גבולות המידע באיחוד האירופי עם הצדקות גישה

בדף הזה מתוארת קבוצת אמצעי הבקרה שחלים על עומסי עבודה ב-Assured Workloads עם "הצדקות גישה" ו"גבולות נתונים באיחוד האירופי". הוא מספק מידע מפורט על מיקום אחסון הנתונים, המוצרים Google Cloud הנתמכים ונקודות הקצה שלהם ל-API, וכל ההגבלות או המגבלות שחלות על המוצרים האלה.

המידע הנוסף הבא רלוונטי ל-EU Data Boundary עם הצדקות גישה:

• מיקום אחסון הנתונים: חבילת הבקרה "גבולות נתונים באיחוד האירופי עם הצדקות לבקשות גישה" מגדירה אמצעי בקרה על מיקום הנתונים כדי לתמוך באזורים באיחוד האירופי בלבד. מידע נוסף מופיע בקטע אילוצים של מדיניות הארגון ברמתGoogle Cloud.
• תמיכה: שירותי תמיכה טכנית לעומסי עבודה של EU Data Boundary עם Access Justifications זמינים במינויים ל-Cloud Customer Care ברמה מתקדמת או פרימיום. בקשות תמיכה בעומסי עבודה של EU Data Boundary עם Access Justifications מנותבות לאנשי צוות של Google שנמצאים באיחוד האירופי. למידע נוסף, קראו את המאמר קבלת תמיכה.
• תמחור: חבילת הבקרה "גבולות נתונים באיחוד האירופי עם הצדקות גישה" כלולה במסלול פרימיום של Assured Workloads, שכוללת חיוב נוסף של 5%. למידע נוסף, קראו את התמחור של Assured Workloads.

דרישות מוקדמות

לפני שפורסים עומסי עבודה ב-EU Data Boundary עם הצדקות גישה, צריך לוודא שאתם עומדים בדרישות המוקדמות הבאות:

• ליצור תיקייה של EU Data Boundary עם Access Justifications באמצעות Assured Workloads, ולפרוס את עומסי העבודה רק בתיקייה הזו.
• אל תשנו את ערכי ברירת המחדל של האילוצים במדיניות הארגון, אלא אם אתם מבינים את הסיכונים שעלולים להתרחש במיקום אחסון הנתונים ומוכנים לקבל אותם.
• אל תשתמשו בשרתי Google Cloud MCP, אלא אם צוין אחרת. ב-EU Data Boundary עם Access Justifications אין אמצעי בקרה על מיקום הנתונים שמשמשים את שרתי Google Cloud MCP או מועברים אליהם. כדי לחסום גישה לא רצויה לשרתי MCP של Google Cloud, קראו את המאמר שליטה בשימוש בשרתי MCP של Google Cloud באמצעות IAM.
• כשניגשים למסוף Google Cloud בשביל עומסי עבודה של "גבולות נתונים באיחוד האירופי עם הצדקות גישה", צריך להשתמש באחת מכתובות ה-URL הבאות של מסוף Google Cloud עם סמכות שיפוטית, שספציפיות לאיחוד האירופי:
  • console.eu.cloud.google.com
  • ‫console.eu.cloud.google למשתמשים עם זהות מאוחדת
• כדאי ליישם את השיטות המומלצות הכלליות לאבטחה שמפורטות Google Cloud במרכז לשיטות אבטחה מומלצות.

מוצרים נתמכים ונקודות קצה ל-API

אלא אם צוין אחרת, המשתמשים יכולים לגשת לכל המוצרים הנתמכים דרך מסוף Google Cloud . בטבלה הבאה מפורטות ההגבלות שמשפיעות על התכונות של מוצר נתמך, כולל הגבלות שנאכפות באמצעות הגדרות של אילוצי מדיניות הארגון.

אם מוצר לא מופיע ברשימה, הוא לא נתמך ולא עומד בדרישות הבקרה של EU Data Boundary עם הצדקות גישה. לא מומלץ להשתמש במוצרים שלא נתמכים בלי בדיקת נאותות והבנה מעמיקה של תחומי האחריות שלכם במודל האחריות המשותפת. לפני שאתם משתמשים במוצר שלא נתמך, חשוב לוודא שאתם מודעים לסיכונים הכרוכים בכך ומוכנים לקבל אותם, כמו השפעות שליליות על מיקום אחסון הנתונים או על ריבונות הנתונים.

הערה: יכול להיות שמוצרים שלא נתמכים ישתפו נקודת קצה (endpoint) של שירות API עם מוצרים שנתמכים, וכך יהיו זמינים לכל המשתמשים.

חשוב: שרתי MCP של Google Cloud לא נתמכים באף מוצר של EU Data Boundary עם Access Justifications, אלא אם צוין אחרת. ב-EU Data Boundary עם Access Justifications אין אמצעי בקרה על מיקום הנתונים בשימוש ובזמן העברה בשרתי Google Cloud MCP. אתם צריכים לוודא שנקודות הקצה של שרתי Google Cloud MCP לא משמשות עם מוצרים של EU Data Boundary עם Access Justifications. כדי לחסום גישה לא רצויה לשרתי Google Cloud MCP, קראו את המאמר שליטה בשימוש בשרתי Google Cloud MCP באמצעות IAM.

