מבוא למיקום הנתונים

במקרים רבים, שימוש בשירותי ענן מוביל לבדיקה מדוקדקת יותר מצד צוותי האבטחה והתאימות. אלה כמה מהשאלות הנפוצות ביותר:

  • איפה הנתונים מאוחסנים?
  • אילו נתונים מאוחסנים בענן?
  • למי יש גישה לנתונים?
  • איך המידע מטופל במהלך העיבוד או השידור?

בנוסף, במדינות רבות נחקקו חוקים בנושא פרטיות נתונים שאוסרים על אחסון של פרטים אישיים מזהים (PII) מחוץ למדינה או לאזור.

במסמך הזה מוסבר על אחסון נתונים ב-Apigee ואיך הוא עוזר לכם לעמוד בדרישות התאימות והרגולטוריות.

סקירה כללית

מיקום הנתונים ב-Apigee עומד בדרישות התאימות והרגולטוריות, כי הוא מאפשר לכם לציין את המיקומים הגיאוגרפיים (האזורים) שבהם מתבצעים הפעולות הבאות לגבי נתוני Apigee:

  • מאוחסנים (במצב מנוחה)
  • עובד (בשימוש)
  • הועבר (במהלך ההעברה)
הערה: במסמכי התיעוד האלה, המונח מיקום מתקדם של נתונים מתייחס לדרישות התאימות והרגולציה לגבי נתונים שעוברים עיבוד (בשימוש) או שידור (במעבר), בנוסף לאחסון (במנוחה). מידע נוסף זמין במאמר מיקום מתקדם של נתונים.

מפעילים את המיקום של נתונים כשמקצים ארגון ב-Apigee. במהלך הקצאת המשאבים, בוחרים את האזור שבו יאוחסן כל התוכן של הלקוחות. איך מגדירים את מיקום הנתונים בארגון

אחרי שהוקצה לארגון ב-Apigee מיקום נתונים, האדמינים של הארגון ב-Apigee צריכים לבצע את הפעולות הבאות:

שימו לב לנקודות הבאות:

  • אי אפשר להפעיל את התכונה 'מיקום הנתונים' בארגון Apigee שכבר הוקצה לו נפח אחסון.
  • כברירת מחדל, מישור הבקרה הוא ישות גלובלית, אלא אם בוחרים במיקום הנתונים (אזורי) בזמן יצירת הארגון ב-Apigee.
  • אחרי שבוחרים את מיקום אחסון הנתונים ואת מיקום מישור הבקרה, אי אפשר לשנות אותם. אם תצטרכו מיקום אחר בהמשך, תצטרכו ליצור פרויקט חדש Google Cloud .

אפשר לעיין גם בGoogle Cloud שירותים עם מיקום נתונים.

מידע על מיקום מתקדם של נתונים

המונח 'מיקום מתקדם של נתונים' מתייחס לדרישות תאימות ורגולטוריות לגבי נתונים שנמצאים בעיבוד (בשימוש) או בהעברה (בזמן העברה), בנוסף לנתונים שנמצאים באחסון (במצב מנוחה).

כדי לעמוד בדרישות של מיקום נתונים מתקדם, צריך לבצע את הפעולות הבאות כשמגדירים את Apigee ומשתמשים בו.

יצירת Assured Workloads הקצאת משאבים לארגון שימוש ב-Apigee
אדמין ב-Google Cloud יוצר תיקייה של Assured Workloads בארגון ב-Google Cloud ומחיל חבילת אמצעי בקרה. חבילת אמצעי הבקרה מגדירה באופן אוטומטי את המיקום של מישור הבקרה ומגבלות של מדיניות הארגון שמחייבות את הגבולות האזוריים של הנתונים.

איך יוצרים תיקיית Assured Workloads

אדמין בארגון Apigee מקצה לארגון בתשלום שלכם תכונות מתקדמות של שמירת נתונים במדינה מסוימת, באמצעות המסוף המשפטי שמבוסס על מיקום, כדי לגשת לממשק המשתמש של Apigee או לנקודת הקצה האזורית, כדי לגשת לממשקי ה-API של Apigee.

