Confine per i dati per Impact Level 5 (IL5)

Importante: prima di seguire le indicazioni riportate in questa pagina, ti consigliamo di richiedere una consulenza legale indipendente in merito alle tue responsabilità ai sensi del Data Boundary per IL5. Nulla di quanto contenuto in questo documento è inteso a fornire una consulenza legale o deve essere utilizzato in sostituzione di una consulenza legale.

Questa pagina descrive l'insieme di controlli applicati al confine dei dati per i workload IL5 in Assured Workloads. Fornisce informazioni dettagliate sulla residenza dei dati, sui prodotti Google Cloud supportati e sui relativi endpoint API, nonché su eventuali restrizioni o limitazioni applicabili a questi prodotti. Le seguenti informazioni aggiuntive si applicano al Confine per i dati per IL5:

• Residenza dei dati: il pacchetto di controlli Data Boundary for IL5 imposta i controlli della località dei dati in modo da supportare le regioni solo degli Stati Uniti. Per saperne di più, consulta la sezione Vincoli delle policy dell'organizzazione a livello diGoogle Cloud.
• Assistenza: i servizi di assistenza tecnica per Data Boundary per i workload IL5 sono disponibili con gli abbonamenti all'assistenza clienti Google Cloud Avanzata o Premium. Le richieste di assistenza per i workload con confine dei dati per IL5 vengono indirizzate a soggetti statunitensi che si trovano negli Stati Uniti. Per saperne di più, consulta Richiedere assistenza.
• Prezzi: il pacchetto di controlli Data Boundary for IL5 è incluso nel livello Premium di Assured Workloads, che comporta un addebito aggiuntivo del 20%. Per ulteriori informazioni, consulta i prezzi di Assured Workloads.

Prerequisiti

Per mantenere la conformità come utente del pacchetto di controlli Data Boundary for IL5, verifica di soddisfare e rispettare i seguenti prerequisiti:

• Crea un confine dei dati per la cartella IL5 utilizzando Assured Workloads ed esegui il deployment dei workload IL5 solo in quella cartella.
• Attiva e utilizza solo i servizi inclusi nell'ambito per Data Boundary per i workload IL5.
• Non utilizzare i server MCP di Google Cloud, se non diversamente specificato. Il confine dei dati per IL5 non fornisce controlli di residenza dei dati per i dati in uso e in transito con i server MCP di Google Cloud. Per bloccare l'accesso indesiderato ai server MCP di Google Cloud, consulta la pagina Controlla l'utilizzo dei server MCP di Google Cloud con IAM.
• Non modificare i valori predefiniti dei vincoli delle policy dell'organizzazione, a meno che tu non comprenda e non sia disposto ad accettare i rischi relativi alla residenza dei dati che potrebbero verificarsi.
• Per tutti i servizi utilizzati in una cartella Data Boundary for IL5, non archiviare dati tecnici nei seguenti tipi di informazioni di configurazione della sicurezza o definite dall'utente:
  • Messaggi di errore
  • Output console
  • Dati degli attributi
  • Dati di configurazione del servizio
  • Intestazioni dei pacchetti di rete
  • Identificatori di risorse
  • Etichette dati
• Valuta la possibilità di adottare le best practice generali per la sicurezza fornite nel Centro best practice per la sicurezza diGoogle Cloud .
• Consulta la pagina Autorizzazione provvisoria del Dipartimento della Difesa (DoD) degli Stati Uniti per ulteriori informazioni sul deployment dei workload IL5 inGoogle Cloud.
• Quando accedi alla console Google Cloud , hai la possibilità di utilizzare la console Google Cloud giurisdizionale. Non è necessario utilizzare la console Google Cloud giurisdizionale per il confine dei dati per IL5. È possibile accedervi tramite uno dei seguenti URL:
  • console.us.cloud.google.com
  • console.us.cloud.google per gli utenti con identità federata

Prodotti ed endpoint API supportati

Se non diversamente specificato, gli utenti possono accedere a tutti i prodotti supportati tramite la console Google Cloud . Le restrizioni o le limitazioni che influiscono sulle funzionalità di un prodotto supportato, incluse quelle applicate tramite le impostazioni dei vincoli delle policy dell'organizzazione, sono elencate nella tabella seguente.

Se un prodotto non è elencato, significa che non è supportato e non ha soddisfatto i requisiti di controllo per il confine dei dati per IL5. L'utilizzo dei prodotti non supportati non è consigliato senza la dovuta diligenza e una conoscenza approfondita delle tue responsabilità nel modello di responsabilità condivisa. Prima di utilizzare un prodotto non supportato, assicurati di essere a conoscenza e di accettare tutti i rischi associati, come gli impatti negativi sulla residenza dei dati o sulla sovranità dei dati. Inoltre, prima di accettare il rischio, esamina con l'agenzia autorizzante l'utilizzo di un prodotto non supportato.

