקודת הקצה הגלובלית (vision.googleapis.com) לא תואמת ל-IL5, והשימוש בה עלול לפגוע במיקום אחסון הנתונים של עומס העבודה.

Cloud VPN

התכונות המושפעות של Cloud VPN

תכונה תיאור
נקודות קצה של VPN אתם צריכים להשתמש רק בנקודות קצה של Cloud VPN שנמצאות באזור שבהיקף ההסמכה. מוודאים ששער ה-VPN מוגדר לשימוש רק באזור שנכלל בהיקף.

תחנות עבודה בענן

התכונות המושפעות ב-Cloud Workstations

תכונה תיאור
יצירת אשכול של תחנות עבודה

כשיוצרים אשכול של תחנות עבודה, אתם צריכים להגדיר אותו באופן הבא כדי להבטיח את מיקום אחסון הנתונים:

Compute Engine

התכונות שיושפעו ב-Compute Engine

תכונה תיאור
השהיה והפעלה מחדש של מכונת VM התכונה הזו מושבתת.

כדי להשהות ולהפעיל מחדש מכונת VM, צריך אחסון בדיסק מתמיד (persistent disk). כרגע אי אפשר להצפין באמצעות CMEK את האחסון בדיסק המתמיד (persistent disk) שמשמש לאחסון המצב של מכונת ה-VM המושהית. כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ומיקום אחסון הנתונים, עיינו באילוץ של מדיניות הארגון gcp.restrictNonCmekServices בקטע שלמעלה.
כונני SSD מקומיים התכונה הזו מושבתת.

לא תוכלו ליצור מכונה עם כונני SSD מקומיים, כי אי אפשר להצפין אותם באמצעות CMEK. כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ומיקום אחסון הנתונים, עיינו בקטע שלמעלה שעוסק באילוץ gcp.restrictNonCmekServices של מדיניות הארגון.
הוספת קבוצת מכונות למאזן עומסים גלובלי אי אפשר להוסיף קבוצת מכונות למאזן עומסים גלובלי.

התכונה הזו מושבתת בגלל האילוץ compute.disableGlobalLoadBalancing במדיניות הארגון.
סביבת אורח סקריפטים, תהליכי daemon וקבצים בינאריים שכלולים בסביבת האורח יכולים לגשת לנתונים לא מוצפנים במנוחה ובשימוש. בהתאם להגדרות של המכונה הווירטואלית, יכול להיות שעדכונים לתוכנה הזו יותקנו כברירת מחדל. במאמר סביבת אורח מפורט מידע ספציפי על התוכן של כל חבילה, קוד המקור ועוד.

הרכיבים האלה עוזרים לכם לעמוד בדרישות של ריבונות הנתונים באמצעות אמצעי בקרה ותהליכים פנימיים לאבטחה. עם זאת, אם אתם רוצים שליטה נוספת, אתם יכולים גם לאסוף תמונות או סוכנים משלכם, ואם רוצים, להשתמש באילוץ של מדיניות הארגון compute.trustedImageProjects.

מידע נוסף זמין במאמר יצירת קובץ אימג' בהתאמה אישית.
מדיניות של מערכת ההפעלה ב-VM Manager סקריפטים מוטבעים וקובצי פלט בינאריים בקובצי המדיניות של מערכת ההפעלה לא מוצפנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). חשוב לא לכלול מידע רגיש בקבצים האלה. מומלץ לאחסן את הסקריפטים וקובצי הפלט האלה בקטגוריות של Cloud Storage. למידע נוסף, קראו את המאמר דוגמאות למדיניות של מערכת ההפעלה.

אם רוצים להגביל את היצירה או השינוי של משאבי מדיניות של מערכת ההפעלה שמשתמשים בסקריפטים מוטבעים או בקובצי פלט בינאריים, צריך להפעיל את אילוץ מדיניות הארגון constraints/osconfig.restrictInlineScriptAndOutputFileUsage.

מידע נוסף זמין במאמר אילוצים של OS Config.
instances.getSerialPortOutput() ה-API הזה מושבת. לא תוכלו לקבל פלט של יציאה טורית מהמכונה שצוינה באמצעות ה-API הזה.

