国际武器贸易条例 (ITAR) 的数据边界

本页面介绍了 Assured Workloads 中应用于 ITAR 工作负载的一组控制措施。它提供了有关数据驻留、受支持的 Google Cloud 产品及其 API 端点，以及这些产品的任何适用限制或局限的详细信息。以下附加信息适用于 ITAR：

  • 数据驻留：ITAR 控制软件包将数据位置控制设置为仅支持美国区域。如需了解详情，请参阅Google Cloud范围的组织政策限制条件部分。
  • 支持：通过增强型或高级 Cloud Customer Care 订阅，您可以获得针对 ITAR 工作负载的技术支持服务。ITAR 工作负载支持案例会路由给位于美国的美国人。如需了解详情，请参阅获取支持。
  • 价格：ITAR 控制软件包包含在 Assured Workloads 的高级层级中，需要额外支付 20% 的费用。如需了解详情，请参阅 Assured Workloads 价格。

前提条件

作为 ITAR 控制包的用户，为保持合规性，请验证您是否满足并遵守以下前提条件：

  • 使用 Assured Workloads 创建 ITAR 文件夹，并仅在该文件夹中部署 ITAR 工作负载。
  • 仅为 ITAR 工作负载启用和使用符合 ITAR 要求的服务。
  • 除非另有说明，否则请勿使用 Google Cloud MCP 服务器。 ITAR 不会为 Google Cloud MCP 服务器中的使用中数据和传输中数据提供数据驻留控制。如需阻止不必要的 Google Cloud MCP 服务器访问，请参阅使用 IAM 控制 Google Cloud MCP 服务器的使用页面。
  • 除非您了解并愿意接受可能发生的数据驻留风险，否则请勿更改默认组织政策限制条件值。
  • 访问 Google Cloud 控制台以处理 ITAR 工作负载时，您必须使用以下管辖区级 Google Cloud 控制台网址之一：
  • 连接到 Google Cloud 服务端点时，您必须为提供区域端点的服务使用区域端点。此外：
    • 从非Google Cloud虚拟机（例如本地虚拟机或其他云提供商的虚拟机）连接到 Google Cloud 服务端点时，您必须使用支持连接到非Google Cloud 虚拟机的可用专用访问选项，以将非Google Cloud 流量路由到 Google Cloud。
    • 从 Google Cloud 虚拟机连接到 Google Cloud 服务端点时，您可以使用任何可用的专用访问选项。
    • 连接到已通过外部 IP 地址公开的 Google Cloud 虚拟机时，请参阅从具有外部 IP 地址的虚拟机访问 API。
  • 对于 ITAR 文件夹中使用的所有服务，请勿在以下用户定义或安全配置信息类型中存储技术数据：
    • 错误消息
    • 控制台输出
    • 属性数据
    • 服务配置数据
    • 网络数据包标头
    • 资源标识符
    • 数据标签
  • 仅使用提供区域级端点的服务所提供的指定区域级端点。如需了解详情，请参阅适用的 ITAR 服务。
  • 考虑采用Google Cloud 安全性最佳实践中心中提供的一般安全性最佳实践。

支持的产品和 API 端点

除非另有说明，否则用户可以通过 Google Cloud 控制台访问所有受支持的产品。下表列出了会影响受支持产品的功能的限制，包括通过组织政策限制条件设置强制执行的限制。

如果某款产品未列出，则表示该产品不受支持，并且不符合 ITAR 的控制要求。在未进行尽职调查且未充分了解您在责任共担模型中的责任的情况下，不建议使用不受支持的产品。在使用不受支持的产品之前，请确保您了解并愿意接受任何相关的风险，例如对数据驻留或数据主权的负面影响。

在其 API 操作中与客户数据交互的服务提供区域级 API 端点。请使用这些端点（而非服务的全球 API 端点）来保持 ITAR 合规性。对于 API 操作不打算与客户数据互动的服务，可以使用全球 API 端点。您有责任确保不会通过这些全球 API 端点传输受 ITAR 监管的技术数据。如需详细了解客户数据和服务数据，请参阅数据驻留。

支持区域级 API 端点的产品

下表列出了支持的产品及其区域级 API 端点。这些 API 端点旨在处理和传输客户数据。为了在您使用这些产品时满足 ITAR 合规性要求，您必须使用可用的区域 API 端点，而不是全球 API 端点。

支持的产品 区域 API 端点 限制或局限
AlloyDB for PostgreSQL
    alloydb.us-central1.rep.googleapis.com
    alloydb.us-central2.rep.googleapis.com
    alloydb.us-east1.rep.googleapis.com
    alloydb.us-east4.rep.googleapis.com
    alloydb.us-east5.rep.googleapis.com
    alloydb.us-east7.rep.googleapis.com
    alloydb.us-south1.rep.googleapis.com
    alloydb.us-west1.rep.googleapis.com
    alloydb.us-west2.rep.googleapis.com
    alloydb.us-west3.rep.googleapis.com
    alloydb.us-west4.rep.googleapis.com

 无
Apigee
    apigee.us.rep.googleapis.com

 无
Artifact Analysis
    containeranalysis.us.rep.googleapis.com
    containeranalysis.us-central1.rep.googleapis.com
    containeranalysis.us-central2.rep.googleapis.com
    containeranalysis.us-east1.rep.googleapis.com
    containeranalysis.us-east4.rep.googleapis.com
    containeranalysis.us-east5.rep.googleapis.com
    containeranalysis.us-east7.rep.googleapis.com
    containeranalysis.us-south1.rep.googleapis.com
    containeranalysis.us-west1.rep.googleapis.com
    containeranalysis.us-west2.rep.googleapis.com
    containeranalysis.us-west3.rep.googleapis.com
    containeranalysis.us-west4.rep.googleapis.com

 无
Artifact Registry
    artifactregistry.us.rep.googleapis.com
    artifactregistry.us-central1.rep.googleapis.com
    artifactregistry.us-central2.rep.googleapis.com
    artifactregistry.us-east1.rep.googleapis.com
    artifactregistry.us-east4.rep.googleapis.com
    artifactregistry.us-east5.rep.googleapis.com
    artifactregistry.us-east7.rep.googleapis.com
    artifactregistry.us-south1.rep.googleapis.com
    artifactregistry.us-west1.rep.googleapis.com
    artifactregistry.us-west2.rep.googleapis.com
    artifactregistry.us-west3.rep.googleapis.com
    artifactregistry.us-west4.rep.googleapis.com
    artifactregistry.us-west8.rep.googleapis.com

 无
Backup and DR Service
    backupdr.us.rep.googleapis.com
    backupdr.us-central1.rep.googleapis.com
    backupdr.us-central2.rep.googleapis.com
    backupdr.us-east1.rep.googleapis.com
    backupdr.us-east4.rep.googleapis.com
    backupdr.us-east5.rep.googleapis.com
    backupdr.us-east7.rep.googleapis.com
    backupdr.us-south1.rep.googleapis.com
    backupdr.us-west1.rep.googleapis.com
    backupdr.us-west2.rep.googleapis.com
    backupdr.us-west3.rep.googleapis.com
    backupdr.us-west4.rep.googleapis.com
    backupdr.us-west8.rep.googleapis.com