Nota: i prodotti non supportati possono condividere un endpoint del servizio API con i prodotti supportati, rendendoli disponibili a tutti gli utenti.

Importante: i server MCP di Google Cloud non sono supportati per i prodotti Data Boundary for IL5, se non diversamente specificato. Data Boundary per IL5 non fornisce controlli di residenza dei dati per i dati in uso e in transito con i server MCP di Google Cloud. È tua responsabilità assicurarti che gli endpoint dei server MCP di Google Cloud non vengano utilizzati con prodotti Data Boundary per IL5. Per bloccare l'accesso indesiderato ai server MCP di Google Cloud, consulta la pagina Controlla l'utilizzo dei server MCP di Google Cloud con IAM.

Prodotto supportato	Endpoint API	Restrizioni o limitazioni
Gestore contesto accesso	accesscontextmanager.googleapis.com	Nessuno
AlloyDB per PostgreSQL	alloydb.googleapis.com	Nessuno
Artifact Registry	artifactregistry.googleapis.com	Nessuno
BigQuery	bigquery.googleapis.com bigqueryconnection.googleapis.com bigquerydatapolicy.googleapis.com bigquerymigration.googleapis.com bigqueryreservation.googleapis.com bigquerystorage.googleapis.com	Funzionalità interessate e vincoli delle policy dell'organizzazione
Certificate Authority Service	privateca.googleapis.com	Nessuno
Cloud Build	cloudbuild.googleapis.com	Nessuno
Cloud DNS	dns.googleapis.com	Nessuno
Cloud Data Fusion	datafusion.googleapis.com	Nessuno
Cloud External Key Manager (Cloud EKM)	cloudkms.googleapis.com	Nessuno
Cloud HSM	cloudkms.googleapis.com	Nessuno
Cloud Identity	cloudidentity.googleapis.com	Nessuno
Cloud Interconnect	compute.googleapis.com	Nessuno
Cloud Key Management Service (Cloud KMS)	cloudkms.googleapis.com	Vincoli delle policy dell'organizzazione
Cloud Logging	logging.googleapis.com	Funzionalità interessate
Cloud Monitoring	monitoring.googleapis.com	Nessuno
Cloud NAT	compute.googleapis.com	Nessuno
Router Cloud	compute.googleapis.com	Nessuno
Cloud Run	run.googleapis.com	Funzionalità interessate
Cloud SQL	sqladmin.googleapis.com	Vincoli delle policy dell'organizzazione
Cloud Service Mesh	mesh.googleapis.com meshca.googleapis.com meshconfig.googleapis.com trafficdirector.googleapis.com	Nessuno
Cloud Storage	storage.googleapis.com	Vincoli delle policy dell'organizzazione
Cloud Tasks	cloudtasks.googleapis.com	Nessuno
Cloud VPN	compute.googleapis.com	Funzionalità interessate
API Cloud Vision	us-vision.googleapis.com	Funzionalità interessate
Cloud Workstations	workstations.googleapis.com	Funzionalità interessate
Compute Engine	compute.googleapis.com	Funzionalità interessate e vincoli delle policy dell'organizzazione
Agente Connect di Google Kubernetes Engine (GKE)	gkeconnect.googleapis.com	Nessuno
Dataflow	dataflow.googleapis.com datapipelines.googleapis.com	Nessuno
Eventarc	eventarc.googleapis.com	Nessuno
Bilanciatore del carico di rete passthrough esterno	compute.googleapis.com	Nessuno
Filestore	file.googleapis.com	Nessuno
Hub di Google Kubernetes Engine (GKE)	gkehub.googleapis.com	Nessuno
Google Kubernetes Engine (GKE) Identity Service	anthosidentityservice.googleapis.com	Nessuno
AI generativa su Vertex AI	aiplatform.googleapis.com	Vincoli delle policy dell'organizzazione
Google Cloud Armor	compute.googleapis.com	Funzionalità interessate
Google Kubernetes Engine (GKE)	container.googleapis.com containersecurity.googleapis.com	Nessuno
Google Security Operations SIEM	chronicle.googleapis.com chronicleservicemanager.googleapis.com	Nessuno
Google Security Operations SOAR	Not applicable	Nessuno
Console di amministrazione Google	Not applicable	Nessuno
Identity and Access Management (IAM)	iam.googleapis.com	Vincoli delle policy dell'organizzazione
Identity-Aware Proxy (IAP)	iap.googleapis.com	Funzionalità interessate
Bilanciatore del carico di rete passthrough interno	compute.googleapis.com	Nessuno
Knowledge Catalog	dataplex.googleapis.com datalineage.googleapis.com	Funzionalità interessate
Managed Service for Apache Airflow	composer.googleapis.com	Nessuno
Managed Service for Apache Spark	dataproc.googleapis.com dataproc-control.googleapis.com	Nessuno
Memorystore for Redis	redis.googleapis.com	Nessuno
Network Connectivity Center	networkconnectivity.googleapis.com	Nessuno
Persistent Disk	compute.googleapis.com	Nessuno
Pub/Sub	pubsub.googleapis.com	Vincoli delle policy dell'organizzazione
Bilanciatore del carico delle applicazioni esterno regionale	compute.googleapis.com	Nessuno
Bilanciatore del carico di rete proxy esterno regionale	compute.googleapis.com	Nessuno
Bilanciatore del carico delle applicazioni interno regionale	compute.googleapis.com	Nessuno
Bilanciatore del carico di rete proxy interno regionale	compute.googleapis.com	Nessuno
Secret Manager	secretmanager.googleapis.com	Nessuno
Sensitive Data Protection	dlp.googleapis.com	Nessuno
Spanner	spanner.googleapis.com	Funzionalità interessate e vincoli delle policy dell'organizzazione
Speech-to-Text	speech.googleapis.com	Funzionalità interessate
Controlli di servizio VPC	accesscontextmanager.googleapis.com accesscontextintelligence.googleapis.com	Nessuno
Previsioni in batch di Vertex AI	aiplatform.googleapis.com	Vincoli delle policy dell'organizzazione
Vertex AI Model Monitoring	aiplatform.googleapis.com	Vincoli delle policy dell'organizzazione
Vertex AI Model Registry	aiplatform.googleapis.com	Vincoli delle policy dell'organizzazione
Previsione online di Vertex AI	aiplatform.googleapis.com	Vincoli delle policy dell'organizzazione
Vertex AI Pipelines	aiplatform.googleapis.com	Nessuno
Vertex AI Training	aiplatform.googleapis.com	Vincoli delle policy dell'organizzazione
Virtual Private Cloud (VPC)	compute.googleapis.com	Nessuno

