Menyediakan residensi data untuk organisasi Anda

Dokumen ini menjelaskan cara menyediakan organisasi Apigee Anda dengan residensi data dalam penyimpanan saja atau dengan residensi data lanjutan.

Lihat juga Pengantar residensi data.

Menyediakan organisasi Anda dengan residensi data dalam penyimpanan saja

Sebagai admin Apigee, untuk menyediakan residensi data dalam penyimpanan saja bagi organisasi Anda, guna membatasi lokasi penyimpanan data, gunakan salah satu opsi penyediaan organisasi berbayar yang tersedia. Pastikan untuk mencentang kotak Aktifkan residensi data selama penyediaan.

Menyediakan residensi data lanjutan untuk organisasi Anda

Sebagai admin Apigee, untuk menyediakan residensi data lanjutan bagi organisasi Anda, termasuk penyimpanan data (saat disimpan), pemrosesan (saat digunakan), dan transmisi (saat dikirim), Anda harus melakukan langkah-langkah berikut.

# Langkah Deskripsi Dilakukan oleh
1 Membuat folder Assured Workloads Buat folder Assured Workload di Google Cloud organisasi Anda untuk menetapkan dan menerapkan kebijakan organisasi yang diperlukan yang membatasi penggunaan resource hanya di lokasi yang diizinkan. Google Cloud admin dengan izin Administrasi Assured Workloads
2 Penyediaan dengan residensi data lanjutan Sediakan organisasi berbayar Anda dengan residensi data lanjutan menggunakan salah satu opsi penyediaan organisasi berbayar yang tersedia.

Anda harus menggunakan konsol yurisdiksi untuk mengakses UI Apigee atau endpoint regional untuk mengakses Apigee API berdasarkan lokasi bidang kontrol Anda.

Admin Organisasi Apigee

Membuat folder Assured Workload

Catatan: Anda harus menjadi Google Cloud admin dengan izin Administrasi Assured Workloads untuk menyiapkan folder Assured Workloads.

Assured Workloads memungkinkan organisasi menerapkan dan menegakkan kontrol peraturan, regional, dan kedaulatan pada Google Cloud resource.

Dengan menggunakan konsol Google Cloud , Anda dapat membuat folder Assured Workloads di organisasi Google Cloud Anda dan memilih paket kontrol berdasarkan persyaratan peraturan Anda. Paket kontrol adalah sekumpulan kontrol yang, jika digabungkan, mendukung dasar untuk kepatuhan terhadap kerangka kerja, hukum, atau peraturan. Paket kontrol menetapkan dan menerapkan batasan kebijakan organisasi yang diperlukan untuk:

  • Batasi penggunaan resource hanya untuk produk yang didukung
  • Mengizinkan pembuatan atau penggunaan resource hanya di lokasi yang diizinkan

Untuk mengetahui informasi selengkapnya tentang Assured Workloads, lihat Ringkasan Assured Workloads.

Penyediaan dengan residensi data lanjutan

Catatan: Anda harus menjadi admin Organisasi Apigee untuk menyediakan organisasi berbayar dengan residensi data lanjutan.

Sebagai admin Apigee, saat menyediakan organisasi berbayar menggunakan salah satu opsi penyediaan, Anda harus menggunakan konsol yurisdiksi untuk mengakses UI Apigee atau endpoint regional saat menggunakan CLI.

Menggunakan konsol wilayah hukum

Saat menyediakan organisasi Anda dengan residensi data lanjutan, Anda harus menggunakan konsol yurisdiksi berbasis lokasi untuk mengakses UI Apigee. Saat menyediakan organisasi Apigee menggunakan konsol yurisdiksi, kolom berikut dikonfigurasi secara otomatis:

  • Aktifkan residensi data dipilih (dan tidak dapat dibatalkan pilihannya)
  • Opsi yurisdiksi hosting bidang kontrol difilter berdasarkan konsol yurisdiksi yang digunakan
  • Semua pemilih wilayah lainnya difilter untuk hanya menampilkan lokasi dalam yurisdiksi hosting bidang kontrol yang dipilih

Untuk mengetahui informasi tentang cara mengakses konsol yurisdiksi, lihat Konsol Google Cloud yurisdiksi dan Tanggung jawab bersama di Assured Workloads.