 无
Backup for Google Kubernetes Engine (GKE)
    gkebackup.us-central1.rep.googleapis.com
    gkebackup.us-east1.rep.googleapis.com
    gkebackup.us-east4.rep.googleapis.com
    gkebackup.us-east5.rep.googleapis.com
    gkebackup.us-east7.rep.googleapis.com
    gkebackup.us-south1.rep.googleapis.com
    gkebackup.us-west1.rep.googleapis.com
    gkebackup.us-west2.rep.googleapis.com
    gkebackup.us-west3.rep.googleapis.com
    gkebackup.us-west4.rep.googleapis.com
    gkebackup.us-west8.rep.googleapis.com

 无
BigQuery
    bigquery.us-central1.rep.googleapis.com
    bigquery.us-central2.rep.googleapis.com
    bigquery.us-east1.rep.googleapis.com
    bigquery.us-east4.rep.googleapis.com
    bigquery.us-east5.rep.googleapis.com
    bigquery.us-east7.rep.googleapis.com
    bigquery.us-south1.rep.googleapis.com
    bigquery.us-west1.rep.googleapis.com
    bigquery.us-west2.rep.googleapis.com
    bigquery.us-west3.rep.googleapis.com
    bigquery.us-west4.rep.googleapis.com
    bigquery.us-west8.rep.googleapis.com
    bigquerymigration.us-central1.rep.googleapis.com
    bigquerymigration.us-central2.rep.googleapis.com
    bigquerymigration.us-east1.rep.googleapis.com
    bigquerymigration.us-east4.rep.googleapis.com
    bigquerymigration.us-east5.rep.googleapis.com
    bigquerymigration.us-east7.rep.googleapis.com
    bigquerymigration.us-south1.rep.googleapis.com
    bigquerymigration.us-west1.rep.googleapis.com
    bigquerymigration.us-west2.rep.googleapis.com
    bigquerymigration.us-west3.rep.googleapis.com
    bigquerymigration.us-west4.rep.googleapis.com
    bigquerymigration.us-west8.rep.googleapis.com
    bigqueryreservation.us-central1.rep.googleapis.com
    bigqueryreservation.us-central2.rep.googleapis.com
    bigqueryreservation.us-east1.rep.googleapis.com
    bigqueryreservation.us-east4.rep.googleapis.com
    bigqueryreservation.us-east5.rep.googleapis.com
    bigqueryreservation.us-east7.rep.googleapis.com
    bigqueryreservation.us-south1.rep.googleapis.com
    bigqueryreservation.us-west1.rep.googleapis.com
    bigqueryreservation.us-west2.rep.googleapis.com
    bigqueryreservation.us-west3.rep.googleapis.com
    bigqueryreservation.us-west4.rep.googleapis.com
    bigqueryreservation.us-west8.rep.googleapis.com
    bigquerystorage.us-central1.rep.googleapis.com
    bigquerystorage.us-central2.rep.googleapis.com
    bigquerystorage.us-east1.rep.googleapis.com
    bigquerystorage.us-east4.rep.googleapis.com
    bigquerystorage.us-east5.rep.googleapis.com
    bigquerystorage.us-east7.rep.googleapis.com
    bigquerystorage.us-south1.rep.googleapis.com
    bigquerystorage.us-west1.rep.googleapis.com
    bigquerystorage.us-west2.rep.googleapis.com
    bigquerystorage.us-west3.rep.googleapis.com
    bigquerystorage.us-west4.rep.googleapis.com
    bigquerystorage.us-west8.rep.googleapis.com

 受影响的功能
BigQuery Data Transfer Service
    bigquerydatatransfer.us-central1.rep.googleapis.com
    bigquerydatatransfer.us-central2.rep.googleapis.com
    bigquerydatatransfer.us-east1.rep.googleapis.com
    bigquerydatatransfer.us-east4.rep.googleapis.com
    bigquerydatatransfer.us-east5.rep.googleapis.com
    bigquerydatatransfer.us-east7.rep.googleapis.com
    bigquerydatatransfer.us-south1.rep.googleapis.com
    bigquerydatatransfer.us-west1.rep.googleapis.com
    bigquerydatatransfer.us-west2.rep.googleapis.com
    bigquerydatatransfer.us-west3.rep.googleapis.com
    bigquerydatatransfer.us-west4.rep.googleapis.com
    bigquerydatatransfer.us-west8.rep.googleapis.com

 无
Bigtable
    bigtable.us-central1.rep.googleapis.com
    bigtable.us-central2.rep.googleapis.com
    bigtable.us-east1.rep.googleapis.com
    bigtable.us-east4.rep.googleapis.com
    bigtable.us-east5.rep.googleapis.com
    bigtable.us-east7.rep.googleapis.com
    bigtable.us-south1.rep.googleapis.com
    bigtable.us-west1.rep.googleapis.com
    bigtable.us-west2.rep.googleapis.com
    bigtable.us-west3.rep.googleapis.com
    bigtable.us-west4.rep.googleapis.com
    bigtable.us-west8.rep.googleapis.com

 无
Cloud Build
    cloudbuild.us-central1.rep.googleapis.com
    cloudbuild.us-central2.rep.googleapis.com
    cloudbuild.us-east1.rep.googleapis.com
    cloudbuild.us-east4.rep.googleapis.com
    cloudbuild.us-east5.rep.googleapis.com
    cloudbuild.us-east7.rep.googleapis.com
    cloudbuild.us-south1.rep.googleapis.com
    cloudbuild.us-west1.rep.googleapis.com
    cloudbuild.us-west2.rep.googleapis.com
    cloudbuild.us-west3.rep.googleapis.com
    cloudbuild.us-west4.rep.googleapis.com
    cloudbuild.us-west8.rep.googleapis.com

 无
Cloud Deploy
    clouddeploy.us-central1.rep.googleapis.com
    clouddeploy.us-east1.rep.googleapis.com
    clouddeploy.us-east4.rep.googleapis.com
    clouddeploy.us-east5.rep.googleapis.com
    clouddeploy.us-east7.rep.googleapis.com
    clouddeploy.us-south1.rep.googleapis.com
    clouddeploy.us-west1.rep.googleapis.com
    clouddeploy.us-west2.rep.googleapis.com
    clouddeploy.us-west3.rep.googleapis.com
    clouddeploy.us-west4.rep.googleapis.com

 无
Cloud External Key Manager (Cloud EKM)
    cloudkms.us.rep.googleapis.com
    cloudkms.us-central1.rep.googleapis.com
    cloudkms.us-central2.rep.googleapis.com
    cloudkms.us-east1.rep.googleapis.com
    cloudkms.us-east4.rep.googleapis.com
    cloudkms.us-east5.rep.googleapis.com
    cloudkms.us-east7.rep.googleapis.com
    cloudkms.us-south1.rep.googleapis.com
    cloudkms.us-west1.rep.googleapis.com
    cloudkms.us-west2.rep.googleapis.com
    cloudkms.us-west3.rep.googleapis.com
    cloudkms.us-west4.rep.googleapis.com
    cloudkms.us-west8.rep.googleapis.com

 无
Cloud HSM
    cloudkms.us.rep.googleapis.com
    cloudkms.us-central1.rep.googleapis.com
    cloudkms.us-central2.rep.googleapis.com
    cloudkms.us-east1.rep.googleapis.com
    cloudkms.us-east4.rep.googleapis.com
    cloudkms.us-east5.rep.googleapis.com
    cloudkms.us-east7.rep.googleapis.com
    cloudkms.us-south1.rep.googleapis.com
    cloudkms.us-west1.rep.googleapis.com
    cloudkms.us-west2.rep.googleapis.com
    cloudkms.us-west3.rep.googleapis.com
    cloudkms.us-west4.rep.googleapis.com
    cloudkms.us-west8.rep.googleapis.com