Restrizioni e limitazioni

Le sezioni seguenti descrivono le restrizioni o le limitazioni a livello di Google Cloudo specifiche del prodotto per le funzionalità, inclusi eventuali vincoli delle policy dell'organizzazione impostati per impostazione predefinita sul confine dei dati per le cartelle IL5. Altri vincoli delle policy dell'organizzazione applicabili, anche se non impostati per impostazione predefinita, possono fornire un'ulteriore difesa in profondità per proteggere ulteriormente le risorse Google Cloud della tua organizzazione.

Ti consigliamo vivamente di non modificare i valori dei vincoli delle policy dell'organizzazione obbligatori elencati nelle sezioni seguenti. In questo modo, la residenza dei dati potrebbe essere compromessa. Quando viene apportata una modifica di questo tipo, gli effetti sono difficili o impossibili da annullare. Prima di procedere, assicurati di comprendere le conseguenze della modifica del valore di un vincolo delle policy dell'organizzazione ed esamina queste modifiche con l'agenzia autorizzante prima di apportarle.

Inoltre, assicurati che tutti i meccanismi automatizzati utilizzati dalla tua organizzazione per gestire le policy dell'organizzazione siano aggiornati per evitare che questi valori vengano modificati involontariamente.

Google Cloud-wide

Funzionalità di Google Cloudinteressate

Funzionalità

Descrizione

ConsoleGoogle Cloud

Per accedere alla console Google Cloud quando utilizzi il pacchetto di controlli Confine dei dati per IL5, hai la possibilità di utilizzare la console Google Cloud giurisdizionale. La console Google Cloud giurisdizionale non è richiesta per il confine per i dati per IL5 ed è possibile accedervi utilizzando uno dei seguenti URL: console.us.cloud.google.com console.us.cloud.google per gli utenti con identità federata

Vincoli delle policy dell'organizzazione a livello diGoogle Cloud

I seguenti vincoli delle policy dell'organizzazione si applicano a Google Cloud.

