Introducción a la residencia de datos

Para muchas empresas y verticales del sector, el uso de una oferta en la nube da como resultado un mayor análisis de los equipos de seguridad y cumplimiento. Las siguientes preguntas se suelen hacer con frecuencia:

  • ¿Dónde se almacenan los datos?
  • ¿Qué datos se almacenan en la nube?
  • ¿Quién tiene acceso a los datos?
  • ¿Cómo se manejan los datos durante el procesamiento o la transmisión?

Además, muchos países aprobaron leyes de privacidad de los datos que prohíben el almacenamiento de los datos de información de identificación personal (PII) fuera del país o la región.

En este documento, se describe la residencia de los datos de Apigee y cómo te ayuda a cumplir con los requisitos reglamentarios y de cumplimiento.

Descripción general

La residencia de datos para Apigee cumple con los requisitos normativos y de cumplimiento, ya que te permite especificar las ubicaciones geográficas (regiones) en las que se almacenan los datos de Apigee.

  • Almacenada (en reposo)
  • Procesado (en uso)
  • Transmitido (en tránsito)
Nota: En esta documentación, usamos el término residencia de datos avanzada para referirnos a los requisitos reglamentarios y de cumplimiento para los datos que se procesan (en uso) o transmiten (en tránsito), además de almacenarse (en reposo). Consulta Acerca de la residencia de datos avanzada.

Habilita la residencia de datos cuando aprovisiones una organización de Apigee. Durante el aprovisionamiento, seleccionas la región en la que se almacena todo el contenido del cliente. Consulta Cómo aprovisionar tu organización con residencia de datos.

Una vez que se aprovisiona la organización de Apigee con residencia de datos, los administradores de la organización de Apigee deben hacer lo siguiente:

  • Informa a los usuarios de Apigee, incluidos los desarrolladores de APIs y otros administradores, sobre la configuración y los requisitos de residencia de datos. Los usuarios de Apigee deben seguir los lineamientos que se indican en Usa Apigee con residencia de datos.
  • Configura la política de la organización de la ubicación como se describe en Restringe las ubicaciones de recursos.

Ten en cuenta lo siguiente:

  • No puedes habilitar la residencia de datos para una organización de Apigee que ya se aprovisionó.
  • De forma predeterminada, el plano de control es una entidad global, a menos que selecciones la residencia de datos (regionalización) en el momento de la creación de la organización de Apigee.
  • Una vez que seleccionas la residencia de datos y la ubicación del plano de control, no se puede cambiar. Si más adelante necesitas una ubicación diferente, deberás crear un proyecto Google Cloud nuevo.

Consulta también Google Cloud Servicios con residencia de datos.

Acerca de la residencia de datos avanzada

La residencia de datos avanzada hace referencia a los requisitos reglamentarios y de cumplimiento para los datos que se procesan (en uso) o transmiten (en tránsito), además de los que se almacenan (en reposo).

Para cumplir con la residencia de datos avanzada, se requieren las siguientes acciones cuando se configura y se usa Apigee.

Crear Assured Workloads Aprovisiona tu organización Usa Apigee
El administrador de Google Cloud crea una carpeta de Assured Workloads en la organización de Google Cloud y aplica un paquete de controles. El paquete de control establece automáticamente la ubicación del plano de control y las restricciones de la política de la organización que aplican los límites de datos regionales.

Consulta Crea una carpeta de Assured Workloads.

El administrador de la organización de Apigee aprovisiona tu organización pagada con residencia de datos avanzada a través de la consola jurisdiccional basada en la ubicación para acceder a la IU de Apigee o al endpoint regional para acceder a las APIs de Apigee.

Consulta Cómo aprovisionar tu organización con residencia de datos avanzada.

Los usuarios de Apigee usan la consola jurisdiccional para acceder a la IU de Apigee o al endpoint regional para acceder a las APIs.

Consulta Usa Apigee con residencia de datos.

Compatibilidad con la residencia de datos

En la siguiente tabla, se resumen las funciones que son compatibles y las que no lo son para Apigee con residencia de datos.

