Batas Data untuk Impact Level 5 (IL5)

Halaman ini menjelaskan kumpulan kontrol yang diterapkan pada Batas Data untuk workload IL5 di Assured Workloads. Halaman ini memberikan informasi mendetail tentang residensi data, produk Google Cloud yang didukung dan endpoint API-nya, serta pembatasan atau batasan yang berlaku pada produk tersebut. Informasi tambahan berikut berlaku untuk Batas Data untuk IL5:

  • Residensi data: Paket kontrol Batas Data untuk IL5 menetapkan kontrol lokasi data untuk mendukung region khusus AS. Untuk mengetahui informasi selengkapnya, lihat bagian Batasan kebijakan organisasi di seluruhGoogle Cloud.
  • Dukungan: Layanan dukungan teknis untuk Batas Data untuk workload IL5 tersedia dengan langganan Cloud Customer Care Enhanced atau Premium. Kasus dukungan Batas Data untuk workload IL5 diarahkan ke orang Amerika Serikat yang berada di AS. Untuk informasi selengkapnya, lihat Mendapatkan dukungan.
  • Harga: Paket kontrol Batas Data untuk IL5 disertakan dalam Paket Premium Assured Workloads, yang dikenai biaya tambahan sebesar 20%. Untuk mengetahui informasi selengkapnya, lihat Harga Assured Workloads.

Prasyarat

Agar tetap mematuhi persyaratan sebagai pengguna paket kontrol Batas Data untuk IL5, pastikan Anda memenuhi dan mematuhi prasyarat berikut:

  • Buat folder Data Boundary for IL5 menggunakan Assured Workloads dan deploy workload IL5 Anda hanya di folder tersebut.
  • Hanya aktifkan dan gunakan layanan dalam cakupan untuk Data Boundary untuk workload IL5.
  • Jangan gunakan server MCP Google Cloud kecuali jika dinyatakan lain. Batasan Data untuk IL5 tidak menyediakan kontrol residensi data untuk data yang sedang digunakan dan data dalam pengiriman dengan server MCP Google Cloud. Untuk memblokir akses server MCP Google Cloud yang tidak diinginkan, lihat halaman Mengontrol penggunaan server MCP Google Cloud dengan IAM.
  • Jangan ubah nilai batasan kebijakan organisasi default kecuali jika Anda memahami dan bersedia menerima risiko residensi data yang mungkin terjadi.
  • Untuk semua layanan yang digunakan dalam folder Batas Data untuk IL5, jangan simpan data teknis dalam jenis informasi konfigurasi keamanan atau yang ditentukan pengguna berikut:
    • Pesan error
    • Output konsol
    • Data atribut
    • Data konfigurasi layanan
    • Header paket jaringan
    • ID resource
    • Label data
  • Pertimbangkan untuk menerapkan praktik terbaik keamanan umum yang disediakan di pusat praktik terbaik keamananGoogle Cloud .
  • Tinjau halaman Otorisasi Sementara Departemen Pertahanan (DoD) Amerika Serikat untuk mengetahui informasi tambahan tentang cara men-deploy workload IL5 di Google Cloud.
  • Saat mengakses konsol Google Cloud , Anda memiliki opsi untuk menggunakan konsol Google Cloud Yurisdiksi. Anda tidak diwajibkan menggunakan konsol Google Cloud Yurisdiksi untuk Batas Data untuk IL5. URL ini dapat diakses di salah satu URL berikut:

Produk dan endpoint API yang didukung

Kecuali jika dinyatakan lain, pengguna dapat mengakses semua produk yang didukung melalui konsol Google Cloud . Pembatasan atau batasan yang memengaruhi fitur produk yang didukung, termasuk yang diterapkan melalui setelan batasan kebijakan organisasi, tercantum dalam tabel berikut.

Jika produk tidak tercantum, berarti produk tersebut tidak didukung dan belum memenuhi persyaratan kontrol untuk Batas Data untuk IL5. Produk yang tidak didukung tidak direkomendasikan untuk digunakan tanpa uji tuntas dan pemahaman menyeluruh tentang tanggung jawab Anda dalam model tanggung jawab bersama. Sebelum menggunakan produk yang tidak didukung, pastikan Anda mengetahui dan bersedia menerima risiko terkait yang terlibat, seperti dampak negatif terhadap residensi data atau kedaulatan data. Selain itu, tinjau penggunaan produk yang tidak didukung dengan agensi yang memberikan otorisasi sebelum menerima risiko.