Vincolo delle policy dell'organizzazione	Descrizione
gcp.resourceLocations	Imposta le seguenti località nell'elenco allowedValues: us us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Questo valore limita la creazione di nuove risorse ai valori selezionati. Se impostata, non è possibile creare risorse in altre regioni, multi-regioni o località al di fuori della selezione. Consulta Servizi supportati per le località delle risorse per un elenco delle risorse che possono essere limitate dal vincolo della policy dell'organizzazione per le località delle risorse, poiché alcune risorse potrebbero non rientrare nell'ambito e non possono essere limitate. La modifica di questo valore per renderlo meno restrittivo potrebbe compromettere la residenza dei dati consentendo la creazione o l'archiviazione dei dati al di fuori di un confine dei dati conforme.
gcp.restrictCmekCryptoKeyProjects	Impostalo su under:organizations/your-organization-name, ovvero la tua organizzazione Assured Workloads. Puoi limitare ulteriormente questo valore specificando un progetto o una cartella. Limita l'ambito delle cartelle o dei progetti approvati che possono fornire chiavi Cloud KMS per la crittografia dei dati at-rest utilizzando CMEK. Questo vincolo impedisce a cartelle o progetti non approvati di fornire chiavi di crittografia, contribuendo così a garantire la sovranità dei dati at-rest dei servizi inclusi nell'ambito.
gcp.restrictNonCmekServices	Imposta un elenco di tutti i nomi dei servizi API inclusi nell'ambito, tra cui: aiplatform.googleapis.com alloydb.googleapis.com apigee.googleapis.com artifactregistry.googleapis.com backupdr.googleapis.com bigquery.googleapis.com bigquerydatatransfer.googleapis.com bigtable.googleapis.com cloudfunctions.googleapis.com cloudtasks.googleapis.com composer.googleapis.com compute.googleapis.com contactcenterinsights.googleapis.com container.googleapis.com dataflow.googleapis.com dataform.googleapis.com datafusion.googleapis.com dataplex.googleapis.com dataproc.googleapis.com dialogflow.googleapis.com discoveryengine.googleapis.com documentai.googleapis.com eventarc.googleapis.com file.googleapis.com firestore.googleapis.com gkebackup.googleapis.com integrations.googleapis.com logging.googleapis.com looker.googleapis.com lustre.googleapis.com memorystore.googleapis.com netapp.googleapis.com notebooks.googleapis.com observability.googleapis.com pubsub.googleapis.com redis.googleapis.com run.googleapis.com secretmanager.googleapis.com securesourcemanager.googleapis.com securitycenter.googleapis.com spanner.googleapis.com speech.googleapis.com sqladmin.googleapis.com storage.googleapis.com storagetransfer.googleapis.com tpu.googleapis.com workstations.googleapis.com Alcune funzionalità potrebbero essere interessate per ciascuno dei servizi elencati sopra. Ogni servizio elencato richiede chiavi di crittografia gestite dal cliente (CMEK). CMEK cripta i dati at-rest con una chiave gestita da te, non con i meccanismi di crittografia predefiniti di Google. La modifica di questo valore tramite la rimozione di uno o più servizi inclusi nell'ambito dall'elenco potrebbe compromettere la sovranità dei dati, perché i nuovi dati at-rest verranno criptati automaticamente utilizzando le chiavi di Google anziché le tue. I dati at-rest esistenti rimarranno criptati con la chiave che hai fornito.
gcp.restrictServiceUsage	Impostato per consentire tutti i prodotti e gli endpoint API supportati. Determina quali servizi possono essere utilizzati limitando l'accesso in fase di runtime alle relative risorse. Per saperne di più, consulta Limitazione dell'utilizzo delle risorse.
gcp.restrictTLSVersion	Impostata per negare le seguenti versioni TLS: TLS_1_0 TLS_1_1 Per saperne di più, consulta Limita le versioni TLS.

