Límite de datos de la UE con justificaciones de acceso

En esta página, se describe el conjunto de controles que se aplican a las cargas de trabajo de Límite de datos de la UE con justificaciones de acceso en Assured Workloads. Proporciona información detallada sobre la residencia de datos, los productos Google Cloud compatibles y sus endpoints de API, y cualquier restricción o limitación aplicable a esos productos.

La siguiente información adicional se aplica al límite de datos de la UE con justificaciones de acceso:

  • Residencia de datos: El paquete de control de límite de datos de la UE con justificaciones de acceso establece controles de ubicación de datos para admitir regiones solo de la UE. Para obtener más información, consulta la sección Restricciones de las políticas de la organización para todoGoogle Cloud.
  • Asistencia: Los servicios de asistencia técnica para las cargas de trabajo del Límite de datos de la UE con justificaciones de acceso están disponibles con las suscripciones de Atención al cliente de Cloud mejorada o premium. Los casos de asistencia de las cargas de trabajo del límite de datos de la UE con justificaciones de acceso se enrutan al personal de la UE que se encuentra en la UE. Para obtener más información, consulta Obtén asistencia.
  • Precios: El paquete de control de límite de datos de la UE con justificaciones de acceso se incluye en el nivel Premium de Assured Workloads, que genera un cargo adicional del 5%. Para obtener más información, consulta Precios de Assured Workloads.

Requisitos previos

Verifica que cumplas con los siguientes requisitos previos antes de implementar cargas de trabajo en el límite de datos de la UE con justificaciones de acceso:

  • Crea una carpeta de Límite de datos de la UE con justificaciones de acceso con Assured Workloads y, luego, implementa tus cargas de trabajo solo en esa carpeta.
  • No cambies los valores predeterminados de las restricciones de la política de la organización, a menos que comprendas y estés dispuesto a aceptar los riesgos de residencia de datos que podrían ocurrir.
  • No uses los servidores de MCP de Google Cloud, a menos que se indique lo contrario. El límite de datos de la UE con justificaciones de acceso no proporciona controles de residencia de datos para los datos en uso y en tránsito con los servidores de MCP de Google Cloud. Para bloquear el acceso no deseado a los servidores de MCP de Google Cloud, consulta la página Controla el uso de los servidores de MCP de Google Cloud con IAM.
  • Cuando accedas a la consola de Google Cloud para las cargas de trabajo del límite de datos de la UE con justificaciones de acceso, debes usar una de las siguientes URLs de la consola Google Cloud jurisdiccional específicas de la UE:
  • Considera adoptar las prácticas recomendadas de seguridad generales que se proporcionan en el centro de prácticas recomendadas de seguridad deGoogle Cloud .

Productos y endpoints de API compatibles

A menos que se indique lo contrario, los usuarios pueden acceder a todos los productos compatibles a través de la consola de Google Cloud . Las restricciones o limitaciones que afectan las funciones de un producto compatible, incluidas las que se aplican a través de la configuración de restricciones de las políticas de la organización, se indican en la siguiente tabla.

Si un producto no aparece en la lista, no es compatible y no cumple con los requisitos de control del límite de datos de la UE con justificaciones de acceso. No se recomienda el uso de productos no compatibles sin la diligencia debida y una comprensión profunda de tus responsabilidades en el modelo de responsabilidad compartida. Antes de usar un producto no compatible, asegúrate de conocer y aceptar los riesgos asociados, como los impactos negativos en la residencia de los datos o la soberanía de los datos.

