Os nomes de alguns pacotes de controle do Assured Workloads mudaram. Para mais informações sobre a mudança de nome, consulte Aviso sobre a mudança de nome do pacote de controle.

O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Limite de dados para o nível de impacto 5 (IL5)

Nesta página, descrevemos o conjunto de controles aplicados ao limite de dados para cargas de trabalho IL5 no Assured Workloads. Ele fornece informações detalhadas sobre residência de dados, produtos Google Cloud compatíveis e os endpoints de API deles, além de todas as restrições ou limitações aplicáveis a esses produtos. As seguintes informações adicionais se aplicam ao Limite de Dados para IL5:

Residência de dados: o pacote de controle de limite de dados para IL5 define controles de localização de dados para oferecer suporte a regiões somente dos EUA. Para mais informações, consulte a seção Restrições da política da organização em todo oGoogle Cloud.
Suporte: os serviços de suporte técnico para o Data Boundary para cargas de trabalho IL5 estão disponíveis com as assinaturas Enhanced ou Premium do Cloud Customer Care. Os casos de suporte de limite de dados para cargas de trabalho IL5 são encaminhados para residentes dos EUA localizados nos EUA. Para mais informações, consulte Como receber suporte.
Preços: o pacote de controle de limite de dados para IL5 está incluído no nível Premium do Assured Workloads, que gera uma cobrança adicional de 20%. Para mais informações, consulte Preços do Assured Workloads.

Pré-requisitos

Para manter a conformidade como usuário do pacote de controle de limite de dados para IL5, verifique se você atende e segue os seguintes pré-requisitos:

Crie uma pasta de limite de dados para IL5 usando o Assured Workloads e implante as cargas de trabalho IL5 apenas nessa pasta.
Ative e use apenas serviços no escopo para o limite de dados para cargas de trabalho IL5.
Não use os servidores MCP do Google Cloud, a menos que indicado de outra forma. O limite de dados para IL5 não oferece controles de residência de dados para dados em uso e em trânsito com servidores MCP do Google Cloud. Para bloquear o acesso indesejado aos servidores MCP do Google Cloud, consulte a página Controlar o uso de servidores MCP do Google Cloud com o IAM.
Não altere os valores padrão de restrição da política da organização, a menos que você entenda e esteja disposto a aceitar os riscos de residência de dados que podem ocorrer.
Para todos os serviços usados em uma pasta do Data Boundary para IL5, não armazene dados técnicos nos seguintes tipos de informações de configuração de segurança ou definidos pelo usuário:
- Mensagens de erro
- Saída do console
- Dados de atributos
- Dados de configurações de serviço
- Cabeçalhos de pacotes de rede
- Identificadores de recursos
- Rótulos de dados
Considere adotar as práticas recomendadas gerais de segurança fornecidas na central de práticas recomendadas de segurança doGoogle Cloud .
Consulte a página Autorização provisória do Departamento de Defesa dos EUA (DoD) para mais informações sobre como implantar cargas de trabalho IL5 no Google Cloud.
Ao acessar o console do Google Cloud , você tem a opção de usar o console Google Cloud jurisdicional. Não é obrigatório usar o console jurisdicional do Google Cloud para o limite de dados do IL5. Ele pode ser acessado em um dos seguintes URLs:
- console.us.cloud.google.com
- console.us.cloud.google para usuários de identidade federada

Produtos e endpoints de API compatíveis

Salvo indicação em contrário, os usuários podem acessar todos os produtos compatíveis pelo console do Google Cloud . As restrições ou limitações que afetam os recursos de um produto compatível, incluindo aquelas aplicadas por meio de configurações de restrição da política da organização, estão listadas na tabela a seguir.

Se um produto não estiver listado, ele não será compatível e não atenderá aos requisitos de controle do limite de dados para o IL5. Não recomendamos o uso de produtos sem suporte sem auditoria e uma compreensão completa das suas responsabilidades no modelo de responsabilidade compartilhada. Antes de usar um produto sem suporte, verifique se você está ciente e disposto a aceitar os riscos envolvidos, como impactos negativos na residência de dados ou soberania de dados. Além disso, analise qualquer uso de um produto não compatível com sua agência de autorização antes de aceitar o risco.