BigQuery

Funzionalità di BigQuery interessate

Funzionalità	Descrizione
Abilitazione di BigQuery su una nuova cartella	BigQuery è supportato, ma non viene attivato automaticamente quando crei una nuova cartella Assured Workloads a causa di un processo di configurazione interno. In genere, questa procedura richiede dieci minuti, ma in alcune circostanze può richiedere molto più tempo. Per verificare se il processo è terminato e per abilitare BigQuery, completa i seguenti passaggi: Nella console Google Cloud , vai alla pagina Assured Workloads. Vai ad Assured Workloads Seleziona la nuova cartella Assured Workloads dall'elenco. Nella pagina Dettagli cartella, nella sezione Servizi consentiti, fai clic su Esamina gli aggiornamenti disponibili. Nel riquadro Servizi consentiti, esamina i servizi da aggiungere alla policy dell'organizzazione Limita utilizzo risorse per la cartella. Se sono elencati i servizi BigQuery, fai clic su Consenti servizi per aggiungerli. Se i servizi BigQuery non sono elencati, attendi il completamento del processo interno. Se i servizi non sono elencati entro 12 ore dalla creazione della cartella, contatta l'assistenza clienti Google Cloud. Una volta completato il processo di abilitazione, puoi utilizzare BigQuery nella cartella Assured Workloads. Gemini in BigQuery non è supportato da Assured Workloads.
API BigQuery conformi	Le seguenti API BigQuery sono conformi a IL5: bigquery.googleapis.com bigquerydatapolicy.googleapis.com bigqueryconnection.googleapis.com bigquerymigration.googleapis.com bigquerystorage.googleapis.com bigqueryreservation.googleapis.com bigquerydatatransfer.googleapis.com L'API Reservations non è abilitata per impostazione predefinita. Per saperne di più, consulta Abilitazione di un'API nel progetto Google Cloud .
Regioni	BigQuery è conforme a IL5 per tutte le regioni BigQuery degli Stati Uniti, ad eccezione della località multiregionale degli Stati Uniti. La conformità IL5 non può essere garantita se un set di dati viene creato in una multiregione degli Stati Uniti, in una regione non statunitense o in una multiregione non statunitense. È tua responsabilità specificare una regione conforme a IL5 durante la creazione dei set di dati BigQuery.
Query su set di dati IL5 da progetti non IL5	BigQuery non impedisce l'esecuzione di query sui set di dati IL5 da progetti non IL5. Assicurati che qualsiasi query che utilizza un'operazione di lettura o di join sui dati tecnici IL5 si trovi in una cartella conforme a IL5.
Connessioni a origini dati esterne	La responsabilità di Google in materia di conformità è limitata alla funzionalità dell'API BigQuery Connection. È tua responsabilità garantire la conformità dei prodotti di origine utilizzati con l'API BigQuery Connection.
Funzionalità non supportate	Le seguenti funzionalità di BigQuery non sono supportate e non devono essere utilizzate nell'interfaccia a riga di comando di BigQuery. È tua responsabilità non utilizzarli in BigQuery per Assured Workloads. Interazione con origini dati remote I modelli BQML addestrati esternamente non sono supportati. Modelli BQML addestrati internamente supportati. Il mascheramento dei dati con tag di policy non è supportato. Il mascheramento dei dati tramite l'applicazione di policy dei dati direttamente alle colonne è supportato. Esportazione su GDrive Funzioni remote Query salvate Programmazione del flusso di lavoro Per BigQuery Studio, i notebook non sono supportati. Gemini in BigQuery non è supportato.
Interfaccia a riga di comando di BigQuery	L'interfaccia a riga di comando di BigQuery è supportata.
Google Cloud SDK	Devi utilizzare Google Cloud SDK versione 403.0.0 o successive per mantenere le garanzie di regionalizzazione dei dati per i dati tecnici. Per verificare la versione attuale di Google Cloud SDK, esegui gcloud --version, quindi gcloud components update per eseguire l'aggiornamento alla versione più recente.
Controlli per gli amministratori	BigQuery disabiliterà le API non supportate, ma gli amministratori con autorizzazioni sufficienti per creare cartelle Assured Workloads possono abilitare un'API non supportata. In questo caso, riceverai una notifica di potenziale non conformità tramite la dashboard di monitoraggio di Assured Workloads.
Caricamento di dati	I connettori di BigQuery Data Transfer Service per le app Google Software as a Service (SaaS), i provider di spazio di archiviazione sul cloud esterni e i data warehouse non sono supportati. È tua responsabilità non utilizzare i connettori di BigQuery Data Transfer Service per il confine dei dati per i workload IL5.
Trasferimenti di terze parti	BigQuery non verifica il supporto dei trasferimenti di terze parti per BigQuery Data Transfer Service. È tua responsabilità verificare l'assistenza quando utilizzi un trasferimento di terze parti per BigQuery Data Transfer Service.
Modelli BQML non conformi	I modelli BQML addestrati esternamente non sono supportati.
Job di query	I job di query devono essere creati solo all'interno delle cartelle Assured Workloads.
Query su set di dati in altri progetti	BigQuery non impedisce l'esecuzione di query sui set di dati Assured Workloads da progetti non Assured Workloads. Devi assicurarti che qualsiasi query che abbia una lettura o un join sui dati di Assured Workloads venga inserita nelle cartelle di Assured Workloads. Puoi specificare un nome tabella completo per il risultato della query utilizzando projectname.dataset.table nell'interfaccia a riga di comando di BigQuery.
Cloud Logging	BigQuery utilizza Cloud Logging per alcuni dei tuoi dati di log. Devi disattivare i bucket di logging _default o limitare i bucket _default alle regioni incluse nell'ambito per mantenere la conformità utilizzando il seguente comando: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Per ulteriori informazioni, consulta Regionalizza i log.

Cloud Interconnect

Funzionalità di Cloud Interconnect interessate

Funzionalità	Descrizione
VPN ad alta disponibilità	Devi attivare la funzionalità VPN ad alta disponibilità (HA) quando utilizzi Cloud Interconnect con Cloud VPN. Inoltre, devi rispettare i requisiti di crittografia e regionalizzazione elencati nella sezione Funzionalità di Cloud VPN interessate.