Producto compatible Endpoint de API Restricciones o limitaciones
Access Context Manager accesscontextmanager.googleapis.com
 Ninguno
Transparencia de acceso accessapproval.googleapis.com
 Ninguno
AlloyDB para PostgreSQL alloydb.googleapis.com
 Ninguno
Apigee apigee.googleapis.com
 Ninguno
Artifact Registry artifactregistry.googleapis.com
 Ninguno
Copia de seguridad para Google Kubernetes Engine (GKE) gkebackup.googleapis.com
 Ninguno
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 Funciones afectadas
Servicio de transferencia de datos de BigQuery bigquerydatatransfer.googleapis.com
 Ninguno
Bigtable bigtable.googleapis.com
bigtableadmin.googleapis.com
 Funciones afectadas
Autorización binaria binaryauthorization.googleapis.com
 Ninguno
Certificate Authority Service privateca.googleapis.com
 Ninguno
Cloud Build cloudbuild.googleapis.com
 Funciones afectadas
Cloud DNS dns.googleapis.com
 Ninguno
Cloud HSM cloudkms.googleapis.com
 Ninguno
Cloud Interconnect compute.googleapis.com
 Funciones afectadas
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 Restricciones de las políticas de la organización
Cloud Load Balancing compute.googleapis.com
 Ninguno
Cloud Logging logging.googleapis.com
 Funciones afectadas
Cloud Monitoring monitoring.googleapis.com
 Funciones afectadas
Cloud NAT compute.googleapis.com
 Ninguno
Cloud Router compute.googleapis.com
 Ninguno
Cloud Run run.googleapis.com
 Funciones afectadas
Cloud SQL sqladmin.googleapis.com
 Restricciones de las políticas de la organización
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
trafficdirector.googleapis.com
networkservices.googleapis.com
 Ninguno
Cloud Storage storage.googleapis.com
 Funciones afectadas y restricciones de las políticas de la organización
Cloud VPN compute.googleapis.com
 Funciones afectadas
Cloud Workstations workstations.googleapis.com
 Ninguno
Compute Engine compute.googleapis.com
 Funciones afectadas y restricciones de las políticas de la organización
Google Kubernetes Engine (GKE) Connect gkeconnect.googleapis.com
connectgateway.googleapis.com
 Ninguno
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 Ninguno
Eventarc eventarc.googleapis.com
 Ninguno
Filestore file.googleapis.com
 Ninguno
Reglas de seguridad de Firebase firebaserules.googleapis.com
 Ninguno
Firestore datastore.googleapis.com
firestore.googleapis.com
 Restricciones de las políticas de la organización
Google Kubernetes Engine (GKE) Hub gkehub.googleapis.com
 Ninguno
Servicio de identidad de Google Kubernetes Engine (GKE) anthosidentityservice.googleapis.com
 Ninguno
Google Cloud Armor compute.googleapis.com
networksecurity.googleapis.com
 Funciones afectadas
Google Kubernetes Engine (GKE) container.googleapis.com
containersecurity.googleapis.com
 Funciones afectadas
Administración de identidades y accesos (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 Ninguno
Identity-Aware Proxy (IAP) iap.googleapis.com
 Ninguno
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 Funciones afectadas
Managed Service para Apache Airflow composer.googleapis.com
 Ninguno
Managed Service para Apache Spark dataproc-control.googleapis.com
dataproc.googleapis.com
 Funciones afectadas
Memorystore for Redis redis.googleapis.com
 Ninguno
Network Connectivity Center networkconnectivity.googleapis.com
 Ninguno
Persistent Disk compute.googleapis.com
 Ninguno
Pub/Sub pubsub.googleapis.com
 Restricciones de las políticas de la organización
Resource Manager cloudresourcemanager.googleapis.com
 Ninguno
Configuración de recursos resourcesettings.googleapis.com
 Ninguno
Secret Manager secretmanager.googleapis.com
 Ninguno
Secure Source Manager securesourcemanager.googleapis.com
 Ninguno
Sensitive Data Protection dlp.googleapis.com
 Ninguno
Spanner spanner.googleapis.com
 Funciones afectadas
Speech-to-Text speech.googleapis.com
 Ninguno
Controles del servicio de VPC accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 Ninguno
Nube privada virtual (VPC) compute.googleapis.com
servicedirectory.googleapis.com
servicenetworking.googleapis.com
 Ninguno

Restricciones y limitaciones

En las siguientes secciones, se describen las restricciones o limitaciones de Google Cloudo específicas de un producto para las funciones, incluidas las restricciones de las políticas de la organización que se establecen de forma predeterminada en las carpetas de Límite de datos de la UE con justificaciones de acceso. Otras restricciones aplicables de la política de la organización, incluso si no se establecen de forma predeterminada, pueden proporcionar una defensa en profundidad adicional para proteger aún más los recursos de Google Cloud de tu organización.