Produto compatível	Endpoints de API	Restrições ou limitações
Access Context Manager	`accesscontextmanager.googleapis.com`	Nenhum
AlloyDB para PostgreSQL	`alloydb.googleapis.com`	Nenhum
Artifact Registry	`artifactregistry.googleapis.com`	Nenhum
BigQuery	`bigquery.googleapis.com` `bigqueryconnection.googleapis.com` `bigquerydatapolicy.googleapis.com` `bigquerymigration.googleapis.com` `bigqueryreservation.googleapis.com` `bigquerystorage.googleapis.com`	Recursos afetados e restrições da política da organização
Certificate Authority Service	`privateca.googleapis.com`	Nenhum
Cloud Build	`cloudbuild.googleapis.com`	Nenhum
Cloud DNS	`dns.googleapis.com`	Nenhum
Cloud Data Fusion	`datafusion.googleapis.com`	Nenhum
Cloud External Key Manager (Cloud EKM)	`cloudkms.googleapis.com`	Nenhum
Cloud HSM	`cloudkms.googleapis.com`	Nenhum
Cloud Identity	`cloudidentity.googleapis.com`	Nenhum
Cloud Interconnect	`compute.googleapis.com`	Nenhum
Cloud Key Management Service (Cloud KMS)	`cloudkms.googleapis.com`	Restrições das políticas da organização
Cloud Logging	`logging.googleapis.com`	Recursos afetados
Cloud Monitoring	`monitoring.googleapis.com`	Nenhum
Cloud NAT	`compute.googleapis.com`	Nenhum
Cloud Router	`compute.googleapis.com`	Nenhum
Cloud Run	`run.googleapis.com`	Recursos afetados
Cloud SQL	`sqladmin.googleapis.com`	Restrições das políticas da organização
Cloud Service Mesh	`mesh.googleapis.com` `meshca.googleapis.com` `meshconfig.googleapis.com` `trafficdirector.googleapis.com`	Nenhum
Cloud Storage	`storage.googleapis.com`	Restrições das políticas da organização
Cloud Tasks	`cloudtasks.googleapis.com`	Nenhum
Cloud VPN	`compute.googleapis.com`	Recursos afetados
API Cloud Vision	`us-vision.googleapis.com`	Recursos afetados
Cloud Workstations	`workstations.googleapis.com`	Recursos afetados
Compute Engine	`compute.googleapis.com`	Recursos afetados e restrições da política da organização
Agente do Connect do Google Kubernetes Engine (GKE)	`gkeconnect.googleapis.com`	Nenhum
Dataflow	`dataflow.googleapis.com` `datapipelines.googleapis.com`	Nenhum
Eventarc	`eventarc.googleapis.com`	Nenhum
Balanceador de carga de rede de passagem externo	`compute.googleapis.com`	Nenhum
Filestore	`file.googleapis.com`	Nenhum
Hub do Google Kubernetes Engine (GKE)	`gkehub.googleapis.com`	Nenhum
Serviço de Identidade do Google Kubernetes Engine (GKE)	`anthosidentityservice.googleapis.com`	Nenhum
IA generativa na Vertex AI	`aiplatform.googleapis.com`	Restrições das políticas da organização
Google Cloud Armor	`compute.googleapis.com`	Recursos afetados
Google Kubernetes Engine (GKE)	`container.googleapis.com` `containersecurity.googleapis.com`	Nenhum
Google Security Operations SIEM	`chronicle.googleapis.com` `chronicleservicemanager.googleapis.com`	Nenhum
Google Security Operations SOAR	`Not applicable`	Nenhum
Google Admin Console	`Not applicable`	Nenhum
Gerenciamento de identidade e acesso (IAM)	`iam.googleapis.com`	Restrições das políticas da organização
Identity-Aware Proxy (IAP)	`iap.googleapis.com`	Recursos afetados
Balanceador de carga de rede de passagem interno	`compute.googleapis.com`	Nenhum
Knowledge Catalog	`dataplex.googleapis.com` `datalineage.googleapis.com`	Recursos afetados
Serviço Gerenciado para Apache Airflow	`composer.googleapis.com`	Nenhum
Serviço Gerenciado para Apache Spark	`dataproc.googleapis.com` `dataproc-control.googleapis.com`	Nenhum
Memorystore for Redis	`redis.googleapis.com`	Nenhum
Network Connectivity Center	`networkconnectivity.googleapis.com`	Nenhum
Persistent Disk	`compute.googleapis.com`	Nenhum
Pub/Sub	`pubsub.googleapis.com`	Restrições das políticas da organização
Balanceador de carga de aplicativo externo regional	`compute.googleapis.com`	Nenhum
Balanceador de carga de rede de proxy externo regional	`compute.googleapis.com`	Nenhum
Balanceador de carga de aplicativo interno e regional	`compute.googleapis.com`	Nenhum
Balanceador de carga de rede de proxy interno regional	`compute.googleapis.com`	Nenhum
Secret Manager	`secretmanager.googleapis.com`	Nenhum
Proteção de Dados Sensíveis	`dlp.googleapis.com`	Nenhum
Spanner	`spanner.googleapis.com`	Recursos afetados e restrições da política da organização
Speech-to-Text	`speech.googleapis.com`	Recursos afetados
VPC Service Controls	`accesscontextmanager.googleapis.com` `accesscontextintelligence.googleapis.com`	Nenhum
Predição em lote da Vertex AI	`aiplatform.googleapis.com`	Restrições das políticas da organização
Vertex AI Model Monitoring	`aiplatform.googleapis.com`	Restrições das políticas da organização
Vertex AI Model Registry	`aiplatform.googleapis.com`	Restrições das políticas da organização
Vertex AI Online Prediction	`aiplatform.googleapis.com`	Restrições das políticas da organização
Vertex AI Pipelines	`aiplatform.googleapis.com`	Nenhum
Vertex AI Training	`aiplatform.googleapis.com`	Restrições das políticas da organização
Nuvem privada virtual (VPC)	`compute.googleapis.com`	Nenhum