 无
Cloud Interconnect
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能
Cloud Key Management Service (Cloud KMS)
    cloudkms.us.rep.googleapis.com
    cloudkms.us-central1.rep.googleapis.com
    cloudkms.us-central2.rep.googleapis.com
    cloudkms.us-east1.rep.googleapis.com
    cloudkms.us-east4.rep.googleapis.com
    cloudkms.us-east5.rep.googleapis.com
    cloudkms.us-east7.rep.googleapis.com
    cloudkms.us-south1.rep.googleapis.com
    cloudkms.us-west1.rep.googleapis.com
    cloudkms.us-west2.rep.googleapis.com
    cloudkms.us-west3.rep.googleapis.com
    cloudkms.us-west4.rep.googleapis.com
    cloudkms.us-west8.rep.googleapis.com

 无
Cloud Load Balancing
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能
Cloud Logging
    logging.us.rep.googleapis.com
    logging.us-central1.rep.googleapis.com
    logging.us-central2.rep.googleapis.com
    logging.us-east1.rep.googleapis.com
    logging.us-east4.rep.googleapis.com
    logging.us-east5.rep.googleapis.com
    logging.us-east7.rep.googleapis.com
    logging.us-south1.rep.googleapis.com
    logging.us-west1.rep.googleapis.com
    logging.us-west2.rep.googleapis.com
    logging.us-west3.rep.googleapis.com
    logging.us-west4.rep.googleapis.com
    logging.us-west8.rep.googleapis.com

 受影响的功能
Cloud NAT
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能
Cloud Router
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能
Cloud Run
    run.us-central1.rep.googleapis.com
    run.us-central2.rep.googleapis.com
    run.us-east1.rep.googleapis.com
    run.us-east4.rep.googleapis.com
    run.us-east5.rep.googleapis.com
    run.us-east7.rep.googleapis.com
    run.us-south1.rep.googleapis.com
    run.us-west1.rep.googleapis.com
    run.us-west2.rep.googleapis.com
    run.us-west3.rep.googleapis.com
    run.us-west4.rep.googleapis.com
    run.us-west8.rep.googleapis.com

 受影响的功能
Cloud SQL
    sqladmin.us-central1.rep.googleapis.com
    sqladmin.us-central2.rep.googleapis.com
    sqladmin.us-east1.rep.googleapis.com
    sqladmin.us-east4.rep.googleapis.com
    sqladmin.us-east5.rep.googleapis.com
    sqladmin.us-east7.rep.googleapis.com
    sqladmin.us-south1.rep.googleapis.com
    sqladmin.us-west1.rep.googleapis.com
    sqladmin.us-west2.rep.googleapis.com
    sqladmin.us-west3.rep.googleapis.com
    sqladmin.us-west4.rep.googleapis.com
    sqladmin.us-west8.rep.googleapis.com

 受影响的功能
Cloud Service Mesh
    trafficdirector.us-central1.rep.googleapis.com
    trafficdirector.us-central2.rep.googleapis.com
    trafficdirector.us-east1.rep.googleapis.com
    trafficdirector.us-east4.rep.googleapis.com
    trafficdirector.us-east5.rep.googleapis.com
    trafficdirector.us-east7.rep.googleapis.com
    trafficdirector.us-south1.rep.googleapis.com
    trafficdirector.us-west1.rep.googleapis.com
    trafficdirector.us-west2.rep.googleapis.com
    trafficdirector.us-west3.rep.googleapis.com
    trafficdirector.us-west4.rep.googleapis.com
    trafficdirector.us-west8.rep.googleapis.com

 无
Spanner
    spanner.us.rep.googleapis.com
    spanner.us-central1.rep.googleapis.com
    spanner.us-central2.rep.googleapis.com
    spanner.us-east1.rep.googleapis.com
    spanner.us-east4.rep.googleapis.com
    spanner.us-east5.rep.googleapis.com
    spanner.us-east7.rep.googleapis.com
    spanner.us-south1.rep.googleapis.com
    spanner.us-west1.rep.googleapis.com
    spanner.us-west2.rep.googleapis.com
    spanner.us-west3.rep.googleapis.com
    spanner.us-west4.rep.googleapis.com
    spanner.us-west8.rep.googleapis.com

 受影响的功能 和组织政策限制条件
Cloud Storage
    storage.us.rep.googleapis.com
    storage.us-central1.rep.googleapis.com
    storage.us-central2.rep.googleapis.com
    storage.us-east1.rep.googleapis.com
    storage.us-east4.rep.googleapis.com
    storage.us-east5.rep.googleapis.com
    storage.us-east7.rep.googleapis.com
    storage.us-south1.rep.googleapis.com
    storage.us-west1.rep.googleapis.com
    storage.us-west2.rep.googleapis.com
    storage.us-west3.rep.googleapis.com
    storage.us-west4.rep.googleapis.com
    storage.us-west8.rep.googleapis.com

 受影响的功能
Cloud VPN
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能
Compute Engine
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能 和组织政策限制条件
Dataflow
    dataflow.us-central1.rep.googleapis.com
    dataflow.us-central2.rep.googleapis.com
    dataflow.us-east1.rep.googleapis.com
    dataflow.us-east4.rep.googleapis.com
    dataflow.us-east5.rep.googleapis.com
    dataflow.us-east7.rep.googleapis.com
    dataflow.us-south1.rep.googleapis.com
    dataflow.us-west1.rep.googleapis.com
    dataflow.us-west2.rep.googleapis.com
    dataflow.us-west3.rep.googleapis.com
    dataflow.us-west4.rep.googleapis.com
    dataflow.us-west8.rep.googleapis.com

 无
Eventarc
    eventarc.us.rep.googleapis.com
    eventarc.us-central1.rep.googleapis.com
    eventarc.us-central2.rep.googleapis.com
    eventarc.us-east1.rep.googleapis.com
    eventarc.us-east4.rep.googleapis.com
    eventarc.us-east5.rep.googleapis.com
    eventarc.us-east7.rep.googleapis.com
    eventarc.us-south1.rep.googleapis.com
    eventarc.us-west1.rep.googleapis.com
    eventarc.us-west2.rep.googleapis.com
    eventarc.us-west3.rep.googleapis.com
    eventarc.us-west4.rep.googleapis.com
    eventarc.us-west8.rep.googleapis.com

 无
外部直通式网络负载均衡器
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 无
Filestore
    file.us-central1.rep.googleapis.com
    file.us-central2.rep.googleapis.com
    file.us-east1.rep.googleapis.com
    file.us-east4.rep.googleapis.com
    file.us-east5.rep.googleapis.com
    file.us-east7.rep.googleapis.com
    file.us-south1.rep.googleapis.com
    file.us-west1.rep.googleapis.com
    file.us-west2.rep.googleapis.com
    file.us-west3.rep.googleapis.com
    file.us-west4.rep.googleapis.com
    file.us-west8.rep.googleapis.com