כדי להפעיל את ה-API הזה, צריך לשנות את הערך של אילוץ מדיניות הארגון compute.disableInstanceDataAccessApis ל-False. אפשר גם להפעיל את היציאה הטורית האינטראקטיבית ולהשתמש בה, לפי ההוראות שבמאמר הפעלת גישה לפרויקט.
instances.getScreenshot() ה-API הזה מושבת. לא תהיה לך אפשרות לקבל צילום מסך מהמכונה שצוינה באמצעות ה-API הזה.

כדי להפעיל את ה-API הזה, צריך לשנות את הערך של אילוץ מדיניות הארגון compute.disableInstanceDataAccessApis ל-False. אפשר גם להפעיל את היציאה הטורית האינטראקטיבית ולהשתמש בה, לפי ההוראות שבמאמר הפעלת גישה לפרויקט.

אילוצים של מדיניות הארגון ב-Compute Engine

אילוץ של מדיניות הארגון תיאור
compute.disableGlobalCloudArmorPolicy מגדירים את האפשרות True.

השבתת היצירה של כללי מדיניות אבטחה גלובליים חדשים של Google Cloud Armor, והשבתת ההוספה או השינוי של כללים במדיניות אבטחה גלובלית קיימת של Google Cloud Armor. המגבלה הזו לא מונעת הסרה של כללים או את היכולת להסיר או לשנות את התיאור והרשימה של מדיניות האבטחה הגלובלית של Google Cloud Armor. המגבלה הזו לא משפיעה על מדיניות האבטחה האזורית של Google Cloud Armor. כל כללי מדיניות האבטחה הגלובליים והאזוריים שקיימים לפני אכיפת האילוץ הזה נשארים בתוקף.
compute.disableGlobalLoadBalancing מגדירים את האפשרות True.

השבתת היצירה של מוצרים לאיזון עומסים גלובלי.

שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.
compute.disableInstanceDataAccessApis מגדירים את האפשרות True.

משבית באופן גלובלי את ממשקי ה-API של instances.getSerialPortOutput() ו-instances.getScreenshot().

אם מפעילים את האילוץ הזה, אי אפשר ליצור פרטי כניסה במכונות וירטואליות של Windows Server.

כדי לנהל שם משתמש וסיסמה במכונה וירטואלית של Windows:
  1. הפעלת SSH למכונות וירטואליות של Windows.
  2. מריצים את הפקודה הבאה כדי לשנות את הסיסמה של המכונה הווירטואלית: 
      gcloud compute ssh
  VM_NAME --command "net user USERNAME PASSWORD"
    מחליפים את הערכים הבאים:
    • ‫VM_NAME: השם של המכונה הווירטואלית שאתם מגדירים לה סיסמה.
    • ‫USERNAME: שם המשתמש של המשתמש שמגדירים לו את הסיסמה.
    • ‫PASSWORD: הסיסמה החדשה.
compute.setNewProjectDefaultToZonalDNSOnly מגדירים את האפשרות True.

הגדרת ה-DNS לפרויקטים חדשים תהיה DNS אזורי בלבד. DNS אזורי מפחית את הסיכון להפסקות שירות חוצות-אזורים ומשפר את האמינות הכוללת של הפרויקטים ב-Compute Engine.
compute.skipDefaultNetworkCreation מגדירים את האפשרות True.

השבתת היצירה של רשת ברירת מחדל והמשאבים התומכים שלה כשיוצרים פרויקט חדש.
compute.restrictNonConfidentialComputing

 (אופציונלי) הערך לא מוגדר. צריך להגדיר את הערך הזה כדי לספק הגנה נוספת לעומק. מידע נוסף זמין במאמרי העזרה בנושא Confidential VM.
compute.trustedImageProjects

 (אופציונלי) הערך לא מוגדר. צריך להגדיר את הערך הזה כדי לספק הגנה נוספת לעומק.

הגדרת הערך הזה מגבילה את אחסון התמונות ואת יצירת המופעים של הדיסקים לרשימת הפרויקטים שצוינה. הערך הזה משפיע על ריבונות הנתונים כי הוא מונע שימוש בתמונות או בסוכנים לא מורשים.

Google Cloud Armor

התכונות המושפעות של Google Cloud Armor

תכונה תיאור
כללי מדיניות אבטחה ברמה הגלובלית התכונה הזו מושבתת בגלל האילוץ compute.disableGlobalCloudArmorPolicy במדיניות הארגון.