Restrições e limitações

As seções a seguir descrevem as restrições ou limitações do Google Cloudou específicas do produto para recursos, incluindo as restrições da política da organização que são definidas por padrão no limite de dados para pastas IL5. Outras restrições aplicáveis da política da organização, mesmo que não sejam definidas por padrão, podem fornecer defesa em profundidade adicional para proteger ainda mais os recursos do Google Cloud da sua organização.

Google Cloud-wide

Recursos afetados em todo o Google Cloud

Recurso	Descrição
Console doGoogle Cloud	Para acessar o console do Google Cloud ao usar o pacote de controle de limite de dados para IL5, você tem a opção de usar o console jurisdicional do Google Cloud . O console Google Cloud jurisdicional não é necessário para o limite de dados do IL5 e pode ser acessado usando um dos seguintes URLs: console.us.cloud.google.com console.us.cloud.google para usuários de identidade federada

Restrições da política da organização em todo oGoogle Cloud

As restrições da política da organização a seguir se aplicam ao Google Cloud.

Restrição da política da organização	Descrição
`gcp.resourceLocations`	Defina os seguintes locais na lista `allowedValues`: `us` `us-central1` `us-central2` `us-east1` `us-east4` `us-east5` `us-south1` `us-west1` `us-west2` `us-west3` `us-west4` Esse valor restringe a criação de novos recursos aos valores selecionados. Quando definido, nenhum recurso pode ser criado em nenhuma outra região, multirregião ou local fora da seleção. Consulte Serviços com suporte com locais de recursos para ver uma lista de recursos que podem ser restritos pela restrição da política da organização de locais de recursos, já que alguns recursos podem estar fora do escopo e não podem ser restritos. Alterar esse valor, tornando-o menos restritivo, pode prejudicar a residência de dados, permitindo que eles sejam criados ou armazenados fora de um limite de dados compatível.
`gcp.restrictCmekCryptoKeyProjects`	Defina como `under:organizations/your-organization-name`, que é sua organização do Assured Workloads. É possível restringir ainda mais esse valor especificando um projeto ou uma pasta. Limita o escopo de pastas ou projetos aprovados que podem fornecer chaves do Cloud KMS para criptografia de dados em repouso usando CMEK. Essa restrição impede que pastas ou projetos não aprovados forneçam chaves de criptografia, o que ajuda a garantir a soberania de dados em repouso dos serviços em escopo.
`gcp.restrictNonCmekServices`	Defina como uma lista de todos os nomes de serviço de API no escopo, incluindo: `aiplatform.googleapis.com` `alloydb.googleapis.com` `apigee.googleapis.com` `artifactregistry.googleapis.com` `backupdr.googleapis.com` `bigquery.googleapis.com` `bigquerydatatransfer.googleapis.com` `bigtable.googleapis.com` `cloudfunctions.googleapis.com` `cloudtasks.googleapis.com` `composer.googleapis.com` `compute.googleapis.com` `contactcenterinsights.googleapis.com` `container.googleapis.com` `dataflow.googleapis.com` `dataform.googleapis.com` `datafusion.googleapis.com` `dataplex.googleapis.com` `dataproc.googleapis.com` `dialogflow.googleapis.com` `discoveryengine.googleapis.com` `documentai.googleapis.com` `eventarc.googleapis.com` `file.googleapis.com` `firestore.googleapis.com` `gkebackup.googleapis.com` `integrations.googleapis.com` `logging.googleapis.com` `looker.googleapis.com` `lustre.googleapis.com` `memorystore.googleapis.com` `netapp.googleapis.com` `notebooks.googleapis.com` `observability.googleapis.com` `pubsub.googleapis.com` `redis.googleapis.com` `run.googleapis.com` `secretmanager.googleapis.com` `securesourcemanager.googleapis.com` `securitycenter.googleapis.com` `spanner.googleapis.com` `speech.googleapis.com` `sqladmin.googleapis.com` `storage.googleapis.com` `storagetransfer.googleapis.com` `tpu.googleapis.com` `workstations.googleapis.com` Alguns recursos podem ser afetados para cada um dos serviços listados acima. Cada serviço listado requer chaves de criptografia gerenciadas pelo cliente (CMEK). A CMEK criptografa dados em repouso com uma chave gerenciada por você, não pelos mecanismos de criptografia padrão do Google. Alterar esse valor removendo um ou mais serviços em escopo da lista pode prejudicar a soberania de dados, porque novos dados em repouso são criptografados automaticamente usando as chaves do Google em vez das suas. Os dados em repouso atuais vão permanecer criptografados pela chave que você forneceu.
`gcp.restrictServiceUsage`	Defina para permitir todos os produtos e endpoints de API compatíveis. Determina quais serviços podem ser usados ao restringir o acesso do ambiente de execução aos recursos deles. Saiba mais em Como restringir locais de recursos.
`gcp.restrictTLSVersion`	Defina para negar as seguintes versões de TLS: `TLS_1_0` `TLS_1_1` Para mais informações, consulte Restringir versões do TLS.