Cloud KMS

Vincoli delle policy dell'organizzazione di Cloud KMS

Vincolo delle policy dell'organizzazione	Descrizione
cloudkms.allowedProtectionLevels	Imposta per consentire la creazione di CryptoKey di Cloud Key Management Service con i seguenti livelli di protezione: SOFTWARE HSM EXTERNAL EXTERNAL_VPC Per saperne di più, consulta Livelli di protezione.

Cloud Logging

Funzionalità di Cloud Logging interessate

Per utilizzare Cloud Logging con le chiavi di crittografia gestite dal cliente (CMEK), devi completare i passaggi della pagina Abilita CMEK per un'organizzazione nella documentazione di Cloud Logging.

Funzionalità	Descrizione
Sink di log	I filtri non devono contenere dati dei clienti. I sink di log includono filtri archiviati come configurazione. Non creare filtri che contengono dati dei clienti.
Voci di log di tailing in tempo reale	I filtri non devono contenere dati dei clienti. Una sessione di tailing in tempo reale include un filtro che viene archiviato come configurazione. Il tailing dei log non archivia i dati voce di log, ma può eseguire query e trasmettere dati tra regioni. Non creare filtri che contengono dati dei clienti.
Policy di avviso basate su SQL	Questa funzionalità è disattivata. Non puoi utilizzare la funzionalità delle policy di avviso basate su SQL.

Cloud Monitoring

Funzionalità di Cloud Monitoring interessate

Funzionalità	Descrizione
Monitor sintetico	Questa funzionalità è disattivata.
Controlli di uptime	Questa funzionalità è disattivata.

Cloud Run

Funzionalità di Cloud Run interessate

Funzionalità	Descrizione
Funzionalità non supportate	Le seguenti funzionalità di Cloud Run non sono supportate: Integrazione con Cloud Trace Cloud Run Functions Trigger Eventarc

Cloud SQL

Vincoli delle policy dell'organizzazione di Cloud SQL

Vincolo delle policy dell'organizzazione	Descrizione
sql.restrictNoncompliantDiagnosticDataAccess	Impostala su True. Applica controlli aggiuntivi di sovranità dei dati e supportabilità alle risorse Cloud SQL. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del workload.
sql.restrictNoncompliantResourceCreation	Impostala su True. Applica controlli aggiuntivi sulla sovranità dei dati per impedire la creazione di risorse Cloud SQL non conformi. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del workload.

Cloud Storage

Vincoli delle policy dell'organizzazione di Cloud Storage

Vincolo delle policy dell'organizzazione	Descrizione
storage.publicAccessPrevention	Impostala su True. L'accesso pubblico è limitato per tutti i bucket e gli oggetti, sia nuovi che esistenti, nella cartella Assured Workloads.

API Cloud Vision

Funzionalità dell'API Cloud Vision interessate

Funzionalità	Descrizione
Endpoint API Cloud Vision conformi a IL5	È tua responsabilità utilizzare solo l'endpoint API della regione degli Stati Uniti (us-vision.googleapis.com) per l'API Cloud Vision. L'endpoint globale (vision.googleapis.com) non è conforme a IL5 e il suo utilizzo potrebbe compromettere la residenza dei dati del workload.

Cloud VPN

Funzionalità di Cloud VPN interessate

Funzionalità	Descrizione
Endpoint VPN	Devi utilizzare solo endpoint Cloud VPN che si trovano in una regione inclusa nell'ambito. Assicurati che il gateway VPN sia configurato per l'utilizzo solo in una regione inclusa nell'ambito.

Cloud Workstations

Funzionalità di Cloud Workstations interessate

Funzionalità

Descrizione

Creazione di un cluster di workstation

Quando crei un cluster di workstation, è tua responsabilità configurarlo nel seguente modo per garantire la residenza dei dati: Seleziona solo un gateway privato durante la creazione di un cluster di workstation. L'utilizzo di un gateway privato garantisce la residenza dei dati in transito. Utilizza solo un bilanciatore del carico delle applicazioni esterno regionale quando configuri un dominio personalizzato. L'utilizzo di un bilanciatore del carico delle applicazioni esterno regionale garantisce la residenza dei dati in transito.