מוצר נתמך	נקודות קצה ל-API	הגבלות או מגבלות
Access Context Manager	accesscontextmanager.googleapis.com	ללא
Access Transparency	accessapproval.googleapis.com	ללא
AlloyDB ל-PostgreSQL	alloydb.googleapis.com	ללא
Apigee	apigee.googleapis.com	ללא
Artifact Registry	artifactregistry.googleapis.com	ללא
גיבוי ל-Google Kubernetes Engine (GKE)	gkebackup.googleapis.com	ללא
BigQuery	bigquery.googleapis.com bigqueryconnection.googleapis.com bigquerydatapolicy.googleapis.com bigqueryreservation.googleapis.com bigquerystorage.googleapis.com	התכונות המושפעות
שירות העברת נתונים ל-BigQuery	bigquerydatatransfer.googleapis.com	ללא
Bigtable	bigtable.googleapis.com bigtableadmin.googleapis.com	התכונות המושפעות
Binary Authorization	binaryauthorization.googleapis.com	ללא
Certificate Authority Service	privateca.googleapis.com	ללא
Cloud Build	cloudbuild.googleapis.com	התכונות המושפעות
Cloud DNS	dns.googleapis.com	ללא
Cloud HSM	cloudkms.googleapis.com	ללא
Cloud Interconnect	compute.googleapis.com	התכונות המושפעות
Cloud Key Management Service ‏(Cloud KMS)	cloudkms.googleapis.com	אילוצים של מדיניות הארגון
Cloud Load Balancing	compute.googleapis.com	ללא
Cloud Logging	logging.googleapis.com	התכונות המושפעות
Cloud Monitoring	monitoring.googleapis.com	התכונות המושפעות
Cloud NAT	compute.googleapis.com	ללא
Cloud Router	compute.googleapis.com	ללא
Cloud Run	run.googleapis.com	התכונות המושפעות
Cloud SQL	sqladmin.googleapis.com	אילוצים של מדיניות הארגון
Cloud Service Mesh	mesh.googleapis.com meshca.googleapis.com meshconfig.googleapis.com trafficdirector.googleapis.com networkservices.googleapis.com	ללא
Cloud Storage	storage.googleapis.com	התכונות המושפעות והמגבלות של מדיניות הארגון
Cloud VPN	compute.googleapis.com	התכונות המושפעות
Cloud Workstations	workstations.googleapis.com	ללא
Compute Engine	compute.googleapis.com	התכונות המושפעות והמגבלות של מדיניות הארגון
Google Kubernetes Engine (GKE) Connect	gkeconnect.googleapis.com connectgateway.googleapis.com	ללא
Dataflow	dataflow.googleapis.com datapipelines.googleapis.com	ללא
Eventarc	eventarc.googleapis.com	ללא
Filestore	file.googleapis.com	ללא
כללי אבטחה של Firebase	firebaserules.googleapis.com	ללא
Firestore	datastore.googleapis.com firestore.googleapis.com	אילוצים של מדיניות הארגון
Google Kubernetes Engine (GKE) Hub	gkehub.googleapis.com	ללא
Google Kubernetes Engine (GKE) Identity Service	anthosidentityservice.googleapis.com	ללא
Google Cloud Armor	compute.googleapis.com networksecurity.googleapis.com	התכונות המושפעות
Google Kubernetes Engine (GKE)‎	container.googleapis.com containersecurity.googleapis.com	התכונות המושפעות
ניהול זהויות והרשאות גישה (IAM)	iam.googleapis.com policytroubleshooter.googleapis.com	ללא
שרת proxy לאימות זהויות (IAP)	iap.googleapis.com	ללא
Knowledge Catalog	dataplex.googleapis.com datalineage.googleapis.com	התכונות המושפעות
Managed Service for Apache Airflow	composer.googleapis.com	ללא
Managed Service for Apache Spark	dataproc-control.googleapis.com dataproc.googleapis.com	התכונות המושפעות
Memorystore for Redis	redis.googleapis.com	ללא
Network Connectivity Center	networkconnectivity.googleapis.com	ללא
Persistent Disk	compute.googleapis.com	ללא
Pub/Sub	pubsub.googleapis.com	אילוצים של מדיניות הארגון
מנהל המשאבים	cloudresourcemanager.googleapis.com	ללא
הגדרות המשאבים	resourcesettings.googleapis.com	ללא
Secret Manager	secretmanager.googleapis.com	ללא
Secure Source Manager	securesourcemanager.googleapis.com	ללא
Sensitive Data Protection	dlp.googleapis.com	ללא
Spanner	spanner.googleapis.com	התכונות המושפעות
המרת דיבור לטקסט (STT)	speech.googleapis.com	ללא
VPC Service Controls	accesscontextmanager.googleapis.com accesscontextintelligence.googleapis.com	ללא
ענן וירטואלי פרטי (VPC)	compute.googleapis.com servicedirectory.googleapis.com servicenetworking.googleapis.com	ללא

הגבלות ומגבלות

בקטעים הבאים מתוארות הגבלות או מגבלות של תכונות ברמת Google Cloudאו ברמת המוצר, כולל אילוצים של מדיניות הארגון שמוגדרים כברירת מחדל בתיקיות של "גבולות המידע באיחוד האירופי עם הצדקות גישה". אילוצים אחרים שחלים על מדיניות הארגון – גם אם הם לא מוגדרים כברירת מחדל – יכולים לספק הגנה נוספת לעומק כדי להגן על המשאבים של Google Cloud בארגון.