BigQuery

Recursos afetados do BigQuery

Recurso	Descrição
Ativar o BigQuery em uma nova pasta	O BigQuery é compatível, mas não é ativado automaticamente quando você cria uma nova pasta do Assured Workloads devido a um processo de configuração interna. Esse processo normalmente termina em dez minutos, mas pode levar muito mais tempo em algumas circunstâncias. Para verificar se o processo foi concluído e ativar o BigQuery, siga estas etapas: No console do Google Cloud , acesse a página Assured Workloads. Acesse o Assured Workloads Selecione a nova pasta do Assured Workloads na lista. Na página Detalhes da pasta, na seção Serviços permitidos, clique em Analisar atualizações disponíveis. No painel Serviços permitidos, revise os serviços que serão adicionados à política da organização Restrição de uso de recursos da pasta. Se os serviços do BigQuery estiverem listados, clique em Permitir serviços para adicioná-los. Se os serviços do BigQuery não estiverem listados, aguarde a conclusão do processo interno. Se os serviços não forem listados em até 12 horas após a criação da pasta, entre em contato com o Cloud Customer Care. Depois que o processo de ativação for concluído, será possível usar o BigQuery na pasta do Assured Workloads. O Gemini no BigQuery não é compatível com o Assured Workloads.
APIs do BigQuery em conformidade	As seguintes APIs do BigQuery estão em conformidade com o IL5: `bigquery.googleapis.com` `bigquerydatapolicy.googleapis.com` `bigqueryconnection.googleapis.com` `bigquerymigration.googleapis.com` `bigquerystorage.googleapis.com` `bigqueryreservation.googleapis.com` `bigquerydatatransfer.googleapis.com` A API Reservations não é ativada por padrão. Para mais informações, consulte Como ativar uma API no seu projeto do Google Cloud .
Regiões	O BigQuery é compatível com IL5 em todas as regiões dos EUA, exceto na multirregião dos EUA. A conformidade com o IL5 não pode ser garantida se um conjunto de dados for criado em uma multirregião dos EUA, em uma região fora dos EUA ou em uma multirregião fora dos EUA. É sua responsabilidade especificar uma região compatível com IL5 ao criar conjuntos de dados do BigQuery.
Consultas em conjuntos de dados IL5 de projetos que não são IL5	O BigQuery não impede que conjuntos de dados IL5 sejam consultados em projetos que não são IL5. Verifique se todas as consultas que usam uma operação de leitura ou mesclagem em dados técnicos do IL5 estão em uma pasta compatível com o IL5.
Conexões com fontes de dados externas	A responsabilidade de compliance do Google se limita ao recurso da API BigQuery Connection. É sua responsabilidade garantir a conformidade dos produtos de origem usados com a API BigQuery Connection.
Recursos não suportados	Os recursos do BigQuery a seguir não são compatíveis e não devem ser usados na CLI do BigQuery. É sua responsabilidade não usá-los no BigQuery para o Assured Workloads. Interação com fontes de dados remotas Modelos do BQML treinados externamente não são compatíveis. Modelos do BQML treinados internamente são compatíveis. Não há suporte para mascaramento de dados com tags de política. O mascaramento de dados com a aplicação de políticas de dados diretamente às colunas é compatível. Exportação do GDrive Funções remotas Consultas salvas Programação do fluxo de trabalho No BigQuery Studio, os notebooks não são compatíveis. O Gemini no BigQuery não é compatível.
CLI do BigQuery	A CLI do BigQuery é compatível.
SDK do Google Cloud	Use o SDK Google Cloud versão 403.0.0 ou mais recente para manter as garantias de regionalização de dados técnicos. Para verificar a versão atual do SDK Google Cloud, execute `gcloud --version` e, em seguida, `gcloud components update` para atualizar para a versão mais recente.
Controles do administrador	O BigQuery vai desativar as APIs incompatíveis, mas os administradores com permissões suficientes para criar pastas do Assured Workloads podem ativar uma API incompatível. Se isso ocorrer, você vai receber uma notificação de possível não conformidade pelo painel de monitoramento do Assured Workloads.
Carregando dados	Os conectores do serviço de transferência de dados do BigQuery para apps de software como serviço (SaaS) do Google, provedores de armazenamento em nuvem externos e data warehouses não são compatíveis. É sua responsabilidade não usar os conectores do serviço de transferência de dados do BigQuery para o limite de dados em cargas de trabalho IL5.
Transferências de terceiros	O BigQuery não verifica o suporte para transferências de terceiros para o serviço de transferência de dados do BigQuery. É sua responsabilidade verificar o suporte ao usar qualquer transferência de terceiros para o serviço de transferência de dados do BigQuery.
Modelos do BQML não compatíveis	Modelos do BQML treinados externamente não são compatíveis.
Jobs de consulta	Os jobs de consulta só devem ser criados em pastas do Assured Workloads.
Consultas em conjuntos de dados de outros projetos	O BigQuery não impede que conjuntos de dados do Assured Workloads sejam consultados em projetos que não são do Assured Workloads. Verifique se todas as consultas que têm uma leitura ou uma mesclagem nos dados do Assured Workloads estão nas pastas do Assured Workloads. É possível especificar um nome de tabela totalmente qualificado para o resultado da consulta usando `projectname.dataset.table` na CLI do BigQuery.
Cloud Logging	O BigQuery usa o Cloud Logging para alguns dos seus dados de registro. Desative os buckets de geração de registros do `_default` ou restrinja os buckets do `_default` às regiões no escopo para manter a conformidade usando o seguinte comando: `gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink` Para mais informações, consulte Regionalizar seus registros.