Compute Engine

Funzionalità di Compute Engine interessate

Funzionalità	Descrizione
Sospensione e ripresa di un'istanza VM	Questa funzionalità è disattivata. La sospensione e il ripristino di un'istanza VM richiedono l'archiviazione su disco permanente, che attualmente non può essere criptata utilizzando CMEK per l'archiviazione dello stato della VM sospesa. Consulta il vincolo della policy dell'organizzazione gcp.restrictNonCmekServices nella sezione precedente per comprendere le implicazioni relative alla sovranità dei dati e alla residenza dei dati dell'attivazione di questa funzionalità.
SSD locali	Questa funzionalità è disattivata. Non sarà possibile creare un'istanza con SSD locali perché questi non possono essere crittografati utilizzando CMEK. Consulta il vincolo della policy dell'organizzazione gcp.restrictNonCmekServices nella sezione precedente per comprendere le implicazioni relative alla sovranità dei dati e alla residenza dei dati dell'attivazione di questa funzionalità.
Aggiunta di un gruppo di istanze a un bilanciatore del carico globale	Non puoi aggiungere un gruppo di istanze a un bilanciatore del carico globale. Questa funzionalità è disattivata dal vincolo della policy dell'organizzazione compute.disableGlobalLoadBalancing.
Ambiente guest	È possibile che script, daemon e programmi binari inclusi nell'ambiente guest accedano a dati non criptati at-rest e in uso. A seconda della configurazione della VM, gli aggiornamenti di questo software potrebbero essere installati per impostazione predefinita. Consulta Ambiente guest per informazioni specifiche sui contenuti, sul codice sorgente e su altri aspetti di ogni pacchetto. Questi componenti ti aiutano a soddisfare la sovranità dei dati tramite controlli e processi di sicurezza interni. Tuttavia, se vuoi un controllo aggiuntivo, puoi anche selezionare le tue immagini o i tuoi agenti e, facoltativamente, utilizzare il vincolo della policy dell'organizzazione compute.trustedImageProjects. Per saperne di più, consulta Creazione di un'immagine personalizzata.
Policy del sistema operativo in VM Manager	Gli script in linea e i file binari di output all'interno dei file delle policy del sistema operativo non vengono criptati utilizzando chiavi di crittografia gestite dal cliente (CMEK). Non includere informazioni sensibili in questi file. Valuta la possibilità di archiviare questi script e file di output nei bucket Cloud Storage. Per saperne di più, consulta Esempi di policy del sistema operativo. Se vuoi limitare la creazione o la modifica delle risorse delle policy del sistema operativo che utilizzano script in linea o file di output binari, attiva il vincolo della policy dell'organizzazione constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Per saperne di più, consulta Vincoli per OS Config.
instances.getSerialPortOutput()	Questa API è disabilitata. Non potrai ottenere l'output della porta seriale dall'istanza specificata utilizzando questa API. Modifica il valore del vincolo della policy dell'organizzazione compute.disableInstanceDataAccessApis in False per abilitare questa API. Puoi anche attivare e utilizzare la porta seriale interattiva seguendo le istruzioni riportate in Abilitazione dell'accesso per un progetto.
instances.getScreenshot()	Questa API è disabilitata. Non potrai acquisire uno screenshot dall'istanza specificata utilizzando questa API. Modifica il valore del vincolo della policy dell'organizzazione compute.disableInstanceDataAccessApis in False per abilitare questa API. Puoi anche attivare e utilizzare la porta seriale interattiva seguendo le istruzioni riportate in Abilitazione dell'accesso per un progetto.

Vincoli delle policy dell'organizzazione di Compute Engine

Vincolo delle policy dell'organizzazione	Descrizione
compute.disableGlobalCloudArmorPolicy	Impostala su True. Disabilita la creazione di nuove policy di sicurezza globali di Google Cloud Armor e l'aggiunta o la modifica di regole alle policy di sicurezza globali di Google Cloud Armor esistenti. Questo vincolo non limita la rimozione di regole o la possibilità di rimuovere o modificare la descrizione e l'elenco delle policy di sicurezza globali di Google Cloud Armor. Questo vincolo non influisce sulle policy di sicurezza regionali di Google Cloud Armor. Tutte le policy di sicurezza globali e regionali esistenti prima dell'applicazione di questo vincolo rimangono in vigore.
compute.disableGlobalLoadBalancing	Impostala su True. Disabilita la creazione di prodotti di bilanciamento del carico globale. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del workload.
compute.disableInstanceDataAccessApis	Impostala su True. Disattiva a livello globale le API instances.getSerialPortOutput() e instances.getScreenshot(). L'attivazione di questo vincolo impedisce di generare credenziali sulle VM Windows Server. Se devi gestire un nome utente e una password su una VM Windows, segui questi passaggi: Attiva SSH per le VM Windows. Esegui il comando seguente per modificare la password della VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Sostituisci quanto segue: VM_NAME: il nome della VM per cui stai impostando la password. USERNAME: il nome utente dell'utente per cui stai impostando la password. PASSWORD: la nuova password.
compute.setNewProjectDefaultToZonalDNSOnly	Impostala su True. Configura l'impostazione del DNS per i nuovi progetti in modo che utilizzino solo il DNS di zona. Il DNS di zona riduce il rischio di interruzioni tra regioni e migliora l'affidabilità complessiva dei progetti su Compute Engine.
compute.skipDefaultNetworkCreation	Impostala su True. Disattiva la creazione di una rete predefinita e delle relative risorse di supporto quando viene creato un nuovo progetto.
compute.restrictNonConfidentialComputing	(Facoltativo) Il valore non è impostato. Imposta questo valore per fornire un'ulteriore difesa in profondità. Per ulteriori informazioni, consulta la documentazione di Confidential VM.
compute.trustedImageProjects	(Facoltativo) Il valore non è impostato. Imposta questo valore per fornire un'ulteriore difesa in profondità. L'impostazione di questo valore limita l'archiviazione delle immagini e la creazione di istanze dei dischi all'elenco di progetti specificato. Questo valore influisce sulla sovranità dei dati impedendo l'utilizzo di immagini o agenti non autorizzati.