Produk yang didukung endpoint API Pembatasan atau batasan
Access Context Manager accesscontextmanager.googleapis.com
 Tidak ada
AlloyDB untuk PostgreSQL alloydb.googleapis.com
 Tidak ada
Artifact Registry artifactregistry.googleapis.com
 Tidak ada
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerymigration.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 Fitur yang terpengaruh dan batasan kebijakan organisasi
Certificate Authority Service privateca.googleapis.com
 Tidak ada
Cloud Build cloudbuild.googleapis.com
 Tidak ada
Cloud DNS dns.googleapis.com
 Tidak ada
Cloud Data Fusion datafusion.googleapis.com
 Tidak ada
Cloud External Key Manager (Cloud EKM) cloudkms.googleapis.com
 Tidak ada
Cloud HSM cloudkms.googleapis.com
 Tidak ada
Cloud Identity cloudidentity.googleapis.com
 Tidak ada
Cloud Interconnect compute.googleapis.com
 Tidak ada
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 Batasan kebijakan organisasi.
Cloud Logging logging.googleapis.com
 Fitur yang terpengaruh
Cloud Monitoring monitoring.googleapis.com
 Tidak ada
Cloud NAT compute.googleapis.com
 Tidak ada
Cloud Router compute.googleapis.com
 Tidak ada
Cloud Run run.googleapis.com
 Fitur yang terpengaruh
Cloud SQL sqladmin.googleapis.com
 Batasan kebijakan organisasi.
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
trafficdirector.googleapis.com
 Tidak ada
Cloud Storage storage.googleapis.com
 Batasan kebijakan organisasi.
Cloud Tasks cloudtasks.googleapis.com
 Tidak ada
Cloud VPN compute.googleapis.com
 Fitur yang terpengaruh
Cloud Vision API us-vision.googleapis.com
 Fitur yang terpengaruh
Cloud Workstations workstations.googleapis.com
 Fitur yang terpengaruh
Compute Engine compute.googleapis.com
 Fitur yang terpengaruh dan batasan kebijakan organisasi
Agen Connect Google Kubernetes Engine (GKE) gkeconnect.googleapis.com
 Tidak ada
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 Tidak ada
Eventarc eventarc.googleapis.com
 Tidak ada
Load Balancer Jaringan passthrough eksternal compute.googleapis.com
 Tidak ada
Filestore file.googleapis.com
 Tidak ada
Hub Google Kubernetes Engine (GKE) gkehub.googleapis.com
 Tidak ada
Identity Service Google Kubernetes Engine (GKE) anthosidentityservice.googleapis.com
 Tidak ada
AI Generatif di Vertex AI aiplatform.googleapis.com
 Batasan kebijakan organisasi.
Google Cloud Armor compute.googleapis.com
 Fitur yang terpengaruh
Google Kubernetes Engine (GKE) container.googleapis.com
containersecurity.googleapis.com
 Tidak ada
Google Security Operations SIEM chronicle.googleapis.com
chronicleservicemanager.googleapis.com
 Tidak ada
Google Security Operations SOAR Not applicable
 Tidak ada
Konsol Google Admin Not applicable
 Tidak ada
Identity and Access Management (IAM) iam.googleapis.com
 Batasan kebijakan organisasi.
Identity-Aware Proxy (IAP) iap.googleapis.com
 Fitur yang terpengaruh
Load Balancer Jaringan passthrough internal compute.googleapis.com
 Tidak ada
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 Fitur yang terpengaruh
Managed Service untuk Apache Airflow composer.googleapis.com
 Tidak ada
Managed Service untuk Apache Spark dataproc.googleapis.com
dataproc-control.googleapis.com
 Tidak ada
Memorystore for Redis redis.googleapis.com
 Tidak ada
Network Connectivity Center networkconnectivity.googleapis.com
 Tidak ada
Persistent Disk compute.googleapis.com
 Tidak ada
Pub/Sub pubsub.googleapis.com
 Batasan kebijakan organisasi.
Load Balancer Aplikasi eksternal regional compute.googleapis.com
 Tidak ada
Load Balancer Jaringan proxy eksternal regional compute.googleapis.com
 Tidak ada
Load Balancer Aplikasi internal regional compute.googleapis.com
 Tidak ada
Load Balancer Jaringan proxy internal regional compute.googleapis.com
 Tidak ada
Secret Manager secretmanager.googleapis.com
 Tidak ada
Sensitive Data Protection dlp.googleapis.com
 Tidak ada
Spanner spanner.googleapis.com
 Fitur yang terpengaruh dan batasan kebijakan organisasi
Speech-to-Text speech.googleapis.com
 Fitur yang terpengaruh
Kontrol Layanan VPC accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 Tidak ada
Prediksi batch Vertex AI aiplatform.googleapis.com
 Batasan kebijakan organisasi.
Vertex AI Model Monitoring aiplatform.googleapis.com
 Batasan kebijakan organisasi.
Vertex AI Model Registry aiplatform.googleapis.com
 Batasan kebijakan organisasi.
Vertex AI Online Prediction aiplatform.googleapis.com
 Batasan kebijakan organisasi.
Vertex AI Pipelines aiplatform.googleapis.com
 Tidak ada
Vertex AI Training aiplatform.googleapis.com
 Batasan kebijakan organisasi.
Virtual Private Cloud (VPC) compute.googleapis.com
 Tidak ada