Google Cloud-wide

Funciones afectadas en todo el Google Cloud

Función Descripción
Consola deGoogle Cloud Para acceder a la consola de Google Cloud cuando usas el paquete de control de límite de datos de la UE con justificaciones de acceso, debes usar una de las siguientes URLs:

Restricciones de la política de la organización en todoGoogle Cloud

Las siguientes restricciones de la política de la organización se aplican a Google Cloud.

Restricción de las políticas de la organización Descripción
gcp.resourceLocations Establece las siguientes ubicaciones en la lista allowedValues:
  • europe-central2
  • europe-north1
  • europe-north2
  • europe-southwest1
  • europe-west1
  • europe-west10
  • europe-west12
  • europe-west3
  • europe-west4
  • europe-west8
  • europe-west9
Este valor restringe la creación de recursos nuevos a los valores seleccionados. Cuando se establece, no se pueden crear recursos en ninguna otra región, multirregión ni ubicaciones fuera de la selección. Consulta Servicios compatibles con las ubicaciones de recursos para obtener una lista de los recursos que se pueden restringir con la restricción de la política de la organización de ubicaciones de recursos, ya que algunos recursos pueden estar fuera del alcance y no se pueden restringir.

Si cambias este valor y lo haces menos restrictivo, podrías socavar la residencia de datos, ya que permitirá que se creen o almacenen datos fuera de un límite de datos que cumpla con los requisitos.
gcp.restrictCmekCryptoKeyProjects Establece en under:organizations/your-organization-name, que es tu organización de Assured Workloads. Puedes restringir aún más este valor si especificas un proyecto o una carpeta.

Limita el alcance de las carpetas o los proyectos aprobados que pueden proporcionar claves de Cloud KMS para encriptar datos en reposo con CMEK. Esta restricción evita que las carpetas o los proyectos no aprobados proporcionen claves de encriptación, lo que ayuda a garantizar la soberanía de los datos para los datos en reposo de los servicios dentro del alcance.
gcp.restrictNonCmekServices Se configura como una lista de todos los nombres de servicios de API dentro del alcance, incluidos los siguientes:
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • bigquerydatatransfer.googleapis.com
  • bigtable.googleapis.com
  • cloudfunctions.googleapis.com
  • composer.googleapis.com
  • compute.googleapis.com
  • container.googleapis.com
  • dataflow.googleapis.com
  • dataproc.googleapis.com
  • documentai.googleapis.com
  • integrations.googleapis.com
  • logging.googleapis.com
  • notebooks.googleapis.com
  • pubsub.googleapis.com
  • run.googleapis.com
  • secretmanager.googleapis.com
  • spanner.googleapis.com
  • sqladmin.googleapis.com
  • storage.googleapis.com
  • workstations.googleapis.com
Algunas funciones pueden verse afectadas por cada uno de los servicios mencionados anteriormente.

Cada servicio enumerado requiere claves de encriptación administradas por el cliente (CMEK). CMEK encripta los datos en reposo con una clave administrada por ti, no con los mecanismos de encriptación predeterminados de Google.

Si cambias este valor quitando uno o más servicios dentro del alcance de la lista, es posible que socaves la soberanía de los datos, ya que los datos nuevos en reposo se encriptarán automáticamente con las claves de Google en lugar de las tuyas. Los datos en reposo existentes permanecerán encriptados con la clave que proporcionaste.
gcp.restrictServiceUsage Se configura para permitir todos los productos y endpoints de API compatibles.

Determina qué servicios se pueden usar restringiendo el acceso del entorno de ejecución a sus recursos. Para obtener más información, consulta Restringe el uso de recursos.
gcp.restrictTLSVersion Se configuró para rechazar las siguientes versiones de TLS:
  • TLS_1_0
  • TLS_1_1
Para obtener más información, consulta Restringe las versiones de TLS.