IAM

אילוצים של מדיניות הארגון ב-IAM

אילוץ של מדיניות הארגון תיאור
iam.automaticIamGrantsForDefaultServiceAccounts מגדירים את האפשרות True.

השבתת ההקצאה האוטומטית של התפקיד הבסיסי הקודם "עריכה" (roles/editor) לחשבונות שירות שמוגדרים כברירת מחדל.

האילוץ הזה לא מונע מחשבונות שירות שמוגדרים כברירת מחדל לקבל בעתיד תפקידים בסיסיים מדור קודם. כדי למנוע את זה, אתם יכולים להגדיר את האילוץ iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts בתיקיית Assured Workloads.
iam.disableServiceAccountKeyCreation מגדירים את האפשרות True.

השבתת היצירה של מפתחות חדשים לחשבונות שירות ושל מפתחות HMAC של Cloud Storage.

אם נדרשים מפתחות לחשבונות שירות בשביל עומס העבודה, חשוב לקרוא את הדף שיטות מומלצות לניהול מפתחות לחשבונות שירות לפני שמשנים את הערך של המגבלה הזו.

שרת proxy לאימות זהויות (IAP)

התכונות שיושפעו בשרת proxy לאימות זהויות (IAP)

תכונה תיאור
שימוש ב-IAP להעברת TCP באחריותכם לא להשתמש ב-IAP להעברת TCP, כי הוא לא תואם ל-Data Boundary ל-IL5.

Knowledge Catalog

התכונות של Knowledge Catalog

תכונה תיאור
Attribute Store התכונה הזו הוצאה משימוש והושבתה.
Data Catalog התכונה הזו הוצאה משימוש והושבתה. אי אפשר לחפש במטא-נתונים או לנהל אותם ב-Data Catalog.
אגמים ואזורים התכונה הזו מושבתת. אתם לא יכולים לנהל אגמים, אזורים ומשימות.

Pub/Sub

אילוצים של מדיניות הארגון ב-Pub/Sub

אילוץ של מדיניות הארגון תיאור
pubsub.managed.disableSubscriptionMessageTransforms מגדירים את האפשרות True.‫

השבתת האפשרות להגדיר מינויים ל-Pub/Sub באמצעות טרנספורמציות של הודעות בודדות (SMT).

שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.
pubsub.managed.disableTopicMessageTransforms מגדירים את האפשרות True.

השבתת האפשרות להגדיר נושאי Pub/Sub באמצעות טרנספורמציות של הודעה אחת (SMT).

שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.

Spanner

התכונות המושפעות של Spanner

תכונה תיאור
גבולות פיצול ‫Spanner משתמש בקבוצת משנה קטנה של מפתחות ראשיים ועמודות שנוספו לאינדקס כדי להגדיר גבולות פיצול, שעשויים לכלול נתוני לקוחות ומטא-נתונים. גבול פיצול ב-Spanner מציין את המיקום שבו טווחים רציפים של שורות מפוצלים לחלקים קטנים יותר.

לצוות של Google יש גישה לגבולות הפיצול האלה למטרות תמיכה טכנית וניפוי באגים, והם לא כפופים לאפשרויות לניהול השימוש בנתונים של אדמינים ב-Assured Workloads.

אילוצים של מדיניות הארגון ב-Spanner

אילוץ של מדיניות הארגון תיאור
spanner.disableMultiRegionInstanceIfNoLocationSelected מגדירים את האפשרות True.‫

השבתת היכולת ליצור מכונות Spanner בכמה אזורים כדי לאכוף את מיקום אחסון הנתונים וריבונות הנתונים.

המרת דיבור לטקסט (STT)

התכונות המושפעות של המרת דיבור לטקסט (STT)

תכונה תיאור
מודלים בהתאמה אישית של המרת דיבור לטקסט באחריותך לא להשתמש במודלים של Custom Speech-to-Text כי הם לא תואמים ל-Data Boundary ל-IL5.

Vertex AI

אילוצים של מדיניות הארגון ב-Vertex AI

אילוץ של מדיניות הארגון תיאור
vertexai.allowOnlyIL5CompliantAPIs מגדירים את האפשרות True.

מאפשר להשתמש רק בממשקי API שתואמים ל-IL5 ב-Vertex AI API. כברירת מחדל, כל ממשקי ה-API מותרים.

המאמרים הבאים