Assured Workloads の概要

Assured Workloads を使用すると、民間部門と公共部門の組織は、クラウド内の機密性の高いワークロードに対して、データの所在地、アクセス、担当者の管理を伴うデータとアクセスの主権境界を構成できます。 Assured Workloads を使用すると、事前定義されたコントロール パッケージをフォルダに適用することで、 規制対象のワークロードの管理と構成を簡素化できます。Assured Workloads を使用すると、商用クラウド インフラストラクチャのスケール、費用、サービス可用性のメリットを維持しながら、コンプライアンスに準拠したワークロードを実行できます。

Assured Workloads のユースケース

組織が特定の規制、地域、主権の要件への準拠を確保する必要がある場合は、Assured Workloads を使用します。たとえば、Assured Workloads を使用すると、次の組織はコンプライアンス義務を果たすことができます。

  • データ ストレージ、鍵管理、アクセスに関する厳格な規制がある組織（金融サービス、医療、政府機関など）。
  • 特定のリージョンまたは国にデータを保存する必要がある組織。
  • データへの Google Cloud 担当者のアクセスを制御する必要がある組織。

Assured Workloads の機能

Assured Workloads には、コンプライアンスと規制の要件を満たすのに役立つさまざまな機能が用意されています。以下に例を示します。

  • コンプライアンスの適用を目的としたリージョン データ境界と規制データ境界
  • 担当者のデータアクセス制御
  • 暗号鍵管理コントロール
  • コンプライアンス アップデート
  • 違反のモニタリング

以降のセクションでは、これらの機能について説明します。

コントロール パッケージ

コントロール パッケージは、Assured Workloads のコンプライアンス適用の基盤となります。Assured Workloads control パッケージは、リージョン データ 境界、規制データ境界、および パートナーによる主権管理のコントロール タイプで使用できます。 特定のコントロール パッケージの Assured Workloads フォルダを作成すると、コントロール パッケージ内のコントロールによって、フォルダ内のすべてのプロジェクトとリソースのガードレールが定義されます。これらのコントロールは、組織のポリシーの制約やその他の機能を使用して適用されます。

プロダクトとサービス Google Cloud のサポートは、コントロール パッケージによって異なります。 詳細については、 コントロール パッケージ別のサポート対象プロダクトをご覧ください。

地域的なデータ境界

リージョン Data Boundary コントロール パッケージは、リソースを保存できる地理的位置を制限することで、データ所在地の要件をサポートします。一部のデータ境界では、Google によるデータへのアクセスを独立して制御することもできます。たとえば、適切かつ必要と見なされる特定のプロバイダの行動に対してのみアクセスを承認できます。

これらのデータ境界を使用すると、データを配置する必要がある Google Cloud リージョンを指定し、その リージョン外へのデータ保存を防ぐことができます。たとえば、EU Data Boundary コントロール パッケージが適用されている場合、リソースの使用を EU のみのリージョンに制限するために、データ所在地のコントロールが実装されます。Assured Workloads には、データ所在地の制限と Google 担当者のアクセス 制御を適用するためのさまざまな リージョン データ境界 が用意されています。

Assured Workloads とデータ所在地の詳細については、 データ所在地をご覧ください。

規制上のデータ境界

規制データ境界コントロール パッケージを使用すると、特定の規制またはコンプライアンス要件に対応するための一連のコントロールを デプロイできます。 Google Cloud には、次の規制データ境界が含まれています。

完全なリストについては、 規制上のデータ境界をご覧ください。

パートナーによる主権管理

Assured Workloads には、パートナーによる 主権管理を通じてパートナーが運用、管理するコントロール パッケージも用意されています。 パートナーによる主権管理を使用すると、地域の信頼できるパートナーを使用して、暗号鍵、アクセス正当化、監査を管理できます。これらのコントロール パッケージは、データ所在地の適用に役立ち、暗号化や鍵管理など、クラウド インフラストラクチャの重要な側面を網羅するセキュリティ構成を提供します。

Google 担当者によるデータへのアクセス制御

サポート タスクの実行時にデータにアクセスできる Google 担当者を制御できます。Assured Workloads の Assured Support は、 エンハンスト サポートまたは プレミアム サポートで利用できる Google Cloud カスタマーケアの追加機能です。使用する場合、Google サポート担当者は、特定の地理的属性と担当者ベースの属性要件を遵守する必要があります。コントロール パッケージに応じて、担当者の管理は、リージョンや特定のバックグラウンド チェック要件を満たすなどの条件に基づいて実装されます。たとえば、FedRAMP High をサポートするアクセス制御では、すべての一次サポート担当者と二次サポート担当者、および サブプロセッサが米国に拠点を置き、 高度なバックグラウンド チェック要件を満たす必要があります。

Assured Workloads の Assured Support の詳細については、 サポートを受けるをご覧ください。

鍵管理

コントロール パッケージに応じて、規制遵守をサポートするためにさまざまな鍵管理コントロールを使用できます。たとえば、ITAR の Data Boundary コントロール パッケージでは、顧客管理の暗号鍵（CMEK）を使用する必要があります。職務分掌を有効にするため、ITAR の Data Boundary コントロール パッケージでは、他のデプロイされたリソースとは別の鍵管理プロジェクトを使用し、コンプライアンスの場所内に保存するための一意のキーリングを作成します。Assured Workloads では、 Google-owned and Google-managed encryption keys (FIPS-140-2 準拠)、CMEK、 Cloud External Key Manager（Cloud EKM）、その他のコントロール パッケージの 鍵のインポートもサポートしています。