איך מקצים לארגון מיקום מתקדם לאחסון נתונים

משתמשי Apigee משתמשים במסוף האזורי כדי לגשת לממשקי המשתמש של Apigee או בנקודת הקצה האזורית כדי לגשת לממשקי ה-API.

איך משתמשים ב-Apigee עם נתונים שנשמרים במיקום גיאוגרפי מסוים

תמיכה במיקום הנתונים

בטבלה הבאה מפורטות התכונות שנתמכות ושלא נתמכות ב-Apigee עם אחסון נתונים מקומי.

נתמך לא נתמך
  • שילוב של Data Studio
  • תכונות בגרסת טרום-השקה או בגרסת בטא, כמו Shadow API Discovery
  • ארגונים לצורך הערכה
  • פורטלים משולבים
  • ‫Apigee Adapter ל-Envoy
  • תכונות ניתוח למשתמשי קצה, כמו לוח הבקרה של מכשירים ולוח הבקרה של מפה גיאוגרפית, לא נתמכות בתוכנית 'שמירת נתונים מתקדמת'
  • תכונות ניתוח למפתחים, כמו לוח הבקרה של מעורבות המפתחים ולוח הבקרה של הרכב התנועה, לא נתמכות בשימוש במיקום מתקדם של אחסון נתונים
  • אין תמיכה ב-Apigee hybrid בנושא שמירת נתונים מתקדמת
    •

    תאימות ל-FedRAMP ומיקום הנתונים

    ‫Apigee מורשה כשירות FedRAMP High לארגונים שבהם מופעלת תכונת מיקום הנתונים. אם בוחרים להפעיל את תכונת מיקום הנתונים כשמבצעים הקצאה של מינוי Apigee או של ארגון עם תשלום לפי שימוש, השירותים הבאים כלולים בהיקף של הרשאת ההפעלה (ATO) של Apigee ב-FedRAMP:

    המוצרים הבאים של Apigee לא נכללים ב-ATO של Apigee FedRAMP:

    מידע נוסף על המשמעות של אישור ATO של FedRAMP זמין במאמר בנושא תאימות ל-FedRAMP.

    מיקום הנתונים ב-Apigee Hybrid

    אפשר להגדיר התקנות חדשות של Apigee Hybrid כך שישתמשו במיקום הנתונים, החל מגרסה 1.12 של Hybrid. מידע נוסף זמין במאמר בנושא שימוש במיקום הנתונים ב-Apigee Hybrid.

    ‫Apigee Hybrid גרסה 1.14.0 ואילך עם תמיכה בAdvanced API Security, בApigee API Analytics ובכלי הניפוי באגים.

    בחירת אזורים למיקום הנתונים

    אתם בוחרים את האזורים (המיקום הפיזי) של נתוני מישור הבקרה בהתאם לדרישות שלכם לגבי מיקום הנתונים, באופן הבא:

    הדרישות לגבי מיקום הנתונים איך בוחרים אזור
    המיקום של נתונים במצב מנוחה בלבד כשמבצעים הקצאת משאבים לארגון Apigee, האדמין ב-Apigee מגדיר את המיקום של מישור הבקרה לאזור הנדרש (לדוגמה, us). אפשר לעיין במאמר בנושא הקצאת משאבים לארגון עם נתונים באחסון בלבד.
    מיקום אחסון נתונים מתקדם (בשימוש ובמעבר) כשיוצרים תיקיית Assured Workloads Google Cloud לארגון, Google Cloud האדמין בוחר חבילת אמצעי בקרה כדי להגדיר את הגבולות האזוריים של הנתונים. במהלך ההקצאה, המיקום של מישור הבקרה מוגדר באופן אוטומטי, ומיקומים אחרים מסוננים על סמך חבילת אמצעי הבקרה שנבחרה. מידע נוסף זמין במאמר הקצאת נפח אחסון לארגון עם תכונות מתקדמות של שמירת נתונים.

    במהלך הקצאת המשאבים, צריך גם לציין אזור יחיד (לדוגמה, us-west1) לשירותים אחרים לצרכנים שיכולים לפעול רק באזור יחיד, כמו דוחות Analytics.