מומלץ מאוד לא לשנות את הערכים של האילוצים הנדרשים במדיניות הארגון שמפורטים בקטעים הבאים. פעולה כזו עלולה לפגוע במיקום אחסון הנתונים. אחרי ששינוי כזה בוצע, קשה או בלתי אפשרי לבטל את ההשפעות שלו. לפני שממשיכים, חשוב להבין את ההשלכות של שינוי הערך של אילוץ במדיניות הארגון.

בנוסף, חשוב לוודא שכל המנגנונים האוטומטיים שהארגון משתמש בהם לניהול כללי המדיניות של הארגון מעודכנים, כדי למנוע שינוי לא מכוון של הערכים האלה.

בכלGoogle Cloud

תכונות שמושפעות בכל רחבי Google Cloud

תכונה	תיאור
מסוףGoogle Cloud	כדי לגשת למסוף Google Cloud כשמשתמשים בחבילת הבקרה "גבולות נתונים באיחוד האירופי עם הצדקות גישה", צריך להשתמש באחת מכתובות ה-URL הבאות: console.eu.cloud.google.com ‫console.eu.cloud.google למשתמשים עם זהות מאוחדת

אילוצים של מדיניות הארגון ברמתGoogle Cloud

האילוצים הבאים של מדיניות הארגון חלים על כל Google Cloud.

אילוץ של מדיניות הארגון	תיאור
gcp.resourceLocations	מגדירים את המיקומים הבאים ברשימה allowedValues: europe-central2 europe-north1 europe-north2 europe-southwest1 europe-west1 europe-west10 europe-west12 europe-west3 europe-west4 europe-west8 europe-west9 הערך הזה מגביל את היצירה של משאבים חדשים לערכים שנבחרו. אחרי שמגדירים את המדיניות, אי אפשר ליצור משאבים באזורים אחרים, במספר אזורים או במיקומים מחוץ לאזור שנבחר. במאמר שירותים נתמכים של מיקומי משאבים מפורטים המשאבים שאפשר להגביל באמצעות האילוץ של מדיניות הארגון "מיקומי משאבים". יכול להיות שחלק מהמשאבים לא נכללים בהיקף ואי אפשר להגביל אותם. אם משנים את הערך הזה ומגדירים אותו כפחות מגביל, יכול להיות שזה יפגע במיקום אחסון הנתונים כי הנתונים יוכלו להיווצר או להישמר מחוץ לגבולות הנתונים התואמים.
gcp.restrictCmekCryptoKeyProjects	צריך להגדיר את הערך under:organizations/your-organization-name, שהוא הארגון שלכם ב-Assured Workloads. כדי להגביל עוד יותר את הערך הזה, אפשר לציין פרויקט או תיקייה.‫ מגבילה את ההיקף של תיקיות או פרויקטים מאושרים שיכולים לספק מפתחות Cloud KMS להצפנת נתונים במנוחה באמצעות CMEK. האילוץ הזה מונע מתיקיות או מפרויקטים לא מאושרים לספק מפתחות הצפנה, וכך עוזר להבטיח את ריבונות הנתונים במנוחה בשירותים הרלוונטיים.
gcp.restrictNonCmekServices	צריך להגדיר רשימה של כל שמות שירותי ה-API שבהיקף, כולל: aiplatform.googleapis.com artifactregistry.googleapis.com bigquery.googleapis.com bigquerydatatransfer.googleapis.com bigtable.googleapis.com cloudfunctions.googleapis.com composer.googleapis.com compute.googleapis.com container.googleapis.com dataflow.googleapis.com dataproc.googleapis.com documentai.googleapis.com integrations.googleapis.com logging.googleapis.com notebooks.googleapis.com pubsub.googleapis.com run.googleapis.com secretmanager.googleapis.com spanner.googleapis.com sqladmin.googleapis.com storage.googleapis.com workstations.googleapis.com יכול להיות שחלק מהתכונות יושפעו בכל אחד מהשירותים שמפורטים למעלה. כל שירות שמופיע ברשימה דורש מפתחות הצפנה בניהול הלקוח (CMEK). מפתחות CMEK מצפינים נתונים במנוחה באמצעות מפתח שמנוהל על ידכם, ולא באמצעות מנגנוני ההצפנה שמוגדרים כברירת מחדל ב-Google. שינוי הערך הזה על ידי הסרת שירות אחד או יותר מהרשימה עלול לפגוע בריבונות הנתונים, כי נתונים חדשים במנוחה יוצפנו באופן אוטומטי באמצעות המפתחות של Google במקום המפתחות שלך. הנתונים הקיימים באחסון יישארו מוצפנים באמצעות המפתח שסיפקת.
gcp.restrictServiceUsage	מגדירים את הכלל כך שיאפשר את כל המוצרים ונקודות הקצה ל-API הנתמכים. ההגדרה הזו קובעת באילו שירותים אפשר להשתמש על ידי הגבלת הגישה של זמן הריצה למשאבים שלהם. למידע נוסף, קראו את המאמר הגבלת השימוש במשאבים.
gcp.restrictTLSVersion	הגדרת דחייה של גרסאות ה-TLS הבאות: TLS_1_0 TLS_1_1 מידע נוסף זמין במאמר הגבלת גרסאות TLS.