Batas dan pembatasan

Bagian berikut menjelaskan batasan atau pembatasan khusus produk atau di seluruh Google Cloud untuk fitur, termasuk batasan kebijakan organisasi yang ditetapkan secara default di Batas Data untuk folder IL5. Batasan kebijakan organisasi lain yang berlaku—meskipun tidak ditetapkan secara default—dapat memberikan defense in depth tambahan untuk lebih melindungi resource Google Cloud organisasi Anda.

Google Cloud-wide

Fitur yang terpengaruh di seluruh Google Cloud

Fitur Deskripsi
KonsolGoogle Cloud Untuk mengakses konsol Google Cloud saat menggunakan paket kontrol Batas Data untuk IL5, Anda memiliki opsi untuk menggunakan konsol Google Cloud Yurisdiksi. Konsol Google Cloud Yurisdiksi tidak diperlukan untuk Batas Data untuk IL5, dan dapat diakses menggunakan salah satu URL berikut:

Batasan kebijakan organisasi di seluruhGoogle Cloud

Batasan kebijakan organisasi berikut berlaku di seluruh Google Cloud.

Batasan kebijakan organisasi Deskripsi
gcp.resourceLocations Tetapkan ke lokasi berikut dalam daftar allowedValues:
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
Nilai ini membatasi pembuatan resource baru ke nilai yang dipilih. Jika ditetapkan, tidak ada resource yang dapat dibuat di region, multi-region, atau lokasi lain di luar pilihan. Lihat Layanan yang didukung lokasi resource untuk mengetahui daftar resource yang dapat dibatasi oleh batasan kebijakan organisasi Lokasi Resource, karena beberapa resource mungkin berada di luar cakupan dan tidak dapat dibatasi.

Mengubah nilai ini dengan membuatnya kurang ketat berpotensi merusak residensi data dengan memungkinkan data dibuat atau disimpan di luar batas data yang mematuhi kebijakan.
gcp.restrictCmekCryptoKeyProjects Tetapkan ke under:organizations/your-organization-name, yang merupakan organisasi Assured Workloads Anda. Anda dapat membatasi nilai ini lebih lanjut dengan menentukan project atau folder.

Membatasi cakupan folder atau project yang disetujui yang dapat menyediakan kunci Cloud KMS untuk mengenkripsi data dalam penyimpanan menggunakan CMEK. Batasan ini mencegah folder atau project yang tidak disetujui menyediakan kunci enkripsi, sehingga membantu menjamin kedaulatan data untuk data dalam penyimpanan layanan yang tercakup.
gcp.restrictNonCmekServices Tetapkan ke daftar semua nama layanan API yang tercakup, termasuk:
  • aiplatform.googleapis.com
  • alloydb.googleapis.com
  • apigee.googleapis.com
  • artifactregistry.googleapis.com
  • backupdr.googleapis.com
  • bigquery.googleapis.com
  • bigquerydatatransfer.googleapis.com
  • bigtable.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudtasks.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • contactcenterinsights.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • dataform.googleapis.com
  • datafusion.googleapis.com
  • dataplex.googleapis.com
  • dataproc.googleapis.com
  • dialogflow.googleapis.com
  • discoveryengine.googleapis.com
  • documentai.googleapis.com
  • eventarc.googleapis.com
  • file.googleapis.com
  • firestore.googleapis.com
  • gkebackup.googleapis.com
  • integrations.googleapis.com
  • logging.googleapis.com
  • looker.googleapis.com
  • lustre.googleapis.com
  • memorystore.googleapis.com
  • netapp.googleapis.com
  • notebooks.googleapis.com
  • observability.googleapis.com
  • pubsub.googleapis.com
  • redis.googleapis.com
  • run.googleapis.com
  • secretmanager.googleapis.com
  • securesourcemanager.googleapis.com
  • securitycenter.googleapis.com
  • spanner.googleapis.com
  • speech.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
  • storagetransfer.googleapis.com
  • tpu.googleapis.com
  • workstations.googleapis.com
Beberapa fitur mungkin terpengaruh untuk setiap layanan yang tercantum di atas.