Menggunakan endpoint regional

Saat menyediakan residensi data lanjutan untuk organisasi Anda, gunakan endpoint regional berikut:

apigee.CONTROL_PLANE_LOCATION.rep.googleapis.com

Dengan CONTROL_PLANE_LOCATION adalah lokasi fisik tempat data bidang kontrol Apigee akan disimpan. Untuk mengetahui daftar lokasi bidang kontrol yang tersedia, lihat Menggunakan endpoint regional untuk residensi data lanjutan.

Selama penyediaan, Anda bertanggung jawab untuk memilih nilai yang sesuai. Jika Anda menggunakan lokasi yang dilarang oleh kebijakan organisasi yang berlaku, Anda akan menerima error Permission Denied.

Misalnya, perintah berikut akan membuat organisasi Apigee di region AS dengan CMEK diaktifkan. Lihat juga API organisasi Apigee. 

curl "https://apigee.us.rep.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" \
  -X POST
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "$PROJECT_ID",
    "runtimeType": "CLOUD", # Hybrid organizations aren't supported
    "billingType": "$BILLING_TYPE", # Eval organizations aren't supported
    "controlPlaneEncryptionKeyName" : "'"$CONTROL_PLANE_KEY_ID"'",
    "apiConsumerDataLocation" : "'"$CONSUMER_DATA_REGION"'",  # Must be single region in US
    "apiConsumerDataEncryptionKeyName" : "'"$CONSUMER_DATA_KEY_ID"'",
    "authorizedNetwork" : "'"$NETWORK_NAME"'", # Must be created in the US region
    "runtimeDatabaseEncryptionKeyName" : "'"$RUNTIMEDB_KEY_ID"'"
  }'

Cara membuat kunci CMEK dengan tingkat perlindungan eksternal menggunakan gcloud CLI

Saat menyediakan organisasi Apigee dengan residensi data lanjutan di region Uni Eropa, Anda harus membuat kunci enkripsi yang dikelola pelanggan (CMEK) dengan tingkat perlindungan eksternal. Anda harus menggunakan Google Cloud CLI untuk membuat kunci CMEK karena konsol yurisdiksi Uni Eropa tidak mendukung penyiapan kunci CMEK yang didukung secara eksternal. Selain itu, Anda harus menyiapkan Pengelola Kunci Eksternal (EKM).

Untuk membuat kunci CMEK dan menyiapkan EKM, ikuti langkah-langkah yang dijelaskan di bagian berikut:

Menyiapkan EKM

Kunci CMEK yang dibuat untuk wilayah Uni Eropa harus dibuat dengan level perlindungan eksternal, sehingga Anda harus menyiapkan EKM. Untuk menyiapkan EKM, ikuti petunjuk yang diberikan di bagian berikut:

Buat kunci CMEK untuk region Uni Eropa

Buat kunci CMEK berikut yang diperlukan untuk region Uni Eropa menggunakan perintah gcloud CLI yang dijelaskan di bawah:

  • Kunci enkripsi bidang kontrol
  • Kunci enkripsi data konsumen API
  • Kunci enkripsi database runtime
  • Kunci enkripsi disk runtime

Untuk mengetahui informasi selengkapnya tentang cara membuat kunci CMEK, lihat Tentang kunci enkripsi Apigee.

Ulangi langkah-langkah berikut untuk membuat setiap kunci CMEK yang diperlukan:

  1. Buat key ring di region Uni Eropa menggunakan perintah berikut:
    gcloud kms keyrings create DATA_KEY_RING \
      --location LOCATION \
      --project=PROJECT_ID
  2. Buat kunci eksternal menggunakan perintah berikut:
    gcloud kms keys create DATA_KEY_NAME \
      --keyring=DATA_KEY_RING \
      --location LOCATION \
      --purpose encryption \
      --protection-level external \
      --skip-initial-version-creation \
      --default-algorithm external-symmetric-encryption \
      --project PROJECT_ID
  3. Buat versi kunci yang mengarah ke EKM yang disiapkan pada langkah sebelumnya menggunakan perintah berikut:
    gcloud kms keys versions create \
  --key DATA_KEY_NAME \
  --keyring DATA_KEY_RING \
  --location LOCATION \
  --external-key-uri "EKM_URI" \
  --primary \
  --project PROJECT_ID
  4. Berikan izin kepada agen layanan Apigee menggunakan perintah berikut:
    gcloud kms keys add-iam-policy-binding DATA_KEY_NAME \
      --location LOCATION \
      --keyring DATA_KEY_RING \
      --member serviceAccount:service-$(gcloud projects describe $project --format="value(projectNumber)")@gcp-sa-apigee.iam.gserviceaccount.com \
      --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
      --project PROJECT_ID