Google Cloud Armor

Funzionalità di Google Cloud Armor interessate

Funzionalità	Descrizione
Policy di sicurezza con ambito globale	Questa funzionalità è disattivata dal vincolo della policy dell'organizzazione compute.disableGlobalCloudArmorPolicy.

IAM

Vincoli delle policy dell'organizzazione IAM

Vincolo delle policy dell'organizzazione	Descrizione
iam.automaticIamGrantsForDefaultServiceAccounts	Impostala su True. Disattiva la concessione automatica ai service account predefiniti del ruolo Editor (roles/editor) di base legacy. Questo vincolo non impedisce che ai service account predefiniti vengano concessi ruoli di base legacy in futuro. Per evitare questo comportamento, puoi impostare il vincolo iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts sulla cartella Assured Workloads.
iam.disableServiceAccountKeyCreation	Impostala su True. Disabilita la creazione di nuove chiavi di account di servizio e chiavi HMAC per Cloud Storage. Se per il tuo workload sono necessarie chiavi account di servizio, assicurati di aver letto la pagina Best practice per la gestione delle account di servizio account prima di modificare il valore di questo vincolo.

Identity-Aware Proxy

Funzionalità di Identity-Aware Proxy interessate

Funzionalità	Descrizione
Utilizzo di IAP per inoltro TCP	È tua responsabilità non utilizzare IAP per l'inoltro TCP perché non è conforme al Data Boundary per IL5.

Knowledge Catalog

Funzionalità di Knowledge Catalog

Funzionalità	Descrizione
Archivio attributi	Questa funzionalità è deprecata e disattivata.
Data Catalog	Questa funzionalità è deprecata e disattivata. Non puoi cercare o gestire i tuoi metadati in Data Catalog.
Laghi e zone	Questa funzionalità è disattivata. Non puoi gestire lake, zone e attività.

Pub/Sub

Vincoli delle policy dell'organizzazione Pub/Sub

Vincolo delle policy dell'organizzazione	Descrizione
pubsub.managed.disableSubscriptionMessageTransforms	Imposta su True. Disabilita l'impostazione delle sottoscrizioni Pub/Sub con Single Message Transform (SMT). La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del workload.
pubsub.managed.disableTopicMessageTransforms	Impostala su True. Disabilita l'impostazione degli argomenti Pub/Sub con Single Message Transform (SMT). La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del workload.

Spanner

Funzionalità di Spanner interessate

Funzionalità

Descrizione

Confini della suddivisione

Spanner utilizza un piccolo sottoinsieme di chiavi primarie e colonne indicizzate per definire i confini della suddivisione, che possono includere dati e metadati dei clienti. Un confine della suddivisione in Spanner indica la posizione in cui gli intervalli contigui di righe vengono suddivisi in parti più piccole. Questi confini della suddivisione sono accessibili al personale di Google per l'assistenza tecnica e il debug e non sono soggetti ai controlli relativi ai dati di accesso amministrativo in Assured Workloads.

Vincoli delle policy dell'organizzazione di Spanner

Vincolo delle policy dell'organizzazione	Descrizione
spanner.disableMultiRegionInstanceIfNoLocationSelected	Imposta su True. Disabilita la possibilità di creare istanze Spanner multiregionali per applicare la residenza e la sovranità dei dati.

Speech-to-Text

Funzionalità di Speech-to-Text interessate

Funzionalità	Descrizione
Modelli Speech-to-Text personalizzati	È tua responsabilità non utilizzare i modelli Speech-to-Text personalizzati, in quanto non sono conformi al confine dei dati per IL5.

Vertex AI

Vincoli delle policy dell'organizzazione di Vertex AI

Vincolo delle policy dell'organizzazione	Descrizione
vertexai.allowOnlyIL5CompliantAPIs	Impostala su True. Consente di utilizzare solo le API conformi a IL5 nelle API Vertex AI. Per impostazione predefinita, tutte le API sono consentite.

Passaggi successivi

• Scopri come creare una cartella Assured Workloads
• Informazioni sui prezzi di Assured Workloads