Utilizzare Apigee con la residenza dei dati

Questo documento descrive come utilizzare l'UI di Apigee, l'API Apigee e i criteri MessageLogging e PublishMessage con la residenza dei dati.

Per saperne di più sulla residenza dei dati in Apigee, consulta Introduzione alla residenza dei dati.

Utilizzare l'interfaccia utente Apigee con la residenza dei dati

Per accedere alla UI di Apigee con la residenza dei dati, accedi a una delle seguenti console in base ai tuoi requisiti di residenza dei dati:

• Residenza dei dati (solo a riposo): Google Cloud console
• Residenza dei dati avanzata: console giurisdizionale

La console giurisdizionale modifica le interazioni dell'UI con i servizi come segue:

• Potrai selezionare solo le località delle risorse coerenti con la località del control plane selezionata.
• Quando crei allegati endpoint, potrai selezionare solo allegati di servizio coerenti con il criterio Località delle risorse della tua organizzazione. In questo modo, l'accesso da parte di una destinazione privata che non si trova in una località consentita viene impedito.

Utilizzare l'API Apigee con la residenza dei dati

Per accedere all'API Apigee con la residenza dei dati, utilizza i seguenti endpoint regionali descritti in Utilizzare gli endpoint regionali per la residenza dei dati.

Quando utilizzi l'API Apigee, riceverai un errore Permission Denied se utilizzi una regione vietata dal pacchetto di controlli.

Utilizzare i criteri MessageLogging e PublishMessage con la residenza dei dati

Le sezioni seguenti descrivono come aggiornare le definizioni dei criteri per i criteri MessageLogging e PublishMessage per supportare la residenza dei dati.

Utilizzare il criterio MessageLogging con la residenza dei dati

Quando utilizzi il criterio MessageLogging, per supportare la residenza dei dati, aggiorna la definizione del criterio per aggiungere l'elemento <Endpoint> all'elemento <CloudLogging> e impostalo sull'endpoint regionale da utilizzare per la registrazione dei messaggi, come segue:

logging.CONTROL_PLANE_LOCATION.rep.googleapis.com:443.

Importante: quando utilizzi Controlli di servizio VPC con la residenza dei dati, devi utilizzare il seguente endpoint regionale: CONTROL_PLANE_LOCATION-logging.googleapis.com.

CONTROL_PLANE_LOCATION è la posizione fisica, specificata durante il provisioning, in cui verranno archiviati i dati del control plane di Apigee.

Se non aggiungi l'elemento <Endpoint>, il criterio utilizza l'endpoint globale per impostazione predefinita.

Ad esempio, la seguente definizione di policy utilizza l'endpoint regionale per la registrazione dei messaggi nella regione us:

<MessageLogging name="LogToCloudLogging">
    <CloudLogging>
        <LogName>projects/{organization.name}/logs/{log.id}</LogName>
        <Message contentType="application/json">{"{message.queryparam.key}": "{message.queryparam.value}"}</Message>
        <Labels>
            <Label>
                <Key>key1</Key>
                <Value>value1</Value>
            </Label>
            <Label>
                <Key>key2</Key>
                <Value>value2</Value>
            </Label>
        </Labels>
        <ResourceType>api</ResourceType>
        <Endpoint>logging.us.rep.googleapis.com:443</Endpoint>
    </CloudLogging>
</MessageLogging>

Per saperne di più, consulta le norme MessageLogging.

Utilizzare il criterio PublishMessage con la residenza dei dati

Per supportare la residenza dei dati, quando utilizzi il criterio PublishMessage, devi aggiornare la definizione del criterio per aggiungere l'elemento <Endpoint> all'elemento <CloudPubSub> e impostarlo sull'endpoint regionale da utilizzare per la messaggistica Pub/Sub, come segue:

pubsub.CONTROL_PLANE_LOCATION.rep.googleapis.com:443.

Importante: quando utilizzi i Controlli di servizio VPC con la residenza dei dati, devi impostare l'elemento <Endpoint> sul seguente endpoint regionale:

CONTROL_PLANE_LOCATION-pubsub.googleapis.com

CONTROL_PLANE_LOCATION è la posizione fisica, specificata durante il provisioning, in cui verranno archiviati i dati del control plane di Apigee.

Se non aggiungi l'elemento <Endpoint>, il criterio utilizza l'endpoint globale per impostazione predefinita.

Ad esempio, la seguente definizione di policy utilizza l'endpoint regionale per la messaggistica Pub/Sub nella regione us:

<PublishMessage async="false" continueOnError="false" enabled="true" name="Publish to Pub/Sub">
    <DisplayName>Publish to Pub/Sub</DisplayName>
    <Description>Publish to Pub/Sub</Description>
    <CloudPubSub>
        <Topic>projects/{organization.name}/topics/{topic.name}</Topic>
        <Endpoint>pubsub.us.rep.googleapis.com:443</Endpoint>
    </CloudPubSub>
</PublishMessage>

Per saperne di più, consulta le norme PublishMessage.