Dengan:

  • DATA_KEY_RING: Nama bidang kontrol, data konsumen API, database runtime, atau key ring disk runtime.
  • DATA_KEY_NAME: Nama bidang kontrol, data konsumen API, database runtime, atau kunci disk runtime.
  • LOCATION: Lokasi Cloud KMS key ring. Tetapkan nilai ini sebagai berikut:
    • Untuk Kunci enkripsi bidang kontrol, setel ke salah satu kunci multi-region berikut: us atau europe.
    • Untuk kunci enkripsi data konsumen API, kunci enkripsi database runtime, dan kunci enkripsi disk runtime, tetapkan ke salah satu kunci satu region berikut: europe-* atau us-*. Misalnya, europe-west1, us-central1, dan sebagainya.
  • EKM_URI: URI EKM.
  • PROJECT_ID: Google Cloud Project ID.

Konfigurasi gcloud CLI untuk menggunakan endpoint regional (Opsional)

Anda dapat mengelola organisasi Apigee menggunakan gcloud CLI. Untuk sebagian besar organisasi, gcloud CLI akan otomatis mendeteksi endpoint regional yang sesuai. Hal ini berfungsi dengan lancar jika nama organisasi Apigee Anda cocok dengan nama project Google Cloud .

Namun, dalam beberapa kasus, nama mungkin tidak cocok. Misalnya, jika Anda memigrasikan organisasi Apigee dari satu Google Cloud project ke project lain, nama organisasi Apigee dan Google Cloud project tempat organisasi tersebut berada mungkin berbeda. Dalam hal ini, Anda harus melakukan salah satu hal berikut saat menggunakan gcloud CLI:

  • Teruskan flag --organization dengan setiap perintah gcloud CLI untuk menentukan target organisasi Apigee.
  • Konfigurasi gcloud CLI untuk mengganti endpoint Apigee dan memaksa semua perintah menggunakan endpoint regional baru.

    Misalnya, untuk menggunakan endpoint regional AS, perintah gcloud CLI-nya adalah sebagai berikut:

    gcloud config set api_endpoint_overrides/apigee https://apigee.us.rep.googleapis.com/

Melihat lokasi bidang kontrol untuk organisasi

Jika Anda telah menyediakan organisasi (PROJECT_ID) untuk digunakan dengan residensi data, Anda dapat menggunakan getProjectMapping API untuk melihat lokasi bidang kontrol yang terkait dengan project dengan melakukan langkah-langkah berikut:

  1. Beri otorisasi gcloud untuk mengakses Cloud Platform dengan kredensial pengguna Google Anda: 
    gcloud auth login
  2. Panggil API getProjectMapping.

    Karena informasi yang diakses adalah metadata dan bukan konten inti pelanggan, Anda dapat menggunakan endpoint global atau regional untuk memanggil API. Perintah berikut menggunakan endpoint global:

    curl -X GET https://apigee.googleapis.com/v1/organizations/PROJECT_ID:getProjectMapping \
    -H "Authorization: Bearer $(gcloud auth print-access-token)"

    Dengan PROJECT_ID adalah nama organisasi Apigee Anda.

    Berikut adalah contoh respons:

    {
  "organization": "my-project",
  "projectIds": [
    "my-project"
  ],
  "projectId": "my-project"
  "location": "us"
}

Memigrasikan organisasi Apigee untuk mendukung residensi data lanjutan

Untuk memigrasikan organisasi Apigee yang ada yang mendukung residensi data saat tidak digunakan untuk mendukung residensi data lanjutan, lakukan hal berikut:

  1. Pindahkan Google Cloud project tempat Apigee disediakan ke folder Assured Workload. Untuk mengetahui informasi selengkapnya, lihat Memigrasikan workload.
  2. Jika membuat organisasi Apigee sebelum residensi data lanjutan tersedia secara umum, Anda harus mengonfigurasi ulang resource jaringan global untuk memigrasikannya ke dalam yurisdiksi yang diperlukan. Jika tidak, Anda dapat melewati langkah ini.