Introduzione alla residenza dei dati

Questo documento descrive la residenza dei dati per Apigee.

Panoramica

Per molti settori verticali e aziende, l'utilizzo di un'offerta cloud comporta un maggiore controllo da parte dei team di sicurezza e conformità (quali dati vengono archiviati nel cloud, dove vengono archiviati, chi ha accesso, chi può visualizzarli e così via). Inoltre, molti paesi hanno approvato leggi sulla privacy dei dati che vietano l'archiviazione di dati di identificazione personale (PII) al di fuori del paese o della regione.

La residenza dei dati per Apigee soddisfa i requisiti normativi e di conformità consentendoti di specificare le posizioni geografiche (regioni) in cui vengono archiviati i dati di Apigee. In passato, Apigee ti consentiva di selezionare la regione dell'istanza e la regione di analisi. Tuttavia, Apigee dispone anche di un'infrastruttura globale, come un bundle di proxy API o altri dati dei clienti. Con la residenza dei dati, la selezione della posizione del control plane garantisce che tutti i contenuti dei clienti vengano archiviati all'interno della regione specificata.

Apigee ha ottenuto l'autorizzazione FedRAMP High, soddisfacendo gli standard richiesti per la residenza dei dati. Per saperne di più, vedi Residenza dei dati e conformità a FedRAMP.

Compatibilità della residenza dei dati

La residenza dei dati può essere utilizzata con quanto segue:

Al momento la residenza dei dati non è supportata per l'utilizzo con:

Punti chiave

Se la residenza dei dati è abilitata per l'installazione di Apigee, tieni presente i seguenti punti chiave:

  • La residenza dei dati deve essere abilitata al momento del provisioning di Apigee. Non puoi abilitare la residenza dei dati per un'organizzazione di cui è già stato eseguito il provisioning.
  • Per impostazione predefinita, il control plane è un'entità globale, a meno che tu non selezioni la residenza dei dati (regionalizzazione) al momento della creazione dell'organizzazione Apigee; non può essere modificata in un secondo momento. Una volta selezionate la residenza dei dati e la località del control plane, queste non possono essere modificate. Se in un secondo momento hai bisogno di una posizione diversa, dovrai creare un nuovo progetto Google Cloud .
  • Quando esegui il provisioning di un'organizzazione:
    • Senza residenza dei dati: specifica la regione con ANALYTICS_REGION.
    • Con la residenza dei dati: specifica la regione con CONTROL_PLANE_LOCATION e la sotto-regione con CONSUMER_DATA_REGION. Consulta Regioni di residenza dei dati.
  • L'amministratore che esegue il provisioning di Apigee deve:
    • Informa gli utenti Apigee, come gli sviluppatori di API e altri amministratori, della configurazione della residenza dei dati
    • Imposta la policy dell'organizzazione relativa alla località come descritto in Limitare le località delle risorse
  • Gli sviluppatori di API, gli amministratori o altri utenti delle API di gestione Apigee devono utilizzare il nuovo endpoint del servizio API di residenza dei dati.

Regioni di residenza dei dati

La residenza dei dati ti consente di scegliere la regione (posizione fisica) durante il provisioning in cui vengono archiviati i dati.

Quando specifichi la regione (ad esempio us), devi anche specificare una singola regione (ad esempio us-west1) per altri servizi che possono essere eseguiti solo in una singola regione, ad esempio i report di Analytics.

Tutte le risorse devono trovarsi all'interno della regione specificata. Ad esempio, se selezioni us per CONTROL_PLANE_LOCATION, anche le altre risorse Apigee, come l'istanza di runtime, il riferimento a CMEK, l'allegato dell'endpoint e così via, devono trovarsi nella regione us.

Il tipo di dati archiviati quando scegli la residenza dei dati è denominato dati del control plane e dati dei consumatori.

I dati del control plane sono dati di analisi, proxy API, server di destinazione, truststore e keystore e qualsiasi altro elemento condiviso tra i runtime. I dati dei consumatori sono dati di analisi trattati da servizi che vengono eseguiti in una singola regione.

Consulta Località Apigee per le regioni del control plane attualmente supportate.

Endpoint di servizio per la residenza dei dati

Un endpoint di servizio è un URL di base che specifica l'indirizzo di rete di un servizio API.