BigQuery

Funciones de BigQuery afectadas

Función Descripción
Habilita BigQuery en una carpeta nueva BigQuery es compatible, pero no se habilita automáticamente cuando creas una carpeta nueva de Assured Workloads debido a un proceso de configuración interno. Este proceso suele finalizar en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si el proceso finalizó y habilitar BigQuery, completa los siguientes pasos:
  1. En la consola de Google Cloud , ve a la página Assured Workloads.

    Ir a Assured Workloads

  2. Selecciona tu nueva carpeta de Assured Workloads de la lista.
  3. En la página Detalles de la carpeta, en la sección Servicios permitidos, haz clic en Revisar actualizaciones disponibles.
  4. En el panel Servicios permitidos, revisa los servicios que se agregarán a la política de la organización de restricción del uso de recursos para la carpeta. Si se muestran los servicios de BigQuery, haz clic en Permitir servicios para agregarlos.

    Si no aparecen los servicios de BigQuery, espera a que se complete el proceso interno. Si los servicios no aparecen en un plazo de 12 horas después de la creación de la carpeta, comunícate con Atención al cliente de Cloud.

Después de que se complete el proceso de habilitación, podrás usar BigQuery en tu carpeta de Assured Workloads.

Assured Workloads no admite Gemini en BigQuery.
Características no compatibles Las siguientes funciones de BigQuery no son compatibles y no se deben usar en la CLI de BigQuery. Es tu responsabilidad no usarlos en BigQuery para Assured Workloads.
CLI de BigQuery La CLI de BigQuery es compatible.

SDK de Google Cloud Debes usar la versión 403.0.0 o posterior del SDK de Google Cloud para mantener las garantías de regionalización de datos para los datos técnicos. Para verificar tu versión actual del SDK de Google Cloud, ejecuta gcloud --version y, luego, gcloud components update para actualizar a la versión más reciente.
Controles de administrador BigQuery inhabilitará las APIs no compatibles, pero los administradores con permisos suficientes para crear carpetas de Assured Workloads pueden habilitar una API no compatible. Si esto ocurre, se te notificará sobre el posible incumplimiento a través del panel de supervisión de Assured Workloads.
Cargando datos No se admiten los conectores del Servicio de transferencia de datos de BigQuery para las apps de software como servicio (SaaS) de Google, los proveedores externos de almacenamiento en la nube ni los almacenes de datos. Es tu responsabilidad no usar los conectores del Servicio de transferencia de datos de BigQuery para el límite de datos de la UE con las cargas de trabajo de justificaciones de acceso.
Transferencias de terceros BigQuery no verifica la compatibilidad con las transferencias de terceros para el Servicio de transferencia de datos de BigQuery. Es tu responsabilidad verificar la compatibilidad cuando uses cualquier transferencia de terceros para el Servicio de transferencia de datos de BigQuery.
Modelos de BQML que no cumplen con los requisitos No se admiten los modelos de BQML entrenados de forma externa.
Trabajos de consulta Los trabajos de consulta solo deben crearse dentro de las carpetas de Assured Workloads.
Consultas en conjuntos de datos de otros proyectos BigQuery no impide que se consulten los conjuntos de datos de Assured Workloads desde proyectos que no son de Assured Workloads. Debes asegurarte de que cualquier consulta que tenga una lectura o una unión en los datos de Assured Workloads se coloque en las carpetas de Assured Workloads. Puedes especificar un nombre de tabla completamente calificado para el resultado de la consulta con projectname.dataset.table en la CLI de BigQuery.
Cloud Logging BigQuery utiliza Cloud Logging para algunos de tus datos de registro. Debes inhabilitar tus buckets de registro de _default o restringir los buckets de _default a las regiones dentro del alcance para mantener el cumplimiento con el siguiente comando:

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

Para obtener más información, consulta Regionaliza los registros.