鍵管理の詳細については、 鍵管理のコンプライアンスのサポートをご覧ください。

ワークロードの更新

ワークロードの更新を使用すると、コントロール パッケージの構成を評価して 維持できます。利用可能なコントロール パッケージが改善されると、デプロイされた Assured Workloads フォルダの構成が最新バージョンと同じかどうかを評価できます。より新しい構成バージョンが利用可能な場合は、Assured Workloads フォルダに更新を適用して、最新バージョンにアップグレードできます。

違反のモニタリング

Assured Workloads は、組織のポリシーの制約違反とリソース違反をモニタリングし、デプロイされたコントロール パッケージのコンプライアンスに関する分析情報を提供します。組織のポリシー違反や違反例外が追加されたときに、メール通知を有効にできます。これらの通知には、Assured Workloads フォルダ、監査ログ、影響を受ける組織のポリシーに関する情報が含まれており、コンプライアンス違反の原因を情報に基づいて確認し、修正できます。

モニタリングの詳細については、 Assured Workloads フォルダで違反をモニタリングするをご覧ください。

アクセス制御と可視化のためのサービス

次の Google Cloud サービスを使用すると、データアクセスと暗号鍵を制御して 可視化できます。これらのサービスを Assured Workloads と組み合わせて使用すると、コンプライアンス ベースのニーズを満たすことができます。

Google Cloud サービス 説明

アクセスの承認

アクセスの承認を使用すると、Google 担当者によるデータへのアクセスを制御できます。Google 管理者がアクセス権を取得するには、組織内の承認済みのお客様の管理者がリクエストを承認する必要があります。承認されたアクセス リクエストは、承認リクエストにリンクされたアクセスの透明性ログに記録されます。リクエストが承認された後、アクセスを許可する前に、Google 内で適切に権限を付与する必要があります。

Assured Workloads と組み合わせて使用する場合、アクセスの承認リクエストの条件は、適用された Assured Workloads の担当者のアクセス保証よりも優先されます。詳細については、アクセスの承認と Assured Workloadsの連携をご覧ください。

アクセスの透明性

アクセスの透明性を使用すると、Google の承認済み担当者のアクティビティ ログを表示できます。これらのログには、サポート リクエストの履行に関連するアクションと、サービスの可用性に関連するアクションの詳細が記録されます。

Key Access Justifications

Key Access Justifications を使用すると、Cloud KMS または 特定の外部鍵 管理パートナーでの鍵アクセス リクエストの表示と承認を制御できます。正当化に基づいてリクエストを承認または拒否できます。Assured Workloads のコントロール パッケージに応じて、Cloud EKM 鍵、Cloud HSM 鍵、Cloud KMS ソフトウェア鍵で Key Access Justifications を使用できます。

コントロール パッケージの名前変更に関するお知らせ

Assured Workloads では、コンプライアンス フレームワーク、法令、規制のベースラインをサポートするコントロールのセットを「コントロール パッケージ」と呼びます。 2025 年 6 月より、コンソールと API のコントロール パッケージ名が変更されました。 これらの新しい名前は、Assured Workloads API を使用して新しいワークロードを作成するときに使用される ComplianceRegime 列挙型にも反映されます。名前のみが変更され、基盤となる機能は変更されていません。

次の表に、一部のコントロール パッケージの新しい名前と以前の名前を示します。

今後の名称 現在の名称

オーストラリアのデータ境界

オーストラリア リージョン

オーストラリアの Data Boundary とサポート

Assured Support を利用できるオーストラリア リージョン

ブラジルの Data Boundary

ブラジル リージョン

カナダの Data Boundary

カナダ リージョン

カナダの Data Boundary とサポート

カナダ リージョンとサポート

チリのデータ境界

チリリージョン

カナダの管理対象商品の Data Boundary

カナダの管理対象商品

カナダ Protected B のデータ境界

カナダ Protected B

CJIS のデータ境界

刑事司法情報サービス（CJIS）

FedRAMP High のデータ境界

FedRAMP High

FedRAMP Moderate の Data Boundary

FedRAMP Moderate

影響レベル 2（IL2）の Data Boundary

影響レベル 2（IL2）

影響レベル 4（IL4）のデータ境界

影響レベル 4（IL4）

影響レベル 5（IL5）の Data Boundary

影響レベル 5（IL5）

IRS パブリケーション 1075 用のデータ境界

IRS パブリケーション 1075

ITAR の Data Boundary

国際武器取引規則（ITAR）

EU のデータ境界

EU リージョン

EU の Data Boundary とサポート

EU リージョンとサポート

Access Justifications に基づく EU の Data Boundary

EU の主権管理

香港のデータ境界

香港リージョン

インドのデータ境界

インド リージョン

インドネシアのデータ境界

インドネシア リージョン

イスラエルの Data Boundary

イスラエル リージョン

イスラエルの Data Boundary とサポート

イスラエル リージョンとサポート

日本の Data Boundary

日本リージョン

サウジアラビア王国の Data Boundary とアクセス正当化

サウジアラビア王国（KSA）の主権管理

カタールの Data Boundary

カタール リージョン

シンガポールの Data Boundary

シンガポール リージョン

南アフリカのデータ境界

南アフリカ リージョン

韓国のデータ境界

韓国リージョン

スイスの Data Boundary

スイス リージョン

台湾の Data Boundary

台湾リージョン

英国のデータ境界

英国リージョン

米国のデータ境界

米国リージョン

米国の Data Boundary とサポート

米国リージョンとサポート

ヘルスケアとライフ サイエンス用の米国のデータ境界

ヘルスケアとライフサイエンスのコントロール

ヘルスケアとライフサイエンス用の米国の Data Boundary とサポート

ヘルスケアとライフサイエンスのコントロール（米国でのサポート）

次のステップ