Cloud Interconnect

Recursos afetados do Cloud Interconnect

Recurso	Descrição
VPN de alta disponibilidade (HA)	É preciso ativar a funcionalidade de VPN de alta disponibilidade (HA) ao usar o Cloud Interconnect com o Cloud VPN. Além disso, é preciso aderir aos requisitos de criptografia e regionalização listados na seção Recursos afetados do Cloud VPN.

Cloud KMS

Restrições da política da organização do Cloud KMS

Restrição da política da organização	Descrição
`cloudkms.allowedProtectionLevels`	Defina para permitir a criação de CryptoKeys do Cloud Key Management Service com os seguintes níveis de proteção: `SOFTWARE` `HSM` `EXTERNAL` `EXTERNAL_VPC` Consulte Níveis de proteção para mais informações.

Cloud Logging

Recursos afetados do Cloud Logging

Recurso	Descrição
Coletores de registros	Os filtros não podem conter dados do cliente. Os coletores de registros incluem filtros de inclusão armazenados como configuração. Não crie filtros que contenham dados do cliente.
Entradas de registro de acompanhamento ao vivo	Os filtros não podem conter dados do cliente. Uma sessão de acompanhamento ao vivo inclui um filtro armazenado como configuração. Os registros de cauda não armazenam dados de entrada de registro, mas podem consultar e transmitir dados entre regiões. Não crie filtros que contenham dados de clientes.
Políticas de alertas baseadas em SQL	Este recurso está desativado. Não é possível usar o recurso de políticas de alertas baseadas em SQL.

Cloud Monitoring

Recursos afetados do Cloud Monitoring

Recurso	Descrição
Monitor sintético	Este recurso está desativado.
Verificações de tempo de atividade	Este recurso está desativado.