Bigtable

Funciones de Bigtable afectadas

Función Descripción
APIs no compatibles

Las siguientes APIs no son compatibles con el límite de datos de la UE con justificaciones de acceso:

  • El método de la API de ListHotTablets de la API de Admin de RPC procesa y almacena datos técnicos de una manera no admitida. Es tu responsabilidad no usar este método para el límite de datos de la UE con justificaciones de acceso.
  • El método de la API de hotTablets.list de la API de Admin de REST procesa y almacena datos técnicos de una manera no admitida. Es tu responsabilidad no usar este método para el límite de datos de la UE con justificaciones de acceso.
Data Boost Se inhabilitó esta función.
Límites de división Bigtable usa un pequeño subconjunto de claves de fila para definir los límites de división, que pueden incluir datos y metadatos de los clientes. Un límite de división en Bigtable indica la ubicación en la que los rangos contiguos de filas de una tabla se dividen en tablets.

El personal de Google puede acceder a estos límites de división con fines de asistencia técnica y depuración, y no están sujetos a los controles de datos de acceso de administrador en Assured Workloads.

Cloud Build

Funciones de Cloud Build afectadas

Función Descripción
Genera la procedencia de la compilación Esta función no es compatible y no se debe usar con el límite de datos de la UE con justificaciones de acceso. Es posible que las compilaciones configuradas con options.requestedVerifyOption: VERIFIED fallen debido a dependencias no admitidas. Para evitar errores de compilación, quita esta opción de tu configuración de Cloud Build.

Cloud Interconnect

Funciones de Cloud Interconnect afectadas

Función Descripción
VPN con alta disponibilidad (HA) Debes habilitar la funcionalidad de VPN con alta disponibilidad (HA) cuando uses Cloud Interconnect con Cloud VPN. Además, debes cumplir con los requisitos de encriptación y regionalización que se indican en la sección Funciones de Cloud VPN afectadas.

Cloud KMS

Restricciones de las políticas de la organización de Cloud KMS

Restricción de las políticas de la organización Descripción
cloudkms.allowedProtectionLevels Se configura para permitir la creación de CryptoKeys de Cloud Key Management Service con los siguientes niveles de protección:
  • EXTERNAL
  • EXTERNAL_VPC
Consulta Niveles de protección para obtener más información.

Cloud Logging

Funciones de Cloud Logging afectadas

Función Descripción
Receptores de registros Los filtros no deben contener datos del cliente.

Los receptores de registros incluyen filtros que se almacenan como configuración. No crees filtros que contengan datos de clientes.
Entradas de registro de transmisión de registros en tiempo real Los filtros no deben contener datos del cliente.

Una sesión de transmisión de registros en tiempo real incluye un filtro que se almacena como configuración. Los registros de cola no almacenan ningún dato de entrada de registro, pero pueden consultar y transmitir datos entre regiones. No crees filtros que contengan datos del cliente.
Alertas basadas en registros Se inhabilitó esta función.

No puedes crear alertas basadas en registros en la consola de Google Cloud .
URLs reducidas para las consultas del Explorador de registros Se inhabilitó esta función.

No puedes crear URLs acortadas de consultas en la consola de Google Cloud .
Guarda consultas en el Explorador de registros Se inhabilitó esta función.

No puedes guardar ninguna consulta en la consola de Google Cloud .
Políticas de alertas basadas en SQL Se inhabilitó esta función.

No puedes usar la función de políticas de alertas basadas en SQL.

Cloud Monitoring

Funciones de Cloud Monitoring afectadas

Función Descripción
Monitor sintético Se inhabilitó esta función.
Verificaciones de tiempo de actividad Se inhabilitó esta función.
Widgets del panel de registros en Paneles Se inhabilitó esta función.

No puedes agregar un panel de registros a un panel.
Widgets del panel de Error Reporting en Paneles Se inhabilitó esta función.

No puedes agregar un panel de Error Reporting a un panel.
Filtra en EventAnnotation para Paneles Se inhabilitó esta función.

No se puede establecer el filtro de EventAnnotation en un panel.
SqlCondition en alertPolicies Se inhabilitó esta función.

No puedes agregar un SqlCondition a un alertPolicy.