 无
Firestore
    datastore.us.rep.googleapis.com
    datastore.us-central1.rep.googleapis.com
    datastore.us-east1.rep.googleapis.com
    datastore.us-east4.rep.googleapis.com
    datastore.us-east5.rep.googleapis.com
    datastore.us-east7.rep.googleapis.com
    datastore.us-south1.rep.googleapis.com
    datastore.us-west1.rep.googleapis.com
    datastore.us-west2.rep.googleapis.com
    datastore.us-west3.rep.googleapis.com
    datastore.us-west4.rep.googleapis.com
    datastore.us-west8.rep.googleapis.com
    firestore.us.rep.googleapis.com
    firestore.us-central1.rep.googleapis.com
    firestore.us-east1.rep.googleapis.com
    firestore.us-east4.rep.googleapis.com
    firestore.us-east5.rep.googleapis.com
    firestore.us-east7.rep.googleapis.com
    firestore.us-south1.rep.googleapis.com
    firestore.us-west1.rep.googleapis.com
    firestore.us-west2.rep.googleapis.com
    firestore.us-west3.rep.googleapis.com
    firestore.us-west4.rep.googleapis.com
    firestore.us-west8.rep.googleapis.com

 组织政策限制条件
Google Kubernetes Engine (GKE) Hub（舰队）
    gkehub.us-central1.rep.googleapis.com
    gkehub.us-central2.rep.googleapis.com
    gkehub.us-east1.rep.googleapis.com
    gkehub.us-east4.rep.googleapis.com
    gkehub.us-east5.rep.googleapis.com
    gkehub.us-east7.rep.googleapis.com
    gkehub.us-south1.rep.googleapis.com
    gkehub.us-west1.rep.googleapis.com
    gkehub.us-west2.rep.googleapis.com
    gkehub.us-west3.rep.googleapis.com
    gkehub.us-west4.rep.googleapis.com
    gkehub.us-west8.rep.googleapis.com

 无
Vertex AI 上的生成式 AI
    aiplatform.us.rep.googleapis.com

 组织政策限制条件
Google Cloud Armor
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能
Google Cloud Managed Service for Apache Kafka
    managedkafka.us-central1.rep.googleapis.com
    managedkafka.us-east1.rep.googleapis.com
    managedkafka.us-east4.rep.googleapis.com
    managedkafka.us-east5.rep.googleapis.com
    managedkafka.us-east7.rep.googleapis.com
    managedkafka.us-south1.rep.googleapis.com
    managedkafka.us-west1.rep.googleapis.com
    managedkafka.us-west2.rep.googleapis.com
    managedkafka.us-west3.rep.googleapis.com
    managedkafka.us-west4.rep.googleapis.com

 无
内部直通式网络负载均衡器
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 无
Key Access Justifications
    cloudkms.us.rep.googleapis.com
    cloudkms.us-central1.rep.googleapis.com
    cloudkms.us-central2.rep.googleapis.com
    cloudkms.us-east1.rep.googleapis.com
    cloudkms.us-east4.rep.googleapis.com
    cloudkms.us-east5.rep.googleapis.com
    cloudkms.us-east7.rep.googleapis.com
    cloudkms.us-south1.rep.googleapis.com
    cloudkms.us-west1.rep.googleapis.com
    cloudkms.us-west2.rep.googleapis.com
    cloudkms.us-west3.rep.googleapis.com
    cloudkms.us-west4.rep.googleapis.com
    cloudkms.us-west8.rep.googleapis.com

 无
Knowledge Catalog
    dataplex.us.rep.googleapis.com
    dataplex.us-central1.rep.googleapis.com
    dataplex.us-central2.rep.googleapis.com
    dataplex.us-east1.rep.googleapis.com
    dataplex.us-east4.rep.googleapis.com
    dataplex.us-east5.rep.googleapis.com
    dataplex.us-east7.rep.googleapis.com
    dataplex.us-south1.rep.googleapis.com
    dataplex.us-west1.rep.googleapis.com
    dataplex.us-west2.rep.googleapis.com
    dataplex.us-west3.rep.googleapis.com
    dataplex.us-west4.rep.googleapis.com
    dataplex.us-west8.rep.googleapis.com
    datalineage.us.rep.googleapis.com
    datalineage.us-central1.rep.googleapis.com
    datalineage.us-central2.rep.googleapis.com
    datalineage.us-east1.rep.googleapis.com
    datalineage.us-east4.rep.googleapis.com
    datalineage.us-east5.rep.googleapis.com
    datalineage.us-east7.rep.googleapis.com
    datalineage.us-south1.rep.googleapis.com
    datalineage.us-west1.rep.googleapis.com
    datalineage.us-west2.rep.googleapis.com
    datalineage.us-west3.rep.googleapis.com
    datalineage.us-west4.rep.googleapis.com

 受影响的功能
Looker (Google Cloud Core)
    looker.us-central1.rep.googleapis.com
    looker.us-east1.rep.googleapis.com
    looker.us-east4.rep.googleapis.com
    looker.us-east5.rep.googleapis.com
    looker.us-east7.rep.googleapis.com
    looker.us-south1.rep.googleapis.com
    looker.us-west1.rep.googleapis.com
    looker.us-west2.rep.googleapis.com
    looker.us-west3.rep.googleapis.com
    looker.us-west4.rep.googleapis.com

 无
Managed Service for Apache Airflow
    composer.us-central1.rep.googleapis.com
    composer.us-east1.rep.googleapis.com
    composer.us-east4.rep.googleapis.com
    composer.us-east5.rep.googleapis.com
    composer.us-east7.rep.googleapis.com
    composer.us-south1.rep.googleapis.com
    composer.us-west1.rep.googleapis.com
    composer.us-west2.rep.googleapis.com
    composer.us-west3.rep.googleapis.com
    composer.us-west4.rep.googleapis.com

 无
Managed Service for Apache Spark
    dataproc-control.us-central1.rep.googleapis.com
    dataproc-control.us-central2.rep.googleapis.com
    dataproc-control.us-east1.rep.googleapis.com
    dataproc-control.us-east4.rep.googleapis.com
    dataproc-control.us-east5.rep.googleapis.com
    dataproc-control.us-east7.rep.googleapis.com
    dataproc-control.us-south1.rep.googleapis.com
    dataproc-control.us-west1.rep.googleapis.com
    dataproc-control.us-west2.rep.googleapis.com
    dataproc-control.us-west3.rep.googleapis.com
    dataproc-control.us-west4.rep.googleapis.com
    dataproc-control.us-west8.rep.googleapis.com
    dataproc.us-central1.rep.googleapis.com
    dataproc.us-central2.rep.googleapis.com
    dataproc.us-east1.rep.googleapis.com
    dataproc.us-east4.rep.googleapis.com
    dataproc.us-east5.rep.googleapis.com
    dataproc.us-east7.rep.googleapis.com
    dataproc.us-south1.rep.googleapis.com
    dataproc.us-west1.rep.googleapis.com
    dataproc.us-west2.rep.googleapis.com
    dataproc.us-west3.rep.googleapis.com
    dataproc.us-west4.rep.googleapis.com
    dataproc.us-west8.rep.googleapis.com