Cloud Run

Recursos afetados do Cloud Run

Recurso	Descrição
Recursos não suportados	Os seguintes recursos do Cloud Run não são compatíveis: Integração do Cloud Trace Cloud Run functions Gatilhos do Eventarc

Cloud SQL

Restrições da política da organização do Cloud SQL

Restrição da política da organização	Descrição
`sql.restrictNoncompliantDiagnosticDataAccess`	Definido como Verdadeiro. Aplica controles adicionais de soberania de dados e suporte aos recursos do Cloud SQL. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.
`sql.restrictNoncompliantResourceCreation`	Definido como Verdadeiro. Aplica controles extras de soberania de dados para evitar a criação de recursos do Cloud SQL que não estão em compliance. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.

Cloud Storage

Restrições da política da organização do Cloud Storage

Restrição da política da organização	Descrição
`storage.publicAccessPrevention`	Definido como Verdadeiro. O acesso público é restrito para todos os buckets e objetos, novos e existentes, na pasta do Assured Workloads.

API Cloud Vision

Recursos afetados da API Cloud Vision

Recurso	Descrição
Endpoints de API Cloud Vision em conformidade com IL5	É sua responsabilidade usar apenas o endpoint de API da região dos EUA (`us-vision.googleapis.com`) para a API Cloud Vision. O endpoint global (`vision.googleapis.com`) não é compatível com o IL5, e o uso dele pode prejudicar a residência de dados da carga de trabalho.

Cloud VPN

Recursos afetados do Cloud VPN

Recurso	Descrição
Endpoints de VPN	Use apenas endpoints do Cloud VPN que estejam localizados em uma região no escopo. Verifique se o gateway da VPN está configurado para uso apenas em uma região no escopo.

Cloud Workstations

Recursos afetados do Cloud Workstations

Recurso	Descrição
Como criar um cluster de estação de trabalho	Ao criar um cluster de estação de trabalho, é sua responsabilidade configurá-lo da seguinte maneira para garantir a residência de dados: Selecione apenas um gateway particular ao criar um cluster de estação de trabalho. O uso de um gateway particular fornece residência de dados em trânsito. Use apenas um balanceador de carga de aplicativo externo regional ao configurar um domínio personalizado. O uso de um balanceador de carga de aplicativo externo regional fornece residência de dados em trânsito.

Recurso

Descrição

Como criar um cluster de estação de trabalho

Ao criar um cluster de estação de trabalho, é sua responsabilidade configurá-lo da seguinte maneira para garantir a residência de dados:

Selecione apenas um gateway particular ao criar um cluster de estação de trabalho. O uso de um gateway particular fornece residência de dados em trânsito.
Use apenas um balanceador de carga de aplicativo externo regional ao configurar um domínio personalizado. O uso de um balanceador de carga de aplicativo externo regional fornece residência de dados em trânsito.

Compute Engine

Recursos afetados do Compute Engine

Recurso	Descrição
Como suspender e retomar uma instância de VM	Este recurso está desativado. A suspensão e a retomada de uma instância de VM requer armazenamento em disco permanente. O armazenamento em disco permanente usado para armazenar o estado da VM suspensa não pode ser criptografado usando CMEKs. Consulte a restrição da política da organização `gcp.restrictNonCmekServices` na seção acima para entender as implicações de soberania de dados e residência de dados ao ativar esse recurso.
SSDs locais	Este recurso está desativado. Não será possível criar uma instância com SSDs locais porque não é possível fazer a criptografia deles usando CMEKs. Consulte a restrição da política da organização `gcp.restrictNonCmekServices` na seção acima para entender as implicações de soberania de dados e residência de dados ao ativar esse recurso.
Como adicionar um grupo de instâncias a um balanceador de carga global	Não é possível adicionar um grupo de instâncias a um balanceador de carga global. Esse recurso está desativado pela restrição da política da organização `compute.disableGlobalLoadBalancing`.
Ambiente para convidado	Os scripts, daemons e binários incluídos no ambiente convidado podem acessar dados não criptografados em repouso e em uso. Dependendo da configuração da VM, as atualizações desse software podem ser instaladas por padrão. Consulte Ambiente convidado para ver informações específicas sobre o conteúdo de cada pacote, o código-fonte e mais. Esses componentes ajudam a atender à soberania de dados com processos e controles de segurança internos. No entanto, se você quiser mais controle, também poderá selecionar suas próprias imagens ou agentes e, opcionalmente, usar a restrição de política da organização `compute.trustedImageProjects`. Para mais informações, consulte Como criar uma imagem personalizada.
Políticas de SO no VM Manager	Os scripts inline e os arquivos de saída binários nos arquivos de política do SO não são criptografados usando chaves de criptografia gerenciadas pelo cliente (CMEK). Não inclua informações sensíveis nesses arquivos. Considere armazenar esses scripts e arquivos de saída em buckets do Cloud Storage. Para mais informações, consulte Exemplos de políticas de SO. Se você quiser restringir a criação ou modificação de recursos de política de SO que usam scripts inline ou arquivos de saída binários, ative a restrição de política da organização `constraints/osconfig.restrictInlineScriptAndOutputFileUsage`. Para mais informações, consulte Restrições para a Configuração do SO.
`instances.getSerialPortOutput()`	Esta API está desativada. Não será possível receber a saída da porta serial da instância especificada usando essa API. Mude o valor da restrição da política da organização `compute.disableInstanceDataAccessApis` para Falso para ativar essa API. Também é possível ativar e usar a porta serial interativa seguindo as instruções em Como ativar o acesso para um projeto.
`instances.getScreenshot()`	Esta API está desativada. Não será possível receber uma captura de tela da instância especificada usando essa API. Mude o valor da restrição da política da organização `compute.disableInstanceDataAccessApis` para Falso para ativar essa API. Também é possível ativar e usar a porta serial interativa seguindo as instruções em Como ativar o acesso para um projeto.