Cloud Run

Funciones de Cloud Run afectadas

Función Descripción
Características no compatibles No se admiten las siguientes funciones de Cloud Run:

Cloud SQL

Restricciones de la política de la organización de Cloud SQL

Restricción de las políticas de la organización Descripción
sql.restrictNoncompliantDiagnosticDataAccess Configurado como True.

Aplica controles adicionales de soberanía de los datos y compatibilidad a los recursos de Cloud SQL.

Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
sql.restrictNoncompliantResourceCreation Configurado como True.

Aplica controles adicionales de soberanía de los datos para evitar la creación de recursos de Cloud SQL que no cumplen con las normas.

Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.

Cloud Storage

Funciones de Cloud Storage afectadas

Función Descripción
Consola deGoogle Cloud Es tu responsabilidad usar la consola Google Cloud jurisdiccional para el límite de datos de la UE con justificaciones de acceso. La consola jurisdiccional impide subir y descargar objetos de Cloud Storage. Para subir y descargar objetos de Cloud Storage, consulta la siguiente fila de Endpoints de API que cumplen con los requisitos.
Endpoints de API que cumplen con los requisitos Es tu responsabilidad usar uno de los extremos regionales dentro del alcance con Cloud Storage. Para obtener más información, consulta Ubicaciones de Cloud Storage.

Restricciones de la política de la organización de Cloud Storage

Restricción de las políticas de la organización Descripción
storage.restrictAuthTypes

Se configura para evitar la autenticación con el código de autenticación de mensajes basado en hash (HMAC). Los siguientes tipos se especifican en este valor de restricción:

  • USER_ACCOUNT_HMAC_SIGNED_REQUESTS
  • SERVICE_ACCOUNT_HMAC_SIGNED_REQUESTS
De forma predeterminada, se impide que las claves HMAC se autentiquen en los recursos de Cloud Storage para las cargas de trabajo de límite de datos de la UE con justificaciones de acceso. Las claves HMAC afectan la soberanía de los datos, ya que se pueden usar para acceder a los datos de los clientes sin su conocimiento. Consulta Claves HMAC en la documentación de Cloud Storage.

Cambiar este valor puede afectar la soberanía de los datos en tu carga de trabajo. Te recomendamos que mantengas el valor establecido.
storage.uniformBucketLevelAccess Configurado como True.

El acceso a los buckets nuevos se administra con políticas de IAM en lugar de listas de control de acceso (LCA) de Cloud Storage. Esta restricción proporciona permisos específicos para los buckets y su contenido.

Si se crea un bucket mientras está habilitada esta restricción, el acceso a la ruta nunca se puede administrar con LCA. En otras palabras, el método de control de acceso para un bucket se establece de forma permanente con las políticas de IAM en lugar de las LCA de Cloud Storage.

Cloud VPN

Funciones de Cloud VPN afectadas

Función Descripción
Consola deGoogle Cloud Las funciones de Cloud VPN no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.
Extremos de VPN Solo debes usar los extremos de Cloud VPN que se encuentran en una región dentro del alcance. Asegúrate de que la puerta de enlace de VPN esté configurada para usarse solo en una región dentro del alcance.

Compute Engine

Funciones de Compute Engine afectadas

Función Descripción
Suspende y reanuda una instancia de VM Se inhabilitó esta función.

La suspensión y reanudación de una instancia de VM requiere almacenamiento en disco persistente, y el almacenamiento en disco persistente usado para almacenar el estado de la VM suspendida no se puede encriptar mediante el uso de CMEK. Consulta la restricción de la política de la organización gcp.restrictNonCmekServices en la sección anterior para comprender la soberanía de los datos y las implicaciones de residencia de datos de habilitar esta función.
SSD locales Se inhabilitó esta función.

No podrás crear una instancia con SSD locales porque no se pueden encriptar con CMEK. Consulta la restricción de la política de la organización gcp.restrictNonCmekServices en la sección anterior para comprender la soberanía de los datos y las implicaciones de residencia de datos de habilitar esta función.
Consola deGoogle Cloud

Las siguientes funciones de Compute Engine no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI:
Entorno huésped Es posible que las secuencias de comandos, los daemons y los objetos binarios incluidos en el entorno invitado accedan a datos en reposo y en uso no encriptados. Según la configuración de la VM, es posible que se instalen actualizaciones de este software de forma predeterminada. Consulta Entorno invitado para obtener información específica sobre el contenido de cada paquete, el código fuente y mucho más.