L'endpoint o il nome host del servizio API Apigee è apigee.googleapis.com.

  • Nessuna residenza dei dati:

    Utilizza l'endpoint di servizio come segue:

    apigee.googleapis.com

    Ad esempio:

    curl "https://apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

  • Residenza dei dati:

    Anteponi la regione del control plane all'endpoint del servizio:

    CONTROL_PLANE_LOCATION-apigee.googleapis.com

    Ad esempio:

    curl "https://CONTROL_PLANE_LOCATION-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

    Dove CONTROL_PLANE_LOCATION è la posizione fisica, specificata durante il provisioning, in cui verranno archiviati i dati del control plane di Apigee.

    Ad esempio:

    curl "https://us-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

Come visualizzare la regione

Se hai già eseguito il provisioning della tua organizzazione (PROJECT_ID) per l'utilizzo con la residenza dei dati, puoi utilizzare l' API getProjectMapping per visualizzare le regioni associate a un progetto:

  1. Autorizza gcloud ad accedere a piattaforma Cloud con le tue credenziali utente Google: 
    gcloud auth login
  2. Chiama l'API: 
    curl -X GET https://apigee.googleapis.com/v1/organizations/PROJECT_ID:getProjectMapping \
    -H "Authorization: Bearer $(gcloud auth print-access-token)"

    Dove PROJECT_ID è il nome della tua organizzazione Apigee o l' Google Cloud ID progetto.

    Viene restituito un risultato simile al seguente:

    {
  "organization": "my-project",
  "projectIds": [
    "my-project"
  ],
  "projectId": "my-project"
  "location": "us"
}

Crittografia della residenza dei dati

Consulta la sezione Introduzione a CMEK.

Vincoli di residenza dei dati e delle policy dell'organizzazione

I vincoli delle policy dell'organizzazione diGoogle Cloudconsentono di definire un insieme di località in cui è possibile creare risorse Google Cloud basate sulla località per la tua organizzazione Google Cloud . Se hai una Google Cloud policy dell'organizzazione che utilizza un vincolo di località delle risorse (constraints/gcp.resourceLocations), il vincolo si applicherà alle seguenti risorse Apigee create durante il provisioning di Apigee:

Se stai eseguendo il provisioning di una nuova organizzazione Apigee all'interno di un progetto Google Cloud con un vincolo di località delle risorse applicato, devi assicurarti che il vincolo di località sia compatibile con la località del control plane specificata per la tua organizzazione Apigee:

  • Se esegui il provisioning di un'organizzazione Apigee senza residenza dei dati, il vincolo di località delle risorse nella policy dell'organizzazione Google Cloud deve essere impostato su global. Poiché il control plane Apigee è un'entità globale per impostazione predefinita, il provisioning non andrà a buon fine se viene applicato un vincolo diverso da global.
  • Se esegui il provisioning di un'organizzazione Apigee con la residenza dei dati, verifica che qualsiasi vincolo di località delle risorse che potrebbe essere impostato nel criterio dell'organizzazione Google Cloud non escluda la regione selezionata per i dati del control plane. In caso contrario, il provisioning non riuscirà.

Residenza dei dati e conformità FedRAMP

Apigee è autorizzato come servizio FedRAMP High per le organizzazioni in cui è abilitata la residenza dei dati. Se scegli di attivare la residenza dei dati durante il provisioning di un'organizzazione Apigee con abbonamento o con pagamento a consumo, i seguenti servizi rientrano nell'ambito dell'autorizzazione all'operatività (ATO) FedRAMP di Apigee:

Le seguenti offerte Apigee non rientrano nell'ambito dell'ATO FedRAMP di Apigee:

Per saperne di più sull'importanza di un'autorizzazione ATO FedRAMP, consulta la sezione Conformità FedRAMP.

Residenza dei dati e Apigee hybrid

Puoi configurare le nuove installazioni di Apigee hybrid per utilizzare la residenza dei dati a partire dalla versione 1.12 di hybrid. Consulta Utilizzare la residenza dei dati con Apigee Hybrid.

Apigee Hybrid versione 1.14.0 e successive con la residenza dei dati abilitata supporta Advanced API Security, Apigee API Analytics e lo strumento di debug.

Apigee hybrid con la residenza dei dati abilitata non supporta la traccia distribuita. Consulta il problema noto.