BigQuery

התכונות המושפעות ב-BigQuery

תכונה	תיאור
הפעלת BigQuery בתיקייה חדשה	יש תמיכה ב-BigQuery, אבל הוא לא מופעל באופן אוטומטי כשיוצרים תיקיית Assured Workloads חדשה בגלל תהליך הגדרה פנימי. התהליך הזה בדרך כלל מסתיים תוך עשר דקות, אבל בנסיבות מסוימות הוא יכול להימשך הרבה יותר זמן. כדי לבדוק אם התהליך הסתיים ולהפעיל את BigQuery, מבצעים את השלבים הבאים: נכנסים לדף Assured Workloads במסוף Google Cloud . כניסה לדף Assured Workloads בוחרים את התיקייה החדשה של Assured Workloads מהרשימה. בדף Folder Details, בקטע Allowed services, לוחצים על Review Available Updates. בחלונית Allowed services, בודקים את השירותים שרוצים להוסיף למדיניות הארגון Resource Usage Restriction של התיקייה. אם שירותי BigQuery מופיעים ברשימה, לוחצים על Allow Services כדי להוסיף אותם. אם שירותי BigQuery לא מופיעים ברשימה, צריך להמתין עד שהתהליך הפנימי יסתיים. אם השירותים לא מופיעים תוך 12 שעות מיצירת התיקייה, פנו ל-Cloud Customer Care. בסיום תהליך ההפעלה, תוכלו להשתמש ב-BigQuery בתיקיית Assured Workloads. ‫Gemini ב-BigQuery לא נתמך ב-Assured Workloads.
תכונות שלא נתמכות	התכונות הבאות של BigQuery לא נתמכות, ואין להשתמש בהן ב-CLI של BigQuery. באחריותכם לא להשתמש בהם ב-BigQuery ל-Assured Workloads. אינטראקציה עם מקורות נתונים מרוחקים אין תמיכה במודלים של BQML שאומנו באופן חיצוני. יש תמיכה במודלים של BQML שאומנו באופן פנימי. אין תמיכה בהסתרת נתונים באמצעות תגי מדיניות. יש תמיכה בהסתרת נתונים על ידי החלת מדיניות נתונים ישירות על עמודות. ייצוא ל-GDrive פונקציות משירותים חיצוניים שאילתות שמורות תזמון תהליך עבודה ב-BigQuery Studio אין תמיכה בפריטי Notebook. ‫Gemini ב-BigQuery לא נתמך.
BigQuery CLI	יש תמיכה ב-CLI של BigQuery.
Google Cloud SDK	כדי לשמור על ההתחייבויות לריכוז נתונים אזורי של נתונים טכניים, צריך להשתמש ב-Google Cloud SDK בגרסה 403.0.0 ואילך. כדי לבדוק את הגרסה הנוכחית של Google Cloud SDK, מריצים את הפקודה gcloud --version ואז את הפקודה gcloud components update כדי לעדכן לגרסה החדשה ביותר.
אמצעי בקרה לאדמינים	‫BigQuery ישבית ממשקי API שלא נתמכים, אבל אדמינים עם הרשאות מספיקות ליצירת תיקיות של Assured Workloads יכולים להפעיל ממשק API שלא נתמך. במקרה כזה, תקבלו הודעה על אי-תאימות פוטנציאלית דרך לוח הבקרה למעקב של Assured Workloads.
טעינת נתונים	אין תמיכה במחברים של שירות העברת הנתונים ל-BigQuery לאפליקציות של Google תוכנה כשירות (SaaS), לספקי אחסון חיצוניים בענן ולמחסני נתונים. באחריותכם לא להשתמש במחברים של שירות העברת הנתונים ל-BigQuery בשביל עומסי עבודה של "הצדקות גישה" בגבולות הנתונים של האיחוד האירופי.
העברות לצד שלישי	ב-BigQuery אין אימות של תמיכה בהעברות של צד שלישי בשירות העברת הנתונים ל-BigQuery. באחריותכם לוודא שיש תמיכה כשאתם משתמשים בהעברה של צד שלישי לשירות העברת הנתונים ל-BigQuery.
מודלים של BQML שלא עומדים בדרישות	אין תמיכה במודלים של BQML שאומנו באופן חיצוני.
משימות של השאילתה	צריך ליצור משימות שאילתה רק בתיקיות של Assured Workloads.
שאילתות על מערכי נתונים בפרויקטים אחרים	ב-BigQuery אפשר לשלוח שאילתות למערכי נתונים של Assured Workloads מפרויקטים שהם לא של Assured Workloads. חשוב לוודא שכל שאילתה שכוללת קריאה או צירוף של נתוני Assured Workloads תמוקם בתיקיות של Assured Workloads. אפשר לציין שם טבלה מלא לתוצאת השאילתה באמצעות projectname.dataset.table ב-CLI של BigQuery.
Cloud Logging	ב-BigQuery נעשה שימוש ב-Cloud Logging לחלק מנתוני היומן. כדי לשמור על תאימות, צריך להשבית את קטגוריות הרישום ביומן של _default או להגביל את הקטגוריות של _default לאזורים שבהיקף, באמצעות הפקודה הבאה: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink מידע נוסף זמין במאמר התאמת היומנים לאזורים.