Estos componentes te ayudan a cumplir con la soberanía de los datos a través de procesos y controles de seguridad internos. Sin embargo, si deseas un control adicional, también puedes seleccionar tus propias imágenes o agentes y, de forma opcional, usar la restricción de la política de la organización compute.trustedImageProjects.

Para obtener más información, consulta Compila una imagen personalizada.
Políticas del SO en VM Manager Las secuencias de comandos intercaladas y los archivos de salida binarios dentro de los archivos de políticas del SO no se encriptan con claves de encriptación administradas por el cliente (CMEK). No incluyas información sensible en estos archivos. Considera almacenar estas secuencias de comandos y archivos de salida en buckets de Cloud Storage. Para obtener más información, consulta Ejemplos de políticas de SO.

Si quieres restringir la creación o modificación de recursos de políticas del SO que usen secuencias de comandos intercaladas o archivos de salida binarios, habilita la restricción de la política de la organización constraints/osconfig.restrictInlineScriptAndOutputFileUsage.

Para obtener más información, consulta Restricciones para la configuración del SO.
instances.getSerialPortOutput() Esta API está inhabilitada. No podrás obtener la salida del puerto en serie de la instancia especificada con esta API.

Cambia el valor de la restricción de la política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo siguiendo las instrucciones que se indican en Habilita el acceso para un proyecto.
instances.getScreenshot() Esta API está inhabilitada. No podrás obtener una captura de pantalla de la instancia especificada con esta API.

Cambia el valor de la restricción de la política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo siguiendo las instrucciones que se indican en Habilita el acceso para un proyecto.

Restricciones de las políticas de la organización de Compute Engine

Restricción de las políticas de la organización Descripción
compute.enableComplianceMemoryProtection Configurado como True.

Inhabilita algunas funciones de diagnóstico interno para proporcionar protección adicional del contenido de la memoria cuando se produce una falla en la infraestructura.

Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
compute.disableGlobalCloudArmorPolicy Configurado como True.

Inhabilita la creación de nuevas políticas de seguridad globales de Google Cloud Armor y la adición o modificación de reglas a las políticas de seguridad globales existentes de Google Cloud Armor. Esta restricción no limita la eliminación de reglas ni la capacidad de quitar o cambiar la descripción y la lista de políticas de seguridad globales de Google Cloud Armor. Las políticas de seguridad regionales de Google Cloud Armor no se ven afectadas por esta restricción. Todas las políticas de seguridad globales y regionales que existían antes de la aplicación de esta restricción siguen vigentes.
compute.disableInstanceDataAccessApis Configurado como True.

Inhabilita de manera global las APIs instances.getSerialPortOutput() y instances.getScreenshot().

Si habilitas esta restricción, no podrás generar credenciales en las VMs de Windows Server.

Si necesitas administrar un nombre de usuario y una contraseña en una VM de Windows, haz lo siguiente:
  1. Habilita SSH para VMs de Windows.
  2. Ejecuta el siguiente comando para cambiar la contraseña de la VM: 
      gcloud compute ssh
  VM_NAME --command "net user USERNAME PASSWORD"
    Reemplaza lo siguiente:
    • VM_NAME: Es el nombre de la VM para la que configuras la contraseña.
    • USERNAME: Es el nombre de usuario para el que estableces la contraseña.
    • PASSWORD: Es la contraseña nueva.
compute.disableSshInBrowser Configurado como True.

Inhabilita la herramienta SSH en el navegador en la consola de Google Cloud para las VMs que usan el Acceso al SO y las VMs del entorno flexible de App Engine.

Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
compute.restrictNonConfidentialComputing

 (Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Para obtener más información, consulta la documentación de Confidential VM.
compute.trustedImageProjects

 (Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional.