    כל המשאבים צריכים להיות באזור שצוין. לדוגמה, אם בוחרים באפשרות us למיקום של מישור הבקרה, גם שאר משאבי Apigee, כמו מופע זמן הריצה, הפניה ל-CMEK, צירוף נקודת קצה וכו', צריכים להיות באזור us.

    שימוש במסוף של סמכות השיפוט

    כשמקצים או משתמשים ב-Apigee עם תכונת השמירה המתקדמת של נתונים, צריך להשתמש באחת ממסופי Google Cloud הסמכות השיפוטית כדי לגשת לממשק המשתמש של Apigee על סמך המיקום שלכם.

    לדוגמה, כתובת ה-URL של המסוף המשפטי באזור ארצות הברית היא: console.us.cloud.google.com

    כשמפעילים את Apigee או משתמשים בו עם מיקום נתונים רק במצב מנוחה, אפשר להשתמש במסוף הגלובלי או במסוף לפי סמכות שיפוט. כדי להשתמש במסוף לפי תחום שיפוט, צריך להקצות את ארגון Apigee באחד מהמיקומים הנתמכים.

    היתרונות של שימוש במסוף Google Cloud לפי סמכות שיפוט:

    • מפשט את ממשק המשתמש של הקצאת ההרשאות על ידי הגדרה אוטומטית של מיקום מישור הבקרה וסינון של בוררי האזור בהתאם.
    • משנה את האינטראקציות בממשק המשתמש עם שירותי Google Cloud בהתאם לדרישות בנוגע למיקום הנתונים, כמו סינון של אזורים לבחירה והאפשרויות הזמינות לצירוף נקודות קצה של שירותים, כדי למנוע מ-Apigee להתחבר ליעד פרטי באמצעות Private Service Connect ‏ (PSC) אם היעד נמצא מחוץ לאזור המותר.

    מידע על גישה למסוף לפי תחום שיפוט זמין במאמר מסוף Google Cloud לפי תחום שיפוט.

    שימוש בנקודות קצה אזוריות למיקום נתונים

    נקודת קצה של שירות, או שם מארח, היא כתובת URL בסיסית שמציינת את כתובת הרשת של שירות API. נקודת הקצה של שירות Apigee API היא apigee.googleapis.com. זו נקודת הקצה הגלובלית שמשמשת כשהמערכת לא תומכת במיקום הגיאוגרפי של הנתונים.

    כדי לתמוך במיקום הנתונים, תצטרכו להשתמש בנקודות קצה אזוריות. בקטעים הבאים מוסבר איך להשתמש בנקודות קצה אזוריות כדי להבטיח מיקום של נתונים באחסון במצב מנוחה בלבד ומיקום מתקדם של נתונים.

    שימוש בנקודות קצה אזוריות רק למיקום נתונים באחסון

    כדי לגשת ל-Apigee API עם נתונים שנשמרים במצב מנוחה רק במיקום גיאוגרפי מסוים, משתמשים בנקודת הקצה האזורית הבאה: CONTROL_PLANE_LOCATION-apigee.googleapis.com

    ‫CONTROL_PLANE_LOCATION הוא המיקום הפיזי שבו יאוחסנו נתוני מישור הבקרה של Apigee. רשימת המיקומים הזמינים של מישור הבקרה מופיעה במאמר מיקומי Apigee.

    לדוגמה, בדוגמה הבאה מוצגת קריאת curl שמשמשת ליצירת ארגון באמצעות נקודת הקצה האזורית בארצות הברית: 

    curl "https://us-apigee.googleapis.com/v1/organizations?parent=projects/PROJECT_ID" ...

    שימוש בנקודות קצה אזוריות למיקום מתקדם של אחסון הנתונים

    כדי לגשת ל-Apigee API עם תכונת השמירה המתקדמת של נתונים באזור, משתמשים בנקודת הקצה האזורית הבאה:

    apigee.CONTROL_PLANE_LOCATION.rep.googleapis.com

    כאשר CONTROL_PLANE_LOCATION הוא המיקום הפיזי שבו מאוחסנים הנתונים של מישור הבקרה של Apigee.