Admitido No compatible
  • Integración de Data Studio
  • Funciones de versión preliminar o beta, como Shadow API Discovery
  • Organizaciones de evaluación
  • Portales integrados
  • Apigee Adapter for Envoy
  • Las funciones de análisis de usuarios finales, como el panel de dispositivos y el panel de mapa geográfico, no son compatibles con la residencia de datos avanzada.
  • Las funciones de análisis para desarrolladores, como el panel de participación de los desarrolladores y el panel de composición del tráfico, no son compatibles con la residencia de datos avanzada.
  • Apigee Hybrid no es compatible con la residencia de datos avanzada
    •

    Cumplimiento con FedRAMP y residencia de datos

    Apigee está autorizado como servicio de FedRAMP High para las organizaciones en las que está habilitada la residencia de datos. Si decides habilitar la residencia de datos cuando aprovisiones una suscripción de Apigee o una organización de pago por uso, los siguientes servicios están dentro del alcance de la autorización para operar (ATO) de FedRAMP de Apigee:

    Las siguientes ofertas de Apigee no están dentro del alcance de la ATO de FedRAMP de Apigee:

    Para obtener más información sobre la importancia de una ATO de FedRAMP, consulta Cumplimiento de FedRAMP.

    Residencia de datos de Apigee Hybrid

    Puedes configurar nuevas instalaciones de Apigee Hybrid para usar la residencia de datos, a partir de la versión 1.12 de Hybrid. Consulta Usa la residencia de datos con Apigee Hybrid.

    La versión 1.14.0 y posteriores de Apigee Hybrid con la residencia de datos habilitada admiten la seguridad avanzada de la API, las estadísticas de la API de Apigee y la herramienta de depuración.

    Elige regiones para la residencia de datos

    Elige las regiones (ubicación física) para los datos del plano de control según tus requisitos de residencia de datos de la siguiente manera:

    Requisitos de residencia de datos Cómo elegir la región
    Solo residencia de datos en reposo Cuando aprovisiona tu organización de Apigee, el administrador de Apigee establece la ubicación del plano de control en la región requerida (por ejemplo, us). Consulta Aprovisiona tu organización solo con residencia de datos en reposo.
    Residencia de datos avanzada (en uso y en tránsito) Cuando se crea una carpeta de Assured Workloads para la organización Google Cloud , el administrador Google Cloud selecciona un paquete de controles para definir los límites de los datos regionales. Durante el aprovisionamiento, la ubicación del plano de control se establece automáticamente y las demás ubicaciones se filtran según el paquete de control seleccionado. Consulta Cómo aprovisionar tu organización con residencia de datos avanzada.

    Durante el aprovisionamiento, también debes especificar una sola región (por ejemplo, us-west1) para otros servicios del consumidor que solo pueden ejecutarse en una región, como los informes de Analytics.

    Todos los recursos deben estar dentro de la región especificada. Por ejemplo, si seleccionas us para la ubicación del plano de control, los otros recursos de Apigee, como la instancia del entorno de ejecución, la CMEK de referencia, el adjunto de endpoint, etcétera, también deben estar dentro de la región us.

    Usa la consola jurisdiccional

    Cuando aprovisiones o uses Apigee con residencia de datos avanzada, debes usar una de las consolas Google Cloud jurisdiccionales para acceder a la IU de Apigee según tu ubicación.

    Por ejemplo, la URL de la consola jurisdiccional para la región de Estados Unidos es la siguiente: console.us.cloud.google.com

    Cuando aprovisiones o uses Apigee con residencia de datos solo en reposo, puedes usar la consola global o la jurisdiccional. Para usar la consola jurisdiccional, la organización de Apigee debe haberse aprovisionado en una de las ubicaciones admitidas.

    Estos son los beneficios de usar la consola de Google Cloud jurisdiccional:

    • Simplifica la IU de aprovisionamiento configurando automáticamente la ubicación del plano de control y filtrando los selectores de regiones según corresponda.
    • Modifica las interacciones de la IU con los servicios de Google Cloud según los requisitos de residencia de los datos, como el filtrado de los selectores de regiones y las opciones disponibles para los adjuntos de extremos de servicio, para evitar que Apigee se conecte a un destino privado con Private Service Connect (PSC) si el destino está fuera de la región permitida.

    Para obtener información sobre cómo acceder a la consola jurisdiccional, consulta Consola jurisdiccional Google Cloud .

    Usa extremos regionales para la residencia de datos

    Un extremo de servicio, o nombre de host, es una URL base que especifica la dirección de red de un servicio de API. El extremo del servicio de la API de Apigee es apigee.googleapis.com. Es el extremo global que se usa cuando no se admite la residencia de datos.

    Para admitir la residencia de datos, deberás usar extremos regionales. En las siguientes secciones, se describe cómo usar extremos regionales para la residencia de datos solo en reposo y la residencia de datos avanzada.