Setiap layanan yang tercantum memerlukan Kunci enkripsi yang dikelola pelanggan (CMEK). CMEK mengenkripsi data dalam penyimpanan dengan kunci yang Anda kelola, bukan mekanisme enkripsi default Google.

Mengubah nilai ini dengan menghapus satu atau beberapa layanan dalam cakupan dari daftar dapat merusak kedaulatan data, karena data dalam penyimpanan yang baru akan otomatis dienkripsi menggunakan kunci Google sendiri, bukan kunci Anda. Data dalam penyimpanan yang ada akan tetap dienkripsi oleh kunci yang Anda berikan.
gcp.restrictServiceUsage Tetapkan untuk mengizinkan semua produk dan endpoint API yang didukung.

Menentukan layanan yang dapat digunakan dengan membatasi akses runtime ke resource-nya. Untuk mengetahui informasi selengkapnya, lihat Membatasi penggunaan resource.
gcp.restrictTLSVersion Tetapkan untuk menolak versi TLS berikut:
  • TLS_1_0
  • TLS_1_1
Untuk mengetahui informasi selengkapnya, lihat Membatasi versi TLS.

BigQuery

Fitur BigQuery yang terpengaruh

Fitur Deskripsi
Mengaktifkan BigQuery di folder baru BigQuery didukung, tetapi tidak diaktifkan secara otomatis saat Anda membuat folder Assured Workloads baru karena proses konfigurasi internal. Proses ini biasanya selesai dalam sepuluh menit, tetapi dapat memerlukan waktu lebih lama dalam beberapa situasi. Untuk memeriksa apakah prosesnya sudah selesai dan untuk mengaktifkan BigQuery, selesaikan langkah-langkah berikut:
  1. Di konsol Google Cloud , buka halaman Assured Workloads.

    Buka Assured Workloads

  2. Pilih folder Assured Workloads baru Anda dari daftar.
  3. Di halaman Folder Details di bagian Allowed services, klik Review Available Updates.
  4. Di panel Allowed services, tinjau layanan yang akan ditambahkan ke kebijakan organisasi Resource Usage Restriction untuk folder tersebut. Jika layanan BigQuery tercantum, klik Allow Services untuk menambahkannya.

    Jika layanan BigQuery tidak tercantum, tunggu hingga proses internal selesai. Jika layanan tidak tercantum dalam waktu 12 jam setelah pembuatan folder, hubungi Cloud Customer Care.

Setelah proses pengaktifan selesai, Anda dapat menggunakan BigQuery di folder Assured Workloads.

Gemini in BigQuery tidak didukung oleh Assured Workloads.
BigQuery API yang Sesuai BigQuery API berikut mematuhi IL5:
Region BigQuery mematuhi IL5 untuk semua region BigQuery AS, kecuali multi-region AS. Kepatuhan IL5 tidak dapat dijamin jika set data dibuat di multi-region AS, region non-AS, atau multi-region non-AS. Anda bertanggung jawab untuk menentukan region yang mematuhi IL5 saat membuat set data BigQuery.
Kueri pada set data IL5 dari project non-IL5 BigQuery tidak mencegah set data IL5 dikueri dari project non-IL5. Pastikan setiap kueri yang menggunakan operasi baca atau gabungan pada data teknis IL5 berada dalam folder yang mematuhi IL5.
Koneksi ke sumber data eksternal Tanggung jawab kepatuhan Google terbatas pada kemampuan BigQuery Connection API. Anda bertanggung jawab untuk memastikan kepatuhan produk sumber yang digunakan dengan BigQuery Connection API.
Fitur yang tidak didukung Fitur BigQuery berikut tidak didukung dan tidak boleh digunakan di BigQuery CLI. Anda bertanggung jawab untuk tidak menggunakannya di BigQuery untuk Assured Workloads.
BigQuery CLI BigQuery CLI didukung.