 无
Memorystore for Redis
    redis.us-central1.rep.googleapis.com
    redis.us-central2.rep.googleapis.com
    redis.us-east1.rep.googleapis.com
    redis.us-east4.rep.googleapis.com
    redis.us-east5.rep.googleapis.com
    redis.us-east7.rep.googleapis.com
    redis.us-south1.rep.googleapis.com
    redis.us-west1.rep.googleapis.com
    redis.us-west2.rep.googleapis.com
    redis.us-west3.rep.googleapis.com
    redis.us-west4.rep.googleapis.com
    redis.us-west8.rep.googleapis.com

 无
Persistent Disk
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 无
Pub/Sub
    pubsub.us-central1.rep.googleapis.com
    pubsub.us-central2.rep.googleapis.com
    pubsub.us-east1.rep.googleapis.com
    pubsub.us-east4.rep.googleapis.com
    pubsub.us-east5.rep.googleapis.com
    pubsub.us-east7.rep.googleapis.com
    pubsub.us-south1.rep.googleapis.com
    pubsub.us-west1.rep.googleapis.com
    pubsub.us-west2.rep.googleapis.com
    pubsub.us-west3.rep.googleapis.com
    pubsub.us-west4.rep.googleapis.com
    pubsub.us-west8.rep.googleapis.com

 组织政策限制条件
区域级外部应用负载均衡器
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 无
区域级外部代理网络负载均衡器
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 无
区域级内部应用负载均衡器
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 无
区域级内部代理网络负载均衡器
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 无
Secret Manager
    secretmanager.us.rep.googleapis.com
    secretmanager.us-central1.rep.googleapis.com
    secretmanager.us-central2.rep.googleapis.com
    secretmanager.us-east1.rep.googleapis.com
    secretmanager.us-east4.rep.googleapis.com
    secretmanager.us-east5.rep.googleapis.com
    secretmanager.us-east7.rep.googleapis.com
    secretmanager.us-south1.rep.googleapis.com
    secretmanager.us-west1.rep.googleapis.com
    secretmanager.us-west2.rep.googleapis.com
    secretmanager.us-west3.rep.googleapis.com
    secretmanager.us-west4.rep.googleapis.com

 无
Secure Source Manager
    securesourcemanager.us-central1.rep.googleapis.com
    securesourcemanager.us-east1.rep.googleapis.com
    securesourcemanager.us-east4.rep.googleapis.com
    securesourcemanager.us-east7.rep.googleapis.com
    securesourcemanager.us-west2.rep.googleapis.com

 无
Security Command Center 高级方案
    securitycenter.us.rep.googleapis.com

 受影响的功能
Sensitive Data Protection
    dlp.us.rep.googleapis.com
    dlp.us-central1.rep.googleapis.com
    dlp.us-central2.rep.googleapis.com
    dlp.us-east1.rep.googleapis.com
    dlp.us-east4.rep.googleapis.com
    dlp.us-east5.rep.googleapis.com
    dlp.us-south1.rep.googleapis.com
    dlp.us-west1.rep.googleapis.com
    dlp.us-west2.rep.googleapis.com
    dlp.us-west3.rep.googleapis.com
    dlp.us-west4.rep.googleapis.com
    dlp.us-west8.rep.googleapis.com

 无
Service Directory
    servicedirectory.us-central1.rep.googleapis.com
    servicedirectory.us-central2.rep.googleapis.com
    servicedirectory.us-east1.rep.googleapis.com
    servicedirectory.us-east4.rep.googleapis.com
    servicedirectory.us-east5.rep.googleapis.com
    servicedirectory.us-east7.rep.googleapis.com
    servicedirectory.us-south1.rep.googleapis.com
    servicedirectory.us-west1.rep.googleapis.com
    servicedirectory.us-west2.rep.googleapis.com
    servicedirectory.us-west3.rep.googleapis.com
    servicedirectory.us-west4.rep.googleapis.com
    servicedirectory.us-west8.rep.googleapis.com

 无
Vertex AI Online Prediction
    aiplatform.us.rep.googleapis.com

 组织政策限制条件
虚拟机管理器
    osconfig.us-central1.rep.googleapis.com
    osconfig.us-central2.rep.googleapis.com
    osconfig.us-east1.rep.googleapis.com
    osconfig.us-east4.rep.googleapis.com
    osconfig.us-east5.rep.googleapis.com
    osconfig.us-east7.rep.googleapis.com
    osconfig.us-south1.rep.googleapis.com
    osconfig.us-west1.rep.googleapis.com
    osconfig.us-west2.rep.googleapis.com
    osconfig.us-west3.rep.googleapis.com
    osconfig.us-west4.rep.googleapis.com
    osconfig.us-west8.rep.googleapis.com

 无
Virtual Private Cloud (VPC)
    compute.us-central1.rep.googleapis.com
    compute.us-central2.rep.googleapis.com
    compute.us-east1.rep.googleapis.com
    compute.us-east4.rep.googleapis.com
    compute.us-east5.rep.googleapis.com
    compute.us-east7.rep.googleapis.com
    compute.us-south1.rep.googleapis.com
    compute.us-west1.rep.googleapis.com
    compute.us-west2.rep.googleapis.com
    compute.us-west3.rep.googleapis.com
    compute.us-west4.rep.googleapis.com
    compute.us-west8.rep.googleapis.com

 受影响的功能

支持全球 API 端点的产品

下表列出了支持的产品及其全球级 API 端点。这些全球 API 端点旨在处理服务数据（例如配置数据、元数据或资源标识符），不适用于处理客户数据。您有责任确保不通过这些全球 API 端点传输受 ITAR 监管的技术数据。

支持的产品 全球 API 端点 限制或局限
Access Approval
    accessapproval.googleapis.com
 无
Access Context Manager
    accesscontextmanager.googleapis.com
 无
Certificate Authority Service
    privateca.googleapis.com
 无
Certificate Manager
    certificatemanager.googleapis.com
 无
Cloud Billing API
    billingbudgets.googleapis.com
    cloudbilling.googleapis.com
 无
Cloud DNS
    dns.googleapis.com
 受影响的功能
Cloud Monitoring
    monitoring.googleapis.com
 受影响的功能
Cloud OS Login API
    oslogin.googleapis.com
 无
重要联系人
    essentialcontacts.googleapis.com
 无
Firebase 安全规则
    firebaserules.googleapis.com
 无
Google Kubernetes Engine (GKE) 身份认证服务
    anthosidentityservice.googleapis.com
 无
GKE Image Streaming
    containerfilesystem.googleapis.com
 无
Google Kubernetes Engine (GKE)
    container.googleapis.com
    containersecurity.googleapis.com
 受影响的功能 和组织政策限制条件
Identity and Access Management (IAM)
    iam.googleapis.com
    policytroubleshooter.googleapis.com
 无
Identity-Aware Proxy (IAP)
    iap.googleapis.com
 无
管辖区 Google Cloud 控制台
    Not applicable
 无
Network Connectivity Center
    networkconnectivity.googleapis.com
 受影响的功能
Organization Policy Service
    orgpolicy.googleapis.com
 无
Resource Manager
    cloudresourcemanager.googleapis.com
 无
VPC Service Controls
    accesscontextmanager.googleapis.com
    accesscontextintelligence.googleapis.com
 无

限制和局限

以下部分介绍了功能方面的 Google Cloud范围或产品特定限制，包括默认在 ITAR 文件夹中设置的任何组织政策限制条件。其他适用的组织政策限制条件（即使默认设置未设置）可以提供额外的深度防御，以进一步保护贵组织的 Google Cloud 资源。

Google Cloud-wide

受影响的 Google Cloud范围功能

功能 说明
Google Cloud 控制台 使用 ITAR 控制软件包时，如需访问 Google Cloud 控制台，您必须使用以下网址之一：

Google Cloud范围的组织政策限制条件

以下组织政策限制条件适用于 Google Cloud。

组织政策限制条件 说明
gcp.resourceLocations 在 allowedValues 列表中，设置为以下位置：
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
此值将新资源的创建限制为仅限所选值。设置此标志后，您将无法在所选区域、多区域位置或其他位置创建任何资源。如需查看可受“资源位置”组织政策限制条件限制的资源列表，请参阅资源位置支持的服务，因为某些资源可能超出范围而无法受到限制。

如果更改此值，则允许更少的数据在合规的数据边界之外创建或存储，从而可能破坏数据驻留。
gcp.restrictCmekCryptoKeyProjects 设置为 under:organizations/your-organization-name，即您的 Assured Workloads 组织。您可以通过指定项目或文件夹来进一步限制此值。

限制已获批准的文件夹或项目的范围（这些文件夹或项目可提供 Cloud KMS 密钥用于使用 CMEK 加密静态数据）。此限制条件可防止未批准的文件夹或项目提供加密密钥，从而有助于保证范围内服务的静态数据的数据主权。
gcp.restrictNonCmekServices 设置为所有范围内的 API 服务名称的列表，包括：
  • aiplatform.googleapis.com
  • alloydb.googleapis.com
  • apigee.googleapis.com
  • artifactregistry.googleapis.com
  • backupdr.googleapis.com
  • bigquery.googleapis.com
  • bigquerydatatransfer.googleapis.com
  • bigtable.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudtasks.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • contactcenterinsights.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • dataform.googleapis.com
  • datafusion.googleapis.com
  • dataplex.googleapis.com
  • dataproc.googleapis.com
  • dialogflow.googleapis.com
  • discoveryengine.googleapis.com
  • documentai.googleapis.com
  • eventarc.googleapis.com
对于上述每个服务，一些功能可能会受到影响。

每个列出的服务都需要客户管理的加密密钥 (CMEK)。CMEK 使用您管理的密钥（而不是 Google 的默认加密机制）加密静态数据。

如果通过从列表中移除一个或多个范围内的服务来更改此值，则可能会破坏数据主权，因为系统会使用 Google 自己的密钥（而不是您自己的密钥）自动加密新的静态数据。现有的静态数据仍将使用您提供的密钥进行加密。
gcp.restrictServiceUsage 设置为允许所有受支持的产品和 API 端点。

通过限制对运行时资源的访问，确定可以使用哪些服务。如需了解详情，请参阅限制资源使用。
gcp.restrictTLSVersion 设置为拒绝以下 TLS 版本：
  • TLS_1_0
  • TLS_1_1
如需了解详情，请参阅限制 TLS 版本。

BigQuery

受影响的 BigQuery 功能

功能 说明
在新文件夹上启用 BigQuery BigQuery 受支持，但由于内部配置流程，在您创建新的 Assured Workloads 文件夹时，系统不会自动启用 BigQuery。此过程通常会在 10 分钟内完成，但在某些情况下可能需要更长时间。如需检查该过程是否已完成并启用 BigQuery，请完成以下步骤：
  1. 在 Google Cloud 控制台中，前往 Assured Workloads 页面。

    转到 Assured Workloads

  2. 从列表中选择新的 Assured Workloads 文件夹。
  3. 在文件夹详情页面上的允许的服务部分，点击查看可用更新。
  4. 在允许的服务窗格中，查看要添加到文件夹的资源使用限制组织政策的服务。如果列出了 BigQuery 服务，请点击允许服务以添加这些服务。

    如果未列出 BigQuery 服务，请等待内部进程完成。如果这些服务在文件夹创建后的 12 小时内未列出，请与 Cloud Customer Care 联系。

启用流程完成后，您可以在 Assured Workloads 文件夹中使用 BigQuery。

Assured Workloads 不支持 Gemini in BigQuery。
合规的 BigQuery API 以下 BigQuery API 符合 ITAR 要求：
区域 BigQuery 在所有 BigQuery 美国区域（美国多区域除外）中均符合 ITAR 要求。如果数据集是在美国多区域、非美国区域或非美国多区域中创建的，则无法保证 ITAR 合规性。您有责任在创建 BigQuery 数据集时指定符合 ITAR 要求的区域。
从非 ITAR 项目查询 ITAR 数据集 BigQuery 不会阻止从非 ITAR 项目查询 ITAR 数据集。确保对 ITAR 技术数据使用读取或联接操作的任何查询都位于符合 ITAR 要求的文件夹中。
与外部数据源的连接 Google 的合规性责任仅限于 BigQuery Connection API 功能。您有责任确保与 BigQuery Connection API 搭配使用的源产品符合相关规定。
不受支持的功能 以下 BigQuery 功能不受支持，不应在 BigQuery CLI 中使用。您有责任不在 BigQuery for Assured Workloads 中使用它们。
BigQuery CLI 支持 BigQuery CLI。

Google Cloud SDK 您必须使用 Google Cloud SDK 403.0.0 或更高版本，才能维持技术数据的数据区域化保证。如需验证当前的 Google Cloud SDK 版本，请运行 gcloud --version，然后运行 gcloud components update 以更新到最新版本。
管理员控制功能 BigQuery 会停用不受支持的 API，但有足够权限创建 Assured Workloads 文件夹的管理员可以启用不受支持的 API。如果发生这种情况，您将通过 Assured Workloads 监控信息中心收到有关潜在违规行为的通知。
正在加载数据 不支持适用于 Google 软件即服务 (SaaS) 应用、外部云端存储空间提供商和数据仓库的 BigQuery Data Transfer Service 连接器。您有责任不将 BigQuery Data Transfer Service 连接器用于 ITAR 工作负载。
第三方转移作业 BigQuery 不会验证 BigQuery Data Transfer Service 是否支持第三方转移作业。在使用 BigQuery Data Transfer Service 的任何第三方转移作业时，您有责任验证支持情况。
不合规的 BQML 模型 不支持外部训练的 BQML 模型。
查询作业 查询作业只能在 Assured Workloads 文件夹中创建。
对其他项目中的数据集执行的查询 BigQuery 不会阻止从非 Assured Workloads 项目查询 Assured Workloads 数据集。您应确保对 Assured Workloads 数据进行读取或联接的任何查询都放在 Assured Workloads 文件夹中。您可以使用 BigQuery CLI 中的 projectname.dataset.table 为其查询结果指定完全限定的表名称。
Cloud Logging BigQuery 会使用 Cloud Logging 来存储部分日志数据。您应使用以下命令停用 _default 日志记录存储桶，或将 _default 存储桶限制在适用区域内，以保持合规性：

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

如需了解详情，请参阅区域化存储日志。

Cloud DNS

受影响的 Cloud DNS 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台中不提供 Cloud DNS 功能。请改用 API 或 Google Cloud CLI。

Cloud Interconnect

受影响的 Cloud Interconnect 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台不支持 Cloud Interconnect 功能。请改用 API 或 Google Cloud CLI。
高可用性 (HA) VPN 将 Cloud Interconnect 与 Cloud VPN 搭配使用时，您必须启用高可用性 (HA) VPN 功能。此外，您还必须遵守受影响的 Cloud VPN 功能部分中列出的加密和区域化要求。

Cloud Load Balancing

受影响的 Cloud Load Balancing 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台不支持 Cloud Load Balancing 功能。请改用 API 或 Google Cloud CLI。
区域级负载均衡器 您只能将区域级负载均衡器与 ITAR 搭配使用。如需详细了解如何配置区域级负载均衡器，请参阅以下页面：

Cloud Logging

受影响的 Cloud Logging 功能

功能 说明
日志接收器 过滤条件不应包含客户数据。

日志接收器包括以配置形式存储的过滤条件。请勿创建包含客户数据的过滤条件。
Live Tailing 日志条目 过滤条件不应包含客户数据。

Live Tailing 会话包含一个存储为配置的过滤条件。跟踪日志本身不会存储任何日志条目数据，但可以跨区域查询和传输数据。 请勿创建包含客户数据的过滤条件。
基于日志的提醒 此功能处于禁用状态。

您无法在 Google Cloud 控制台中创建基于日志的提醒。
Logs Explorer 查询的缩短网址 此功能处于禁用状态。

您无法在 Google Cloud 控制台中创建查询的缩短网址。
在日志浏览器中保存查询 此功能处于禁用状态。

您无法在 Google Cloud 控制台中保存任何查询。
基于 SQL 的提醒政策 此功能处于禁用状态。

您无法使用基于 SQL 的提醒政策功能。

Cloud Monitoring

受影响的 Cloud Monitoring 功能

功能 说明
合成监控工具 此功能处于禁用状态。
拨测 此功能处于禁用状态。
信息中心中的日志面板 widget 此功能处于禁用状态。

您无法向信息中心添加日志面板。
信息中心内的Error Reporting（与 Stackdriver 搭配使用时）面板微件 此功能处于禁用状态。

您无法向信息中心添加 Error Reporting 面板。
在 EventAnnotation 中为信息中心添加过滤条件 此功能处于禁用状态。

无法在信息中心内设置EventAnnotation的过滤条件。
alertPolicies中的SqlCondition 此功能处于禁用状态。

您无法向 alertPolicy 添加 SqlCondition。

Cloud NAT

受影响的 Cloud NAT 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台中不提供 Cloud NAT 功能。请改用 API 或 Google Cloud CLI。

Cloud Router

受影响的 Cloud Router 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台不支持 Cloud Router 功能。 请改用 API 或 Google Cloud CLI。

Cloud Run

受影响的 Cloud Run 功能

功能 说明
不受支持的功能 不支持以下 Cloud Run 功能：

Cloud SQL

受影响的 Cloud SQL 功能

功能 说明
导出为 CSV 文件 请勿使用导出为 CSV 功能，因为它不符合 ITAR。此功能在 Google Cloud 控制台中处于停用状态。
executeSql 请勿使用 Cloud SQL API 的 executeSql 方法，因为它不符合 ITAR。

Cloud Storage

受影响的 Cloud Storage 功能

功能 说明
Google Cloud 控制台 为了保持 ITAR 合规性，您有责任使用管辖区级 Google Cloud 控制台。 Jurisdictional 控制台会阻止上传和下载 Cloud Storage 对象。如需上传和下载 Cloud Storage 对象，请参阅本部分中的合规的 API 端点行。
符合要求的 API 端点 您必须将某个符合 ITAR 要求的区域级端点与 Cloud Storage 搭配使用。如需了解详情，请参阅 Cloud Storage 区域端点和 Cloud Storage 位置。
限制 您必须使用 Cloud Storage 区域端点，才能符合 ITAR 规定。如需详细了解 ITAR 的 Cloud Storage 区域端点，请参阅 Cloud Storage 区域端点。

区域端点不支持以下操作。不过，这些操作不会携带数据驻留服务条款中定义的客户数据。因此，您可以根据需要将全球端点用于这些操作，而不会违反 ITAR 合规性：
针对对象的复制和重写 如果来源存储桶和目标存储桶都位于端点中指定的区域，则区域端点支持对象的复制和重写操作。不过，如果存储桶位于不同的位置，则无法使用区域级端点将对象从一个存储桶复制或重写到另一个存储桶。您可以使用全球端点跨位置复制或重写，但我们不建议这样做，因为这可能会违反 ITAR 合规性。

Cloud VPN

受影响的 Cloud VPN 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台不支持 Cloud VPN 功能。请改用 API 或 Google Cloud CLI。
加密 在创建证书和配置 IP 安全性时，您只能使用符合 FIPS 140-2 的加密方式。如需详细了解 Cloud VPN 中支持的加密方式，请参阅支持的 IKE 加密方式页面。如需了解如何选择符合 FIPS 140-2 标准的加密方式，请参阅已通过 FIPS 140-2 验证页面。

您无法更改 Google Cloud中的现有加密。请确保在与 Cloud VPN 搭配使用的第三方设备上配置加密。
VPN 端点 您只能使用位于适用区域内的 Cloud VPN 端点。确保您的 VPN 网关配置为仅在适用区域中使用。

Compute Engine

受影响的 Compute Engine 功能

功能 说明
暂停和恢复虚拟机实例 此功能处于禁用状态。

暂停和恢复虚拟机实例需要永久性磁盘存储空间，并且用于存储已暂停的虚拟机状态的永久性磁盘存储空间目前无法使用 CMEK 加密。 请参阅上述部分中的 gcp.restrictNonCmekServices 组织政策限制条件，了解启用此功能对数据主权和数据驻留的影响。
本地 SSD 此功能处于禁用状态。

无法创建具有本地 SSD 的实例，因为它们无法使用 CMEK 进行加密。请参阅上述部分中的 gcp.restrictNonCmekServices 组织政策限制条件，了解启用此功能对数据主权和数据驻留的影响。
Google Cloud 控制台

Google Cloud 控制台中不提供以下 Compute Engine 功能。请改用 API 或 Google Cloud CLI：
虚拟机元数据安全注意事项 您有责任不将敏感数据写入虚拟机元数据服务器。
裸金属解决方案虚拟机 您无法使用裸金属解决方案虚拟机（o2 虚拟机），因为裸金属解决方案虚拟机不符合 ITAR 要求。

Google Cloud VMware Engine 虚拟机 您无法使用 Google Cloud VMware Engine 虚拟机，因为 Google Cloud VMware Engine 虚拟机不符合 ITAR。

创建 C3 虚拟机实例 此功能处于停用状态。
使用不含 CMEK 的永久性磁盘或其快照 您无法使用永久性磁盘或其快照，除非它们已使用 CMEK 加密。
共享多写入者模式下的 SSD 永久性磁盘 您无法在虚拟机实例之间共享多写入者模式下的 SSD 永久性磁盘。
将实例组添加到全球负载均衡器 您无法将实例组添加到全球负载均衡器。

此功能已被 compute.disableGlobalLoadBalancing 组织政策限制停用。
客机环境 客机环境中包含的脚本、守护程序和二进制文件可以访问未加密的静态数据和使用中的数据。根据您的虚拟机配置，系统可能会默认安装此软件的更新。如需详细了解每个软件包的内容、源代码等，请参阅客机环境。

这些组件可帮助您通过内部安全控制和流程满足数据主权。但是，如果您需要额外控制，还可以挑选自己的映像或代理，并选择性地使用 compute.trustedImageProjects 组织政策限制条件。

如需了解详情，请参阅构建自定义映像。
虚拟机管理器中的操作系统政策 操作系统政策文件中的内嵌脚本和二进制输出文件未使用客户管理的加密密钥 (CMEK) 进行加密。请勿在这些文件中包含任何敏感信息。建议将这些脚本和输出文件存储在 Cloud Storage 存储桶中。如需了解详情，请参阅操作系统政策示例。

如果您想限制创建或修改使用内嵌脚本或二进制输出文件的操作系统政策资源，请启用 constraints/osconfig.restrictInlineScriptAndOutputFileUsage 组织政策限制条件。

如需了解详情，请参阅 OS Config 的限制条件。
instances.getSerialPortOutput() 此 API 已停用。您将无法使用此 API 从指定实例获取串行端口输出。

将 compute.disableInstanceDataAccessApis 组织政策限制条件值更改为 False，以启用此 API。您还可以按照为项目启用访问权限中的说明启用和使用交互式串行端口。
instances.getScreenshot() 此 API 已停用。您将无法使用此 API 从指定实例获取屏幕截图。

将 compute.disableInstanceDataAccessApis 组织政策限制条件值更改为 False 以启用此 API。您还可以按照为项目启用访问权限中的说明启用和使用交互式串行端口。

Compute Engine 组织政策限制条件

组织政策限制条件 说明
compute.enableComplianceMemoryProtection 设置为 True。

停用某些内部诊断功能，以便在发生基础架构故障时提供额外的内存保护。

更改此值可能会影响工作负载的数据驻留或数据主权。
compute.disableGlobalCloudArmorPolicy 设置为 True。

禁止创建新的 Google Cloud Armor 全局安全政策，以及向现有 Google Cloud Armor 全局安全政策添加或修改规则。此限制条件不会限制移除规则，也不会限制移除或更改 Google Cloud Armor 全局安全政策的说明和列表。Google Cloud Armor 区域安全政策不受此限制条件的影响。在强制执行此限制条件之前就已存在的所有全局和区域安全政策也仍然有效。
compute.disableGlobalLoadBalancing 设置为 True。

禁止创建全球负载均衡产品。

更改此值可能会影响工作负载的数据驻留或数据主权。
compute.disableGlobalSelfManagedSslCertificate 设置为 True。

禁止创建自行管理的全球 SSL 证书。

更改此值可能会影响工作负载的数据驻留或数据主权。
compute.disableInstanceDataAccessApis 设置为 True。

全局停用 instances.getSerialPortOutput() 和 instances.getScreenshot() API。

启用此限制条件会阻止您在 Windows Server 虚拟机上生成凭据。

如果您需要在 Windows 虚拟机上管理用户名和密码，请执行以下操作：
  1. 为 Windows 虚拟机启用 SSH。
  2. 运行以下命令以更改虚拟机的密码： 
      gcloud compute ssh
  VM_NAME --command "net user USERNAME PASSWORD"
    替换以下内容：
    • VM_NAME：您要设置密码的虚拟机的名称。
    • USERNAME：您要为其设置密码的用户的用户名。
    • PASSWORD：新密码。
compute.requireOsConfig 设置为 True。

对所有新项目启用虚拟机管理器（操作系统配置）。将对新项目中创建的所有虚拟机实例启用虚拟机管理器。
compute.restrictNonConfidentialComputing

 （可选）不设置值。设置此值可提供额外的深度防御。如需了解详情，请参阅机密虚拟机文档。
compute.trustedImageProjects

 （可选）不设置值。设置此值可提供额外的深度防御。

设置此值会将映像存储和磁盘实例化限制在指定的项目列表。此值可防止使用任何未经授权的映像或代理，从而影响数据主权。

Knowledge Catalog

Knowledge Catalog 功能

功能 说明
Attribute Store 此功能已被弃用并处于停用状态。
Data Catalog 此功能已被弃用并处于停用状态。您无法在 Data Catalog 中搜索或管理元数据。
湖泊和可用区 此功能处于禁用状态。您无法管理数据湖、区域和任务。

Google Cloud Armor

受影响的 Google Cloud Armor 功能

功能 说明
全球范围的安全政策 此功能已被 compute.disableGlobalCloudArmorPolicy 组织政策限制停用。

Google Kubernetes Engine

受影响的 Google Kubernetes Engine 功能

功能 说明
集群资源限制 确保您的集群配置不使用 ITAR 不支持的服务资源。例如，以下配置无效，因为它需要启用或使用不受支持的服务：

set `binaryAuthorization.evaluationMode` to `enabled`

Google Kubernetes Engine 组织政策限制条件

组织政策限制条件 说明
container.restrictNoncompliantDiagnosticDataAccess 设置为 True。

停用内核问题的汇总分析，这是维护工作负载的主权所必需的。

更改此值可能会影响工作负载的数据驻留或数据主权。

Network Connectivity Center

受影响的 Network Connectivity Center 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台中不提供 Network Connectivity Center 功能。请改用 API 或 Google Cloud CLI。

Pub/Sub

Pub/Sub 组织政策限制条件

组织政策限制条件 说明
pubsub.enforceInTransitRegions 设置为 True。

确保客户数据只在 Pub/Sub 主题的消息存储政策中指定的允许区域内传输。

更改此值可能会影响工作负载的数据驻留或数据主权。
pubsub.managed.disableSubscriptionMessageTransforms 设置为 True。

禁止为 Pub/Sub 订阅设置单条消息转换 (SMT)。

更改此值可能会影响工作负载的数据驻留或数据主权。
pubsub.managed.disableTopicMessageTransforms 设置为 True。

禁止为 Pub/Sub 主题设置单条消息转换 (SMT)。

更改此值可能会影响工作负载的数据驻留或数据主权。

Security Command Center 高级方案

受影响的 Security Command Center 高级方案功能

功能 说明
Compliance Manager 合规性管理器的控制要求不符合 ITAR 的要求，因此不受支持。
Data Security Posture Management Data Security Posture Management 不受支持，且不符合 ITAR 的控制要求。

Spanner

受影响的 Spanner 功能

功能 说明
分块边界 Spanner 使用一小部分主键和已编入索引的列来定义分块边界，其中可能包含客户数据和元数据。Spanner 中的分块边界表示将连续的行范围拆分为更小块的位置。

Google 人员可以出于技术支持和调试目的访问这些分块边界，并且这些边界不受 Assured Workloads 中的管理员权限数据控制功能约束。

Spanner 组织政策限制条件

组织政策限制条件 说明
spanner.assuredWorkloadsAdvancedServiceControls 设置为 True。

对 Spanner 资源应用额外的数据主权和可支持性控制。
spanner.disableMultiRegionInstanceIfNoLocationSelected 设置为 True。

停用创建多区域 Spanner 实例的功能，以强制执行数据驻留和数据主权。

Vertex AI

Vertex AI 组织政策限制条件

组织政策限制条件 说明
vertexai.allowOnlyITARCompliantAPIs 设置为 True。

仅允许在 Vertex AI API 中使用符合 ITAR 要求的 API。默认情况下，允许使用所有 API。

虚拟私有云 (VPC)

受影响的 VPC 功能

功能 说明
Google Cloud 控制台 Google Cloud 控制台中不提供 VPC 网络功能。请改用 API 或 Google Cloud CLI。

后续步骤