    Usa extremos regionales solo para la residencia de datos en reposo

    Para acceder a la API de Apigee con residencia de datos solo en reposo, usa el siguiente extremo regional: CONTROL_PLANE_LOCATION-apigee.googleapis.com

    Aquí, CONTROL_PLANE_LOCATION es la ubicación física en la que se almacenarán los datos del plano de control de Apigee. Para obtener una lista de las ubicaciones disponibles del plano de control, consulta Ubicaciones de Apigee.

    Por ejemplo, a continuación, se muestra la llamada a curl que se usa para crear una organización con el extremo regional de Estados Unidos: 

    curl "https://us-apigee.googleapis.com/v1/organizations?parent=projects/PROJECT_ID" ...

    Usa extremos regionales para la residencia de datos avanzada

    Para acceder a la API de Apigee con residencia de datos avanzada, usa el siguiente extremo regional:

    apigee.CONTROL_PLANE_LOCATION.rep.googleapis.com

    Aquí, CONTROL_PLANE_LOCATION es la ubicación física en la que se almacenan los datos del plano de control de Apigee.

    En la siguiente lista, se indican las ubicaciones del plano de control admitidas y sus extremos regionales correspondientes:

    Ubicación Extremo regional
    Estados Unidos (EE.UU.) apigee.us.rep.googleapis.com
    Unión Europea (UE) apigee.eu.rep.googleapis.com
    India (IN) apigee.in.rep.googleapis.com

    Por ejemplo, a continuación, se muestra la llamada a curl que se usa para crear una organización con el extremo regional de Estados Unidos: 

    curl "https://apigee.us.rep.googleapis.com/v1/organizations?parent=projects/PROJECT_ID" ...

    Encriptación y residencia de datos

    De forma predeterminada, Google Cloud encripta automáticamentelos datos cuando están en reposo con claves de encriptación que son propiedad de Google y las administra. Si tienes requisitos normativos o de cumplimiento específicos relacionados con las claves que protegen los datos, puedes usar claves de encriptación administradas por el cliente (CMEK). Consulta Introducción a CMEK.

    Usa restricciones de políticas de la organización con la residencia de datos

    Las restricciones de la política de la organización deGoogle Cloudpermiten definir un conjunto de ubicaciones en las que se pueden crear recursos Google Cloud basados en la ubicación para tu organización Google Cloud . Si tienes una Google Cloud política de la organización que usa una restricción de ubicación de recursos (constraints/gcp.resourceLocations), la restricción se aplicará a los siguientes recursos de Apigee que se crean cuando se aprovisiona Apigee:

    Si aprovisionas una nueva organización de Apigee dentro de un proyecto de Google Cloud con una restricción de ubicación de recursos aplicada, debes asegurarte de que la restricción de ubicación sea compatible con la ubicación del plano de control especificada para tu organización de Apigee:

    • Si aprovisionas una organización de Apigee sin residencia de datos, la restricción de ubicación de recursos en la política de la organización de Google Cloud debe establecerse en global. Debido a que el plano de control de Apigee es una entidad global de forma predeterminada, el aprovisionamiento fallará si se aplica una restricción distinta de global.
    • Si aprovisionas una organización de Apigee con residencia de datos, confirma que cualquier restricción de ubicación de recursos que se pueda establecer en la política de la organización de Google Cloud no excluya la región que seleccionaste para tus datos del plano de control. De lo contrario, el aprovisionamiento fallará.

    Residencia de los datos y cumplimiento del FedRAMP

    Apigee está autorizado como servicio de FedRAMP High para las organizaciones en las que está habilitada la residencia de datos. Si decides habilitar la residencia de datos cuando aprovisiones una suscripción de Apigee o una organización de pago por uso, los siguientes servicios están dentro del alcance de la autorización para operar (ATO) de FedRAMP de Apigee:

    Las siguientes ofertas de Apigee no están dentro del alcance de la ATO de FedRAMP de Apigee:

    Para obtener más información sobre la importancia de una ATO de FedRAMP, consulta Cumplimiento de FedRAMP.

    Usa los Controles del servicio de VPC con la residencia de datos

    Para usar los Controles del servicio de VPC con la residencia de datos en reposo, debes usar el siguiente extremo regional: CONTROL_PLANE_LOCATION-apigee.googleapis.com

    Por el momento, no puedes usar los Controles del servicio de VPC con la residencia de datos avanzada. Para la residencia de datos avanzada, usar el extremo apigee.CONTROL_PLANE_LOCATION.rep.googleapis.com requerirá que crees una conexión privada entre Apigee y los servicios de destino de backend con Private Service Connect.