Google Cloud SDK Anda harus menggunakan Google Cloud SDK versi 403.0.0 atau yang lebih baru untuk mempertahankan jaminan regionalisasi data untuk data teknis. Untuk memverifikasi versi Google Cloud SDK Anda saat ini, jalankan gcloud --version, lalu gcloud components update untuk mengupdate ke versi terbaru.
Kontrol administrator BigQuery akan menonaktifkan API yang tidak didukung, tetapi administrator dengan izin yang memadai untuk membuat folder Assured Workloads dapat mengaktifkan API yang tidak didukung. Jika hal ini terjadi, Anda akan diberi tahu tentang potensi ketidakpatuhan melalui dasbor pemantauan Assured Workloads.
Memuat data Konektor BigQuery Data Transfer Service untuk aplikasi Software as a Service (SaaS) Google, penyedia penyimpanan cloud eksternal, dan data warehouse tidak didukung. Anda bertanggung jawab untuk tidak menggunakan konektor BigQuery Data Transfer Service untuk Batas Data bagi workload IL5.
Transfer pihak ketiga BigQuery tidak memverifikasi dukungan untuk transfer pihak ketiga untuk BigQuery Data Transfer Service. Anda bertanggung jawab untuk memverifikasi dukungan saat menggunakan transfer pihak ketiga untuk BigQuery Data Transfer Service.
Model BQML yang tidak mematuhi kebijakan Model BQML yang dilatih secara eksternal tidak didukung.
Tugas kueri Tugas kueri hanya boleh dibuat dalam folder Assured Workloads.
Kueri pada set data di project lain BigQuery tidak mencegah set data Assured Workloads dikueri dari project non-Assured Workloads. Anda harus memastikan bahwa setiap kueri yang memiliki pembacaan atau penggabungan pada data Assured Workloads ditempatkan di folder Assured Workloads. Anda dapat menentukan nama tabel yang sepenuhnya memenuhi syarat untuk hasil kueri menggunakan projectname.dataset.table di BigQuery CLI.
Cloud Logging BigQuery menggunakan Cloud Logging untuk beberapa data log Anda. Anda harus menonaktifkan bucket logging _default atau membatasi bucket _default ke region yang tercakup untuk mempertahankan kepatuhan menggunakan perintah berikut:

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

Untuk mengetahui informasi selengkapnya, lihat Regionalisasi log Anda.

Cloud Interconnect

Fitur Cloud Interconnect yang terpengaruh

Fitur Deskripsi
VPN ketersediaan tinggi (HA) Anda harus mengaktifkan fungsi VPN dengan ketersediaan tinggi (HA) saat menggunakan Cloud Interconnect dengan Cloud VPN. Selain itu, Anda harus mematuhi persyaratan enkripsi dan regionalisasi yang tercantum di bagian Fitur Cloud VPN yang terpengaruh.

Cloud KMS

Batasan kebijakan organisasi Cloud KMS

Batasan kebijakan organisasi Deskripsi
cloudkms.allowedProtectionLevels Tetapkan untuk mengizinkan pembuatan CryptoKey Cloud Key Management Service dengan tingkat perlindungan berikut:
  • SOFTWARE
  • HSM
  • EXTERNAL
  • EXTERNAL_VPC
Lihat Tingkat perlindungan untuk mengetahui informasi selengkapnya.

Cloud Logging

Fitur Cloud Logging yang terpengaruh

Fitur Deskripsi
Sink log Filter tidak boleh berisi Data Pelanggan.

Sink log menyertakan filter yang disimpan sebagai konfigurasi. Jangan membuat filter yang berisi Data Pelanggan.
Entri log live tailing Filter tidak boleh berisi Data Pelanggan.

Sesi live tailing menyertakan filter yang disimpan sebagai konfigurasi. Tailing log tidak menyimpan data entri log apa pun, tetapi dapat mengkueri dan mengirimkan data di seluruh region. Jangan membuat filter yang berisi Data Pelanggan.
Kebijakan pemberitahuan berbasis SQL Fitur ini dinonaktifkan.

Anda tidak dapat menggunakan fitur kebijakan pemberitahuan berbasis SQL.