Bigtable

התכונות שיושפעו ב-Bigtable

תכונה	תיאור
ממשקי API לא נתמכים	ממשקי ה-API הבאים לא נתמכים ב-EU Data Boundary עם הצדקות גישה: ה-method‏ ListHotTablets ב-API של RPC Admin API מעבדת ומאחסנת נתונים טכניים באופן שלא נתמך. באחריותכם לא להשתמש בשיטה הזו ב-EU Data Boundary עם הצדקות גישה. ‫ה-API‏ hotTablets.list של Rest Admin API מעבד ומאחסן נתונים טכניים באופן שלא נתמך. באחריותכם לא להשתמש בשיטה הזו ב-EU Data Boundary עם הצדקות גישה.
Data Boost	התכונה הזו מושבתת.
גבולות פיצול	‫Bigtable משתמש בקבוצת משנה קטנה של מפתחות שורות כדי להגדיר גבולות פיצול, שעשויים לכלול נתונים ומטא-נתונים של לקוחות. גבול פיצול ב-Bigtable מציין את המיקום שבו טווחים רציפים של שורות בטבלה מפוצלים לטאבלטים. לצוות של Google יש גישה לגבולות הפיצול האלה למטרות תמיכה טכנית וניפוי באגים, והם לא כפופים לאפשרויות לניהול השימוש בנתונים של אדמינים ב-Assured Workloads.

Cloud Build

התכונות שיושפעו ב-Cloud Build

תכונה	תיאור
יצירת אישור המקור של ה-build	התכונה הזו לא נתמכת, ואין להשתמש בה עם EU Data Boundary with Access Justifications. יכול להיות ש-builds שמוגדרים עם options.requestedVerifyOption: VERIFIED ייכשלו בגלל יחסי תלות שלא נתמכים. כדי למנוע כשלים ב-build, צריך להסיר את האפשרות הזו מתצורת ה-build של Cloud Build.

Cloud Interconnect

התכונות שיושפעו ב-Cloud Interconnect

תכונה	תיאור
רשת VPN בזמינות גבוהה (HA)	כשמשתמשים ב-Cloud Interconnect עם Cloud VPN, צריך להפעיל את הפונקציונליות של VPN בזמינות גבוהה (HA). בנוסף, צריך לעמוד בדרישות ההצפנה והאזוריות שמפורטות בקטע התכונות המושפעות של Cloud VPN.

Cloud KMS

אילוצים של מדיניות הארגון ב-Cloud KMS

אילוץ של מדיניות הארגון	תיאור
cloudkms.allowedProtectionLevels	הגדרה שמאפשרת ליצור מפתחות קריפטוגרפיים של Cloud Key Management Service עם רמות ההגנה הבאות: EXTERNAL EXTERNAL_VPC מידע נוסף זמין במאמר רמות הגנה.

Cloud Logging

התכונות שיושפעו ב-Cloud Logging

כדי להשתמש ב-Cloud Logging עם מפתחות הצפנה בניהול הלקוח (CMEK), צריך לבצע את השלבים שמפורטים בדף הפעלת CMEK לארגון במסמכי התיעוד של Cloud Logging.

תכונה	תיאור
Sinks ביומן	המסננים לא צריכים להכיל נתוני לקוחות. אובייקטי sink ביומן כוללים מסננים שמאוחסנים כהגדרות אישיות. אין ליצור מסננים שמכילים נתוני לקוחות.
רישום ביומן בזמן אמת של רשומות ביומן	המסננים לא צריכים להכיל נתוני לקוחות. סשן של רישום ביומן בזמן אמת כולל מסנן שמאוחסן כהגדרה. במעקב אחרי יומנים לא מאוחסנים נתונים של רשומות ביומן, אבל אפשר לשלוח שאילתות על נתונים ולהעביר אותם בין אזורים. אל תיצרו מסננים שמכילים נתוני לקוחות.
התראות מבוססות-יומן	התכונה הזו מושבתת. אי אפשר ליצור התראות מבוססות-יומנים במסוף Google Cloud .
כתובות URL מקוצרות לשאילתות ב-Logs Explorer	התכונה הזו מושבתת. אי אפשר ליצור כתובות URL מקוצרות של שאילתות במסוף Google Cloud .
שמירת שאילתות ב-Logs Explorer	התכונה הזו מושבתת. אי אפשר לשמור שאילתות במסוף Google Cloud .
כללי מדיניות התראה מבוססי-SQL	התכונה הזו מושבתת. אי אפשר להשתמש בתכונה של מדיניות התראות מבוססת-SQL.

Cloud Monitoring

התכונות שיושפעו ב-Cloud Monitoring

תכונה	תיאור
Synthetic Monitor	התכונה הזו מושבתת.
בדיקות זמני פעילות	התכונה הזו מושבתת.
ווידג'טים של חלונית היומנים ב-Dashboards	התכונה הזו מושבתת. אי אפשר להוסיף חלונית יומנים למרכז בקרה.
ווידג'טים של חלונית Error Reporting ב-Dashboards	התכונה הזו מושבתת. אי אפשר להוסיף חלונית של Error Reporting למרכז בקרה.
מסננים ב-EventAnnotation למרכזי בקרה	התכונה הזו מושבתת. אי אפשר להגדיר מסנן של EventAnnotation במרכז בקרה.
‫SqlCondition בalertPolicies	התכונה הזו מושבתת. אי אפשר להוסיף SqlCondition אל alertPolicy.

Cloud Run

התכונות שיושפעו ב-Cloud Run

תכונה	תיאור
תכונות שלא נתמכות	התכונות הבאות של Cloud Run לא נתמכות: שילוב עם Cloud Trace פונקציות Cloud Run טריגרים של Eventarc

Cloud SQL

אילוצים של מדיניות הארגון ב-Cloud SQL

אילוץ של מדיניות הארגון	תיאור
sql.restrictNoncompliantDiagnosticDataAccess	מגדירים את האפשרות True.‫ החלת אמצעי בקרה נוספים על ריבונות הנתונים ועל התמיכה במשאבי Cloud SQL. שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.
sql.restrictNoncompliantResourceCreation	מגדירים את האפשרות True. אמצעי בקרה נוספים על ריבונות הנתונים, כדי למנוע יצירה של משאבי Cloud SQL שלא עומדים בדרישות. שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.

Cloud Storage

התכונות המושפעות ב-Cloud Storage

תכונה	תיאור
מסוףGoogle Cloud	באחריותכם להשתמש במסוף Google Cloud של EU Data Boundary עם הצדקות לבקשות גישה. מסוף השיפוט מונע העלאה והורדה של אובייקטים ב-Cloud Storage. כדי להעלות ולהוריד אובייקטים של Cloud Storage, עיינו בשורה הבאה: נקודות קצה תואמות ל-API.
נקודות קצה ל-API שעומדות בדרישות	באחריותכם להשתמש באחת מנקודות הקצה האזוריות שבטווח עם Cloud Storage. מידע נוסף זמין במאמר מיקומים של Cloud Storage.

אילוצים של מדיניות הארגון ב-Cloud Storage

אילוץ של מדיניות הארגון	תיאור
storage.restrictAuthTypes	הגדרה שמונעת אימות באמצעות קוד אימות הודעות (HMAC). הסוגים הבאים מצוינים בערך האילוץ הזה: USER_ACCOUNT_HMAC_SIGNED_REQUESTS SERVICE_ACCOUNT_HMAC_SIGNED_REQUESTS כברירת מחדל, מפתחות HMAC לא יכולים לבצע אימות למשאבי Cloud Storage בעומסי עבודה של "גבולות נתונים באיחוד האירופי עם הצדקות גישה". מפתחות HMAC משפיעים על ריבונות הנתונים כי אפשר להשתמש בהם כדי לגשת לנתוני לקוחות בלי שהלקוחות ידעו על כך. למידע נוסף, קראו את המאמר מפתחות HMAC במסמכי התיעוד של Cloud Storage. שינוי הערך הזה עלול להשפיע על ריבונות הנתונים בעומס העבודה. מומלץ מאוד להשאיר את הערך שהוגדר.
storage.uniformBucketLevelAccess	מגדירים את האפשרות True. הגישה לקטגוריות חדשות מנוהלת באמצעות כללי מדיניות של IAM במקום רשימות של בקרת גישה (ACL) ב-Cloud Storage. האילוץ הזה מספק הרשאות מפורטות לקטגוריות ולתוכן שלהן. אם יוצרים קטגוריה כשהאילוץ הזה מופעל, אי אפשר לנהל את הגישה אליה באמצעות רשימות ACL. במילים אחרות, שיטת בקרת הגישה לקטגוריה מוגדרת באופן קבוע לשימוש בכללי מדיניות IAM במקום ברשימות ACL של Cloud Storage.

Cloud VPN

התכונות המושפעות של Cloud VPN

תכונה	תיאור
מסוףGoogle Cloud	התכונות של Cloud VPN לא זמינות במסוף Google Cloud . במקום זאת, אפשר להשתמש ב-API או ב-Google Cloud CLI.
נקודות קצה של VPN	אתם צריכים להשתמש רק בנקודות קצה של Cloud VPN שנמצאות באזור שבהיקף ההסמכה. מוודאים ששער ה-VPN מוגדר לשימוש רק באזור שנכלל בהיקף.

Compute Engine

התכונות שיושפעו ב-Compute Engine

תכונה	תיאור
השהיה והפעלה מחדש של מכונת VM	התכונה הזו מושבתת. כדי להשהות ולהפעיל מחדש מכונת VM, צריך אחסון בדיסק מתמיד (persistent disk). כרגע אי אפשר להצפין באמצעות CMEK את האחסון בדיסק המתמיד (persistent disk) שמשמש לאחסון המצב של מכונת ה-VM המושהית. כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ומיקום אחסון הנתונים, עיינו באילוץ של מדיניות הארגון gcp.restrictNonCmekServices בקטע שלמעלה.
כונני SSD מקומיים	התכונה הזו מושבתת. לא תוכלו ליצור מכונה עם כונני SSD מקומיים, כי אי אפשר להצפין אותם באמצעות CMEK. כדי להבין את ההשלכות של הפעלת התכונה הזו על ריבונות הנתונים ומיקום אחסון הנתונים, עיינו בקטע שלמעלה שעוסק באילוץ gcp.restrictNonCmekServices של מדיניות הארגון.
מסוףGoogle Cloud	התכונות הבאות של Compute Engine לא זמינות במסוף Google Cloud . במקום זאת, אפשר להשתמש ב-API או ב-Google Cloud CLI: בדיקות תקינות קבוצות של נקודות קצה ברשת
סביבת אורח	סקריפטים, תהליכי daemon וקבצים בינאריים שכלולים בסביבת האורח יכולים לגשת לנתונים לא מוצפנים במנוחה ובשימוש. בהתאם להגדרות של המכונה הווירטואלית, יכול להיות שעדכונים לתוכנה הזו יותקנו כברירת מחדל. במאמר סביבת אורח מפורט מידע ספציפי על התוכן של כל חבילה, קוד המקור ועוד. הרכיבים האלה עוזרים לכם לעמוד בדרישות של ריבונות הנתונים באמצעות אמצעי בקרה ותהליכים פנימיים לאבטחה. עם זאת, אם אתם רוצים שליטה נוספת, אתם יכולים גם לאסוף תמונות או סוכנים משלכם, ואם רוצים, להשתמש באילוץ של מדיניות הארגון compute.trustedImageProjects. מידע נוסף זמין במאמר יצירת קובץ אימג' בהתאמה אישית.
מדיניות של מערכת ההפעלה ב-VM Manager	סקריפטים מוטבעים וקובצי פלט בינאריים בקובצי המדיניות של מערכת ההפעלה לא מוצפנים באמצעות מפתחות הצפנה בניהול הלקוח (CMEK). חשוב לא לכלול מידע רגיש בקבצים האלה. מומלץ לאחסן את הסקריפטים וקובצי הפלט האלה בקטגוריות של Cloud Storage. למידע נוסף, קראו את המאמר דוגמאות למדיניות של מערכת ההפעלה. אם רוצים להגביל את היצירה או השינוי של משאבי מדיניות של מערכת ההפעלה שמשתמשים בסקריפטים מוטבעים או בקובצי פלט בינאריים, צריך להפעיל את אילוץ מדיניות הארגון constraints/osconfig.restrictInlineScriptAndOutputFileUsage. מידע נוסף זמין במאמר אילוצים של OS Config.
instances.getSerialPortOutput()	ה-API הזה מושבת. לא תוכלו לקבל פלט של יציאה טורית מהמכונה שצוינה באמצעות ה-API הזה. כדי להפעיל את ה-API הזה, צריך לשנות את הערך של אילוץ מדיניות הארגון compute.disableInstanceDataAccessApis ל-False. אפשר גם להפעיל את היציאה הטורית האינטראקטיבית ולהשתמש בה, לפי ההוראות שבמאמר הפעלת גישה לפרויקט.
instances.getScreenshot()	ה-API הזה מושבת. לא תהיה לך אפשרות לקבל צילום מסך מהמכונה שצוינה באמצעות ה-API הזה. כדי להפעיל את ה-API הזה, צריך לשנות את הערך של אילוץ מדיניות הארגון compute.disableInstanceDataAccessApis ל-False. אפשר גם להפעיל את היציאה הטורית האינטראקטיבית ולהשתמש בה, לפי ההוראות שבמאמר הפעלת גישה לפרויקט.

אילוצים של מדיניות הארגון ב-Compute Engine

אילוץ של מדיניות הארגון	תיאור
compute.enableComplianceMemoryProtection	מגדירים את האפשרות True. השבתה של חלק מתכונות האבחון הפנימיות כדי לספק הגנה נוספת על תוכן הזיכרון במקרה של תקלה בתשתית. שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.
compute.disableGlobalCloudArmorPolicy	מגדירים את האפשרות True. השבתת היצירה של כללי מדיניות אבטחה גלובליים חדשים של Google Cloud Armor, והשבתת ההוספה או השינוי של כללים במדיניות אבטחה גלובלית קיימת של Google Cloud Armor. המגבלה הזו לא מונעת הסרה של כללים או את היכולת להסיר או לשנות את התיאור והרשימה של מדיניות האבטחה הגלובלית של Google Cloud Armor. המגבלה הזו לא משפיעה על מדיניות האבטחה האזורית של Google Cloud Armor. כל כללי מדיניות האבטחה הגלובליים והאזוריים שקיימים לפני אכיפת האילוץ הזה נשארים בתוקף.
compute.disableInstanceDataAccessApis	מגדירים את האפשרות True. משבית באופן גלובלי את ממשקי ה-API של instances.getSerialPortOutput() ו-instances.getScreenshot(). אם מפעילים את האילוץ הזה, אי אפשר ליצור פרטי כניסה במכונות וירטואליות של Windows Server. כדי לנהל שם משתמש וסיסמה במכונה וירטואלית של Windows: הפעלת SSH למכונות וירטואליות של Windows. מריצים את הפקודה הבאה כדי לשנות את הסיסמה של המכונה הווירטואלית: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" מחליפים את הערכים הבאים: ‫VM_NAME: השם של המכונה הווירטואלית שאתם מגדירים לה סיסמה. ‫USERNAME: שם המשתמש של המשתמש שמגדירים לו את הסיסמה. ‫PASSWORD: הסיסמה החדשה.
compute.disableSshInBrowser	מגדירים את האפשרות True. השבתת הכלי "SSH בדפדפן" במסוף Google Cloud למכונות וירטואליות שמשתמשות ב-OS Login ולמכונות וירטואליות בסביבה הגמישה ב-App Engine. שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.
compute.restrictNonConfidentialComputing	(אופציונלי) הערך לא מוגדר. צריך להגדיר את הערך הזה כדי לספק הגנה נוספת לעומק. מידע נוסף זמין במאמרי העזרה בנושא Confidential VM.
compute.trustedImageProjects	(אופציונלי) הערך לא מוגדר. צריך להגדיר את הערך הזה כדי לספק הגנה נוספת לעומק. הגדרת הערך הזה מגבילה את אחסון התמונות ואת יצירת המופעים של הדיסקים לרשימת הפרויקטים שצוינה. הערך הזה משפיע על ריבונות הנתונים כי הוא מונע שימוש בתמונות או בסוכנים לא מורשים.

Knowledge Catalog

התכונות של Knowledge Catalog

תכונה	תיאור
Attribute Store	התכונה הזו הוצאה משימוש והושבתה.
Data Catalog	התכונה הזו הוצאה משימוש והושבתה. אי אפשר לחפש במטא-נתונים או לנהל אותם ב-Data Catalog.
איכות הנתונים וסריקת פרופיל הנתונים	אי אפשר לייצא את תוצאות הסריקה של איכות הנתונים.
Discovery	התכונה הזו מושבתת. אי אפשר להריץ סריקות של Discovery כדי לחלץ מטא-נתונים מהנתונים.
תובנות מנתונים	התכונה הזו מושבתת. אי אפשר ליצור תובנות מנתונים לגבי הקטלוגים.
אגמים ואזורים	התכונה הזו מושבתת. אתם לא יכולים לנהל אגמים, אזורים ומשימות.

Managed Service for Apache Spark

התכונות המושפעות ב-Managed Service for Apache Spark

תכונה	תיאור
מסוףGoogle Cloud	בשלב הזה, Managed Service for Apache Spark לא תומך במסוף Google Cloud Jurisdictional. כדי לאכוף את מיקום אחסון הנתונים, ודאו שאתם משתמשים ב-Google Cloud CLI או ב-API כשאתם משתמשים ב-Managed Service for Apache Spark.

Firestore

אילוצים של מדיניות הארגון ב-Firestore

אילוץ של מדיניות הארגון	תיאור
firestore.managed.disableEnhancedTextSearch	מגדירים את האפשרות True. מונעת את ההפעלה של שיפורי שאילתות בחיפוש טקסט מלא ב-Firestore.

Google Cloud Armor

התכונות המושפעות של Google Cloud Armor

תכונה	תיאור
כללי מדיניות אבטחה ברמה הגלובלית	התכונה הזו מושבתת בגלל האילוץ compute.disableGlobalCloudArmorPolicy במדיניות הארגון.

Google Kubernetes Engine

התכונות המושפעות ב-Google Kubernetes Engine

תכונה	תיאור
הגבלות על משאבי אשכולות	חשוב לוודא שהגדרות האשכול לא משתמשות במשאבים של שירותים שלא נתמכים ב-EU Data Boundary עם הצדקות גישה. לדוגמה, ההגדרה הבאה לא תקינה כי היא דורשת להפעיל שירות שלא נתמך או להשתמש בו: set `binaryAuthorization.evaluationMode` to `enabled`

אילוצים של מדיניות הארגון ב-Google Kubernetes Engine

אילוץ של מדיניות הארגון	תיאור
container.restrictNoncompliantDiagnosticDataAccess	מגדירים את האפשרות True.‫ השבתת הניתוח המצטבר של בעיות בליבה (kernel), שנדרש כדי לשמור על שליטה ריבונית בעומס עבודה. שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.

Pub/Sub

אילוצים של מדיניות הארגון ב-Pub/Sub

אילוץ של מדיניות הארגון	תיאור
pubsub.managed.disableSubscriptionMessageTransforms	מגדירים את האפשרות True.‫ השבתת האפשרות להגדיר מינויים ל-Pