資料落地總覽

總覽

本頁說明如何使用 Cloud SQL 強制執行資料落地規定。

資料落地是指資料的實體位置，以及規範資料儲存、加密和存取方式的當地法規。隨著各國資料保護和隱私權法規不斷演進，瞭解如何遵守當地資料落地規定，以及保護使用者資料，也變得越來越重要。

在傳統的地端部署環境中，各種元件會整合並處理資料落地。舉例來說，公司可以將權杖化閘道託管為雲端存取安全性代理程式 (CASB)，在應用程式資料傳輸至海外之前，先確保資料安全。

Google Cloud 及其服務 (包括 Cloud SQL) 整合，可協助您控管資料位置，以及 Google 或任何人對資料的存取權，進而處理資料落地問題。

雲端運算中的資料落地

以下列出一些您應該瞭解的資料落地問題：

  • 如果公司的雲端管理員不知道資料的實際位置，就不會知道當地法規。管理員必須知道資料中心的位置，才能研究各個位置的資料落地政策。
  • 公司的雲端管理員和供應商可以使用服務水準協議 (SLA) 建立允許的位置。不過，如果您必須將資料儲存在與服務水準協議條款不同的區域，該怎麼辦？
  • 使用者必須確保其資料，以及在雲端專案中使用的所有服務和資源，均符合託管國家/地區的資料落地法規。
    • 如果您想決定資料和加密金鑰的儲存位置，該怎麼做？
    • 如果您想決定使用者可以存取資料的位置，該怎麼做？

Google Cloud 服務 (包括 Cloud SQL) 可讓您執行下列操作，解決部分問題：

  • 設定資料的儲存位置。您可以在建立 Cloud SQL 執行個體時選取區域，也可以透過編輯現有執行個體來編輯區域。
  • 使用 Cloud SQL 的跨區域唯讀副本功能，協助您符合指定區域的資料落地標準。
  • 控管使用者可存取資料的網路位置，以及雲端管理員對這類資料的存取權。

Cloud SQL 可在三個方面協助您因應資料落地挑戰：

儲存資料

資料落地是指將個人識別資訊 (PII) 儲存在特定區域，並依據該區域的法規處理資料。

如要儲存資料，您必須符合國家/地區的法律和法規要求，例如資料位置法。舉例來說，某個國家/地區可能規定，任何與政府相關的資料都必須儲存在該國家/地區。或者，公司可能因合約義務，必須將部分客戶的資料儲存在其他國家/地區。因此，公司必須符合資料儲存國家/地區的資料落地規定。

有了 Google Cloud，您就能設定資料儲存位置，包括備份資料。包括讓您選擇儲存資料的區域。當您選擇在這些區域設定 Cloud SQL 資源時，Google 會依據《服務專屬條款》，僅將您的靜態資料儲存在這些區域。您可以在建立執行個體時選取區域，也可以編輯現有執行個體來變更區域。

如要進一步瞭解備份位置，請參閱「自訂備份位置」。

您可以使用組織政策限制，在組織、專案或資料夾層級強制執行資料落地規定。這些限制可讓您定義 Google Cloud 使用者可為支援的服務建立資源的位置。如要限制資料落地，您可以使用資源位置限制條件，限制新資源的實體位置。您也可以微調限制政策，將多區域 (例如 asia 和 europe) 或單一區域 (例如 us-east1 或 europe-west1) 指定為允許或拒絕的位置。

VPC Service Controls 可限制使用 Cloud SQL API，透過 Cloud SQL Admin API 或 Cloud Storage API 匯入及匯出資料，協助您強制執行資料落地。這項限制可確保資料保留在您選取的網路位置。您可以使用 VPC Service Controls 建立 service perimeter，定義可存取服務的虛擬邊界，防止資料移出這些邊界。即使使用者已根據 Google Cloud IAM 政策獲得授權，您仍可強制執行這項限制。

加密資料

Google Cloud 服務 (包括 Cloud SQL) 會使用各種加密方法，將靜態和傳輸中的客戶內容加密。加密作業會自動執行，客戶不需採取任何行動。

Cloud SQL 也可讓您使用客戶自行管理的加密金鑰 (CMEK)，為資料新增另一層加密。CMEK 適用於擁有機密或管制資料，且必須自行管理加密金鑰的組織。CMEK 功能可讓您使用自己的加密編譯金鑰，保護 Cloud SQL 中的靜態資料。新增 CMEK 後，每當發出 API 呼叫時，Cloud SQL 都會使用這組金鑰來存取資料。

如要將 CMEK 儲存在部署服務的區域，可以使用 Cloud Key Management Service (Cloud KMS)。建立金鑰時，您需要設定金鑰的位置。或者，如要將這些金鑰儲存在位於所選區域的實體硬體安全性模組 (HSM) 中，請使用 Cloud HSM。

另一種選擇 CMEK 儲存位置的方法是使用第三方產品。如要透過部署在 Google 基礎架構外的第三方金鑰管理產品儲存及管理金鑰，可以使用 Cloud External Key Manager (Cloud EKM)。

存取資料

Cloud SQL 可讓您控管哪些使用者能存取資料。

如要控管 Google 支援和工程人員的存取權，請使用存取權核准。您可以透過 Access Approval 要求 Google 員工必須先取得您的明確核准，才能存取 Google Cloud 上的資料或設定 (如需排除項目，請參閱「Access Approval 排除項目」)。

存取權核准可與資料存取透明化控管機制提供的資訊公開功能相輔相成，在 Google 管理員與您的資料互動時，產生近乎即時的稽核記錄。稽核記錄包含管理員的辦公室位置和存取原因。您也可以對有權存取資料或設定的管理員強制執行特定屬性，包括地理區域和其他法規遵循相關屬性。

金鑰存取依據與 Cloud KMS 和 Cloud EKM 整合。每當有人要求使用您的金鑰加密或解密資料時，金鑰存取依據都會提供詳細理由，並讓您透過設定的自動化政策，核准或拒絕金鑰存取要求。

只要搭配使用存取權核准、資料存取透明化控管機制、金鑰存取依據、Cloud KMS 和 Cloud EKM，即可拒絕 Google 解密資料。因此，您是資料存取權的仲裁者。

後續步驟