Restrições da política da organização do Compute Engine

Restrição da política da organização	Descrição
`compute.disableGlobalCloudArmorPolicy`	Definido como Verdadeiro. Desativa a criação de novas políticas de segurança globais do Google Cloud Armor e a adição ou modificação de regras para políticas de segurança globais dele. Essa restrição não afeta a remoção de regras nem a capacidade de remover ou alterar a descrição e a listagem de políticas de segurança globais do Google Cloud Armor. As políticas de segurança regionais do Google Cloud Armor não são afetadas por essa restrição. As políticas de segurança globais e regionais que existiam antes da aplicação dessa restrição continuam em vigor.
`compute.disableGlobalLoadBalancing`	Definido como Verdadeiro. Desativa a criação de produtos de balanceamento de carga global. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.
`compute.disableInstanceDataAccessApis`	Definido como Verdadeiro. Desativa globalmente as APIs `instances.getSerialPortOutput()` e `instances.getScreenshot()`. Ativar essa restrição impede que você gere credenciais em VMs do Windows Server. Se você precisar gerenciar um nome de usuário e uma senha em uma VM do Windows, faça o seguinte: Ativar SSH para VMs do Windows. Execute o seguinte comando para alterar a senha da VM: gcloud compute ssh `VM_NAME` --command "net user `USERNAME` `PASSWORD`" Substitua: `VM_NAME`: o nome da VM para a qual você está definindo a senha. `USERNAME`: o nome de usuário da pessoa para quem você está definindo a senha. `PASSWORD`: a nova senha.
`compute.setNewProjectDefaultToZonalDNSOnly`	Definido como Verdadeiro. Define a configuração de DNS para novos projetos como somente DNS zonal. O DNS zonal reduz o risco de interrupções entre regiões e melhora a confiabilidade geral dos projetos no Compute Engine.
`compute.skipDefaultNetworkCreation`	Definido como Verdadeiro. Desativa a criação de uma rede padrão e dos recursos de suporte dela quando um novo projeto é criado.
`compute.restrictNonConfidentialComputing`	(Opcional) O valor não está definido. Defina esse valor para fornecer uma defesa em profundidade adicional. Para mais informações, consulte a documentação sobre VMs confidenciais.
`compute.trustedImageProjects`	(Opcional) O valor não está definido. Defina esse valor para fornecer uma defesa em profundidade adicional. A definição desse valor restringe o armazenamento de imagens e a instanciação de disco à lista especificada de projetos. Esse valor afeta a soberania de dados, impedindo o uso de imagens ou agentes não autorizados.

Google Cloud Armor

Recursos afetados do Google Cloud Armor

Recurso	Descrição
Políticas de segurança com escopo global	Esse recurso é desativado pela restrição da política da organização `compute.disableGlobalCloudArmorPolicy`.

IAM

Restrições da política da organização do IAM

Restrição da política da organização Descrição

iam.automaticIamGrantsForDefaultServiceAccounts Definido como Verdadeiro.

Desativa a concessão automática do papel básico legado de Editor (roles/editor) às contas de serviço padrão.

Essa restrição não impede que as contas de serviço padrão recebam papéis básicos legados no futuro. Para evitar esse comportamento, defina a restrição iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts na pasta do Assured Workloads.

iam.disableServiceAccountKeyCreation Definido como Verdadeiro.

Desativa a criação de novas chaves de conta de serviço e chaves HMAC do Cloud Storage.

Se as chaves de conta de serviço forem necessárias para sua carga de trabalho, leia a página Práticas recomendadas para gerenciar chaves de conta de serviço antes de mudar o valor dessa restrição.

Restrição da política da organização	Descrição
`iam.automaticIamGrantsForDefaultServiceAccounts`	Definido como Verdadeiro. Desativa a concessão automática do papel básico legado de Editor (`roles/editor`) às contas de serviço padrão. Essa restrição não impede que as contas de serviço padrão recebam papéis básicos legados no futuro. Para evitar esse comportamento, defina a restrição `iam.managed.preventPrivilegedBasicRolesForDefaultServiceAccounts` na pasta do Assured Workloads.
`iam.disableServiceAccountKeyCreation`	Definido como Verdadeiro. Desativa a criação de novas chaves de conta de serviço e chaves HMAC do Cloud Storage. Se as chaves de conta de serviço forem necessárias para sua carga de trabalho, leia a página Práticas recomendadas para gerenciar chaves de conta de serviço antes de mudar o valor dessa restrição.

Identity-Aware Proxy

Recursos afetados do Identity-Aware Proxy

Recurso	Descrição
Como usar o IAP para encaminhamento de TCP	É sua responsabilidade não usar o IAP para encaminhamento de TCP, porque ele não está em conformidade com o limite de dados para IL5.

Knowledge Catalog

Recursos do Knowledge Catalog

Recurso	Descrição
Attribute Store	Esse recurso foi descontinuado e desativado.
Data Catalog	Esse recurso foi descontinuado e desativado. Não é possível pesquisar nem gerenciar seus metadados no Data Catalog.
Lakes e zonas	Este recurso está desativado. Não é possível gerenciar lakes, zonas e tarefas.

Pub/Sub

Restrições da política da organização do Pub/Sub

Restrição da política da organização	Descrição
`pubsub.managed.disableSubscriptionMessageTransforms`	Definido como Verdadeiro. Desativa a configuração de assinaturas do Pub/Sub com transformações de mensagem única (SMTs, na sigla em inglês). Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.
`pubsub.managed.disableTopicMessageTransforms`	Definido como Verdadeiro. Desativa a configuração de tópicos do Pub/Sub com transformações de mensagem única (SMTs, na sigla em inglês). Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.

Spanner

Recursos afetados do Spanner

Recurso	Descrição
Limites de divisão	O Spanner usa um pequeno subconjunto de chaves primárias e colunas indexadas para definir limites de divisão, que podem incluir dados e metadados do cliente. Um limite de divisão no Spanner indica o local em que intervalos contíguos de linhas são divididos em partes menores. Esses limites de divisão podem ser acessados pela equipe do Google para fins de suporte técnico e depuração, e não estão sujeitos aos controles de dados de acesso administrativo no Assured Workloads.

Recurso

Descrição

Limites de divisão

O Spanner usa um pequeno subconjunto de chaves primárias e colunas indexadas para definir limites de divisão, que podem incluir dados e metadados do cliente. Um limite de divisão no Spanner indica o local em que intervalos contíguos de linhas são divididos em partes menores.

Esses limites de divisão podem ser acessados pela equipe do Google para fins de suporte técnico e depuração, e não estão sujeitos aos controles de dados de acesso administrativo no Assured Workloads.

Restrições da política da organização do Spanner

Restrição da política da organização	Descrição
`spanner.disableMultiRegionInstanceIfNoLocationSelected`	Definido como Verdadeiro. Desativa a capacidade de criar instâncias multirregionais do Spanner para aplicar a residência e a soberania de dados.

Speech-to-Text

Recursos afetados da Speech-to-Text

Recurso	Descrição
Modelos personalizados da Speech-to-Text	É sua responsabilidade não usar modelos personalizados da Speech-to-Text, porque eles não estão em conformidade com o limite de dados para IL5.

Vertex AI

Restrições da política da organização da Vertex AI

Restrição da política da organização	Descrição
`vertexai.allowOnlyIL5CompliantAPIs`	Definido como Verdadeiro. Permite que apenas APIs compatíveis com IL5 sejam usadas nas APIs Vertex AI. Por padrão, todas as APIs são permitidas.

A seguir

Saiba como criar uma pasta do Assured Workloads.
Entenda os preços do Assured Workloads.