Cloud Monitoring

Fitur Cloud Monitoring yang terpengaruh

Fitur Deskripsi
Monitor Sintetis Fitur ini dinonaktifkan.
Cek uptime Fitur ini dinonaktifkan.

Cloud Run

Fitur Cloud Run yang terpengaruh

Fitur Deskripsi
Fitur yang tidak didukung Fitur Cloud Run berikut tidak didukung:

Cloud SQL

Batasan kebijakan organisasi Cloud SQL

Batasan kebijakan organisasi Deskripsi
sql.restrictNoncompliantDiagnosticDataAccess Tetapkan ke True.

Menerapkan kontrol kedaulatan data dan dukungan tambahan ke resource Cloud SQL.

Mengubah nilai ini dapat memengaruhi residensi data atau kedaulatan data workload Anda.
sql.restrictNoncompliantResourceCreation Tetapkan ke True.

Menerapkan kontrol kedaulatan data tambahan untuk mencegah pembuatan resource Cloud SQL yang tidak mematuhi kebijakan.

Mengubah nilai ini dapat memengaruhi residensi data atau kedaulatan data workload Anda.

Cloud Storage

Batasan kebijakan organisasi Cloud Storage

Batasan kebijakan organisasi Deskripsi
storage.publicAccessPrevention Tetapkan ke True.

Akses publik dibatasi untuk semua bucket dan objek, baik yang baru maupun yang sudah ada, di folder Assured Workloads.

Cloud Vision API

Fitur Cloud Vision API yang terpengaruh

Fitur Deskripsi
Endpoint Cloud Vision API yang mematuhi IL5 Anda bertanggung jawab untuk hanya menggunakan endpoint API region AS (us-vision.googleapis.com) untuk Cloud Vision API. Endpoint global (vision.googleapis.com) tidak mematuhi IL5 dan penggunaannya dapat mengganggu residensi data workload Anda.

Cloud VPN

Fitur Cloud VPN yang terpengaruh

Fitur Deskripsi
Endpoint VPN Anda hanya boleh menggunakan endpoint Cloud VPN yang berada di region yang tercakup. Pastikan gateway VPN Anda dikonfigurasi untuk digunakan hanya di region yang tercakup.

Cloud Workstations

Fitur Cloud Workstations yang terpengaruh

Fitur Deskripsi
Membuat cluster workstation

Saat membuat cluster workstation, Anda bertanggung jawab untuk mengonfigurasinya dengan cara berikut untuk memastikan residensi data:

Compute Engine

Fitur Compute Engine yang terpengaruh

Fitur Deskripsi
Menangguhkan dan melanjutkan instance VM Fitur ini dinonaktifkan.

Menangguhkan dan melanjutkan instance VM memerlukan penyimpanan persistent disk, dan penyimpanan persistent disk yang digunakan untuk menyimpan status VM yang ditangguhkan saat ini tidak dapat dienkripsi menggunakan CMEK. Lihat batasan kebijakan organisasi gcp.restrictNonCmekServices di bagian di atas untuk memahami implikasi kedaulatan data dan residensi data dari pengaktifan fitur ini.
SSD lokal Fitur ini dinonaktifkan.

Anda tidak akan dapat membuat instance dengan SSD Lokal karena SSD Lokal tidak dapat dienkripsi menggunakan CMEK. Lihat batasan kebijakan organisasi gcp.restrictNonCmekServices di bagian di atas untuk memahami implikasi kedaulatan data dan residensi data dari pengaktifan fitur ini.
Menambahkan grup instance ke load balancer global Anda tidak dapat menambahkan grup instance ke load balancer global.

Fitur ini dinonaktifkan oleh batasan kebijakan organisasi compute.disableGlobalLoadBalancing.
Lingkungan tamu Skrip, daemon, dan biner yang disertakan dengan lingkungan tamu dapat mengakses data dalam penyimpanan dan dalam penggunaan yang tidak dienkripsi. Bergantung pada konfigurasi VM Anda, update pada software ini mungkin diinstal secara default. Lihat Lingkungan tamu untuk mengetahui informasi spesifik tentang konten, kode sumber, dan lainnya dari setiap paket.

Komponen ini membantu Anda memenuhi kedaulatan data melalui kontrol dan proses keamanan internal. Namun, jika menginginkan kontrol tambahan, Anda juga dapat mengumpulkan image atau agen Anda sendiri dan secara opsional menggunakan batasan kebijakan organisasi compute.trustedImageProjects.