Si configuras este valor, se restringe el almacenamiento de imágenes y la creación de instancias de disco a la lista especificada de proyectos. Este valor afecta la soberanía de los datos, ya que se impide el uso de agentes o imágenes no autorizados.

Knowledge Catalog

Funciones de Knowledge Catalog

Función Descripción
Almacén de atributos Esta función dejó de estar disponible y se inhabilitó.
Data Catalog Esta función dejó de estar disponible y se inhabilitó. No puedes buscar ni administrar tus metadatos en Data Catalog.
Análisis de calidad y perfil de datos No se admite la exportación de los resultados del análisis de calidad de los datos.
Discovery Se inhabilitó esta función. No puedes ejecutar los análisis de descubrimiento para extraer metadatos de tus datos.
Estadísticas de datos Se inhabilitó esta función. No puedes generar estadísticas de datos para tus catálogos.
Lakes y zonas Se inhabilitó esta función. No puedes administrar lakes, zonas ni tareas.

Managed Service para Apache Spark

Funciones afectadas de Managed Service para Apache Spark

Función Descripción
Consola deGoogle Cloud Por el momento, Managed Service para Apache Spark no admite la consola Google Cloud jurisdiccional. Para aplicar la residencia de los datos, asegúrate de usar Google Cloud CLI o la API cuando uses Managed Service para Apache Spark.

Firestore

Restricciones de las políticas de la organización de Firestore

Restricción de las políticas de la organización Descripción
firestore.managed.disableEnhancedTextSearch Configurado como True.

Impide que se habiliten las mejoras de consultas para la búsqueda en el texto completo de Firestore.

Google Cloud Armor

Funciones de Google Cloud Armor afectadas

Función Descripción
Políticas de seguridad con alcance global La restricción de la política de la organización compute.disableGlobalCloudArmorPolicy inhabilita esta función.

Google Kubernetes Engine

Funciones de Google Kubernetes Engine afectadas

Función Descripción
Restricciones de recursos del clúster Asegúrate de que la configuración de tu clúster no use recursos para servicios que no sean compatibles con el límite de datos de la UE con justificaciones de acceso. Por ejemplo, la siguiente configuración no es válida porque requiere habilitar o usar un servicio no compatible:

set `binaryAuthorization.evaluationMode` to `enabled`

Restricciones de las políticas de la organización de Google Kubernetes Engine

Restricción de las políticas de la organización Descripción
container.restrictNoncompliantDiagnosticDataAccess Configurado como True.

Inhabilita el análisis agregado de los problemas del kernel, que es necesario para mantener el control soberano de una carga de trabajo.

Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.

Pub/Sub

Restricciones de las políticas de la organización de Pub/Sub

Restricción de las políticas de la organización Descripción
pubsub.managed.disableSubscriptionMessageTransforms Configurado como True.

Inhabilita la configuración de las suscripciones a Pub/Sub con transformaciones de mensaje único (SMT).

Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
pubsub.managed.disableTopicMessageTransforms Configurado como True.

Inhabilita que se configuren temas de Pub/Sub con transformaciones de mensaje único (SMT).

Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.

Spanner

Funciones de Spanner afectadas

Función Descripción
Límites de división Spanner usa un pequeño subconjunto de claves primarias y columnas indexadas para definir límites de división, que pueden incluir datos y metadatos de clientes. Un límite de división en Spanner indica la ubicación en la que los rangos contiguos de filas se dividen en partes más pequeñas.

El personal de Google puede acceder a estos límites de división con fines de asistencia técnica y depuración, y no están sujetos a los controles de datos de acceso de administrador en Assured Workloads.

Restricciones de las políticas de la organización de Spanner

Restricción de las políticas de la organización Descripción
spanner.assuredWorkloadsAdvancedServiceControls Configurado como True.

Aplica controles adicionales de soberanía de los datos y compatibilidad a los recursos de Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected Configurado como True.

Inhabilita la capacidad de crear instancias de Spanner multirregionales para aplicar la residencia de los datos y la soberanía de los datos.

¿Qué sigue?