    בטבלה הבאה מפורטים המיקומים הנתמכים של מישור הבקרה ונקודות הקצה האזוריות התואמות:

    Location נקודת קצה אזורית
    ארצות הברית (US) apigee.us.rep.googleapis.com
    האיחוד האירופי (EU) apigee.eu.rep.googleapis.com
    הודו (IN) apigee.in.rep.googleapis.com

    לדוגמה, בדוגמה הבאה מוצגת קריאת curl שמשמשת ליצירת ארגון באמצעות נקודת הקצה האזורית בארצות הברית: 

    curl "https://apigee.us.rep.googleapis.com/v1/organizations?parent=projects/PROJECT_ID" ...

    הצפנה ומיקום הנתונים

    כברירת מחדל, Google Cloud הנתונים מוצפנים באופן אוטומטי כשהם במצב מנוחה באמצעות מפתחות הצפנה שבבעלות Google ושמנוהלים על ידה. אם יש לכם דרישות ספציפיות בנושא תאימות או רגולציה שקשורות למפתחות שמגנים על הנתונים שלכם, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK). מידע נוסף זמין במאמר מבוא ל-CMEK.

    שימוש באילוצים של מדיניות הארגון עם תושבות נתונים

    Google Cloudהמגבלות של מדיניות הארגון של מאפשרות להגדיר קבוצה של מיקומים שבהם אפשר ליצור משאבים מבוססי-מיקום של Google Cloud הארגון שלכם. Google Cloud אם יש לכם Google Cloud מדיניות ארגון שמשתמשת באילוץ על מיקום המשאב (constraints/gcp.resourceLocations), האילוץ יחול על המשאבים הבאים של Apigee שנוצרים כשמקצים את Apigee:

    אם אתם מקצים ארגון חדש ב-Apigee בתוך Google Cloud פרויקט שמוחל עליו אילוץ של מיקום משאב, אתם צריכים לוודא שאילוץ המיקום תואם למיקום של מישור הבקרה שצוין לארגון שלכם ב-Apigee:

    • אם אתם מקצים ארגון Apigee ללא תושבות נתונים, צריך להגדיר את האילוץ של מיקום המשאב במדיניות הארגון Google Cloud לערך global. כברירת מחדל, מישור הבקרה של Apigee הוא ישות גלובלית, ולכן ההקצאה תיכשל אם יוחל אילוץ שאינו global.
    • אם אתם מקצים ארגון Apigee עם מיקום נתונים, אתם צריכים לוודא שאילוצי מיקום המשאבים שמוגדרים במדיניות הארגון שלכם לא מונעים את השימוש באזור שבחרתם בשביל נתוני מישור הבקרה. Google Cloud אחרת, הקצאת ההרשאות תיכשל.

    מיקום הנתונים ועמידה בדרישות FedRAMP

    ‫Apigee מורשה כשירות FedRAMP High לארגונים שבהם מופעלת תכונת מיקום הנתונים. אם בוחרים להפעיל את תכונת מיקום הנתונים כשמבצעים הקצאה של מינוי Apigee או של ארגון עם תשלום לפי שימוש, השירותים הבאים כלולים בהיקף של הרשאת ההפעלה (ATO) של Apigee ב-FedRAMP:

    המוצרים הבאים של Apigee לא נכללים ב-ATO של Apigee FedRAMP:

    מידע נוסף על המשמעות של אישור ATO של FedRAMP זמין במאמר בנושא תאימות ל-FedRAMP.

    שימוש ב-VPC Service Controls עם מיקום נתונים

    כדי להשתמש ב-VPC Service Controls עם נתונים במצב מנוחה, צריך להשתמש בנקודת הקצה האזורית הבאה: CONTROL_PLANE_LOCATION-apigee.googleapis.com

    בשלב הזה, אי אפשר להשתמש ב-VPC Service Controls עם מיקום מתקדם של נתונים. כדי להשתמש בנקודת הקצה apigee.CONTROL_PLANE_LOCATION.rep.googleapis.com לשמירת נתונים מתקדמת, צריך ליצור חיבור פרטי בין Apigee לבין שירותי יעד של backend. לשם כך, משתמשים ב-Private Service Connect.