Untuk mengetahui informasi selengkapnya, lihat Membangun image kustom.
Kebijakan OS di VM Manager Skrip inline dan file output biner dalam file kebijakan OS tidak dienkripsi menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Jangan sertakan informasi sensitif apa pun dalam file ini. Pertimbangkan untuk menyimpan skrip dan file output ini di bucket Cloud Storage. Untuk mengetahui informasi selengkapnya, lihat Contoh kebijakan OS.

Jika Anda ingin membatasi pembuatan atau modifikasi resource kebijakan OS yang menggunakan skrip inline atau file output biner, aktifkan batasan kebijakan organisasi constraints/osconfig.restrictInlineScriptAndOutputFileUsage.

Untuk mengetahui informasi selengkapnya, lihat Batasan untuk OS Config.
instances.getSerialPortOutput() API ini dinonaktifkan. Anda tidak akan bisa mendapatkan output port serial dari instance yang ditentukan menggunakan API ini.

Ubah nilai batasan kebijakan organisasi compute.disableInstanceDataAccessApis menjadi False untuk mengaktifkan API ini. Anda juga dapat mengaktifkan dan menggunakan port serial interaktif dengan mengikuti petunjuk di bagian Mengaktifkan akses untuk project.
instances.getScreenshot() API ini dinonaktifkan. Anda tidak akan bisa mendapatkan screenshot dari instance yang ditentukan menggunakan API ini.

Ubah nilai batasan kebijakan organisasi compute.disableInstanceDataAccessApis menjadi False untuk mengaktifkan API ini. Anda juga dapat mengaktifkan dan menggunakan port serial interaktif dengan mengikuti petunjuk di bagian Mengaktifkan akses untuk project.

Batasan kebijakan organisasi Compute Engine

Batasan kebijakan organisasi Deskripsi
compute.disableGlobalCloudArmorPolicy Tetapkan ke True.

Menonaktifkan pembuatan kebijakan keamanan Google Cloud Armor global baru serta penambahan atau modifikasi aturan pada kebijakan keamanan Google Cloud Armor global yang ada. Batasan ini tidak membatasi penghapusan aturan atau kemampuan untuk menghapus atau mengubah deskripsi dan listingan kebijakan keamanan Google Cloud Armor global. Kebijakan keamanan Google Cloud Armor regional tidak terpengaruh oleh batasan ini. Semua kebijakan keamanan global dan regional yang ada sebelum penerapan batasan ini tetap berlaku.
compute.disableGlobalLoadBalancing Tetapkan ke True.

Menonaktifkan pembuatan produk load balancing global.

Mengubah nilai ini dapat memengaruhi residensi data atau kedaulatan data workload Anda.
compute.disableInstanceDataAccessApis Tetapkan ke True.

Menonaktifkan API instances.getSerialPortOutput() dan instances.getScreenshot() secara global.

Mengaktifkan batasan ini akan mencegah Anda membuat kredensial di VM Windows Server.

Jika Anda perlu mengelola nama pengguna dan sandi di VM Windows, lakukan hal berikut:
  1. Mengaktifkan SSH untuk VM Windows.
  2. Jalankan perintah berikut untuk mengubah sandi VM: 
      gcloud compute ssh
  VM_NAME --command "net user USERNAME PASSWORD"
    Ganti kode berikut:
    • VM_NAME: Nama VM yang sandinya Anda tetapkan.
    • USERNAME: Nama pengguna yang sandinya Anda tetapkan.
    • PASSWORD: Sandi baru.
compute.setNewProjectDefaultToZonalDNSOnly Tetapkan ke True.

Menetapkan setelan DNS untuk project baru ke DNS zona saja. DNS Zona mengurangi risiko pemadaman layanan lintas-regional dan meningkatkan keandalan keseluruhan project Anda di Compute Engine.
compute.skipDefaultNetworkCreation Tetapkan ke True.

Menonaktifkan pembuatan jaringan default dan resource pendukungnya saat project baru dibuat.
compute.restrictNonConfidentialComputing

 (Opsional) Nilai tidak ditetapkan. Tetapkan nilai ini untuk memberikan defense-in-depth tambahan. Untuk mengetahui informasi selengkapnya, lihat dokumentasi Confidential VM.
compute.trustedImageProjects

 (Opsional) Nilai tidak ditetapkan. Tetapkan nilai ini untuk memberikan defense-in-depth tambahan.

Menetapkan nilai ini akan membatasi penyimpanan image dan pembuatan instance disk ke daftar project yang ditentukan. Nilai ini memengaruhi kedaulatan data dengan mencegah penggunaan image atau agen yang tidak sah.

Google Cloud Armor

Fitur Google Cloud Armor yang terpengaruh

Fitur Deskripsi
Kebijakan keamanan dengan lingkup global Fitur ini dinonaktifkan oleh batasan kebijakan organisasi compute.disableGlobalCloudArmorPolicy.

IAM

Batasan kebijakan organisasi IAM

Batasan kebijakan organisasi Deskripsi
iam.automaticIamGrantsForDefaultServiceAccounts Tetapkan ke True.

Menonaktifkan pemberian peran dasar lama Editor (roles/editor) secara otomatis ke akun layanan default.

Batasan ini tidak mencegah akun layanan default diberi peran dasar lama di masa mendatang. Untuk mencegah perilaku ini, Anda dapat menetapkan batasan iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts di folder Assured Workloads.
iam.disableServiceAccountKeyCreation Tetapkan ke True.

Menonaktifkan pembuatan kunci akun layanan baru dan kunci HMAC Cloud Storage.

Jika kunci akun layanan diperlukan untuk workload Anda, pastikan Anda telah membaca halaman Praktik terbaik untuk mengelola kunci akun layanan sebelum mengubah nilai batasan ini.

Identity-Aware Proxy

Fitur Identity-Aware Proxy yang terpengaruh

Fitur Deskripsi
Menggunakan IAP untuk penerusan TCP Anda bertanggung jawab untuk tidak menggunakan IAP untuk penerusan TCP karena tidak mematuhi Batas Data untuk IL5.

Knowledge Catalog

Fitur Knowledge Catalog

Fitur Deskripsi
Attribute Store Fitur ini tidak digunakan lagi dan dinonaktifkan.
Data Catalog Fitur ini tidak digunakan lagi dan dinonaktifkan. Anda tidak dapat menelusuri atau mengelola metadata di Data Catalog.
Lake dan Zona Fitur ini dinonaktifkan. Anda tidak dapat mengelola data lake, zona, dan tugas.

Pub/Sub

Batasan kebijakan organisasi Pub/Sub

Batasan kebijakan organisasi Deskripsi
pubsub.managed.disableSubscriptionMessageTransforms Tetapkan ke True.

Menonaktifkan langganan Pub/Sub agar tidak ditetapkan dengan Transformasi Pesan Tunggal (SMT).

Mengubah nilai ini dapat memengaruhi residensi data atau kedaulatan data workload Anda.
pubsub.managed.disableTopicMessageTransforms Tetapkan ke True.

Menonaktifkan topik Pub/Sub agar tidak ditetapkan dengan Transformasi Satu Pesan (SMT).

Mengubah nilai ini dapat memengaruhi residensi data atau kedaulatan data workload Anda.

Spanner

Fitur Spanner yang terpengaruh

Fitur Deskripsi
Batas bagian Spanner menggunakan subset kecil kunci utama dan kolom yang diindeks untuk menentukan batas bagian, yang dapat mencakup data dan metadata pelanggan. Batas bagian di Spanner menunjukkan lokasi tempat rentang baris yang berdekatan dibagi menjadi bagian-bagian yang lebih kecil.

Batas bagian ini dapat diakses oleh personel Google untuk tujuan dukungan teknis dan proses debug, serta tidak tunduk pada kontrol data akses administratif di Assured Workloads.

Batasan kebijakan organisasi Spanner

Batasan kebijakan organisasi Deskripsi
spanner.disableMultiRegionInstanceIfNoLocationSelected Tetapkan ke True.

Menonaktifkan kemampuan untuk membuat instance Spanner multi-region guna menerapkan residensi data dan kedaulatan data.

Speech-to-Text

Fitur Speech-to-Text yang terpengaruh

Fitur Deskripsi
Model Speech-to-Text kustom Anda bertanggung jawab untuk tidak menggunakan model Speech-to-Text Kustom karena model tersebut tidak mematuhi Batas Data untuk IL5.

Vertex AI

Batasan kebijakan organisasi Vertex AI

Batasan kebijakan organisasi Deskripsi
vertexai.allowOnlyIL5CompliantAPIs Tetapkan ke True.

Hanya mengizinkan API yang mematuhi IL5 untuk digunakan di Vertex AI API. Secara default, semua API diizinkan.

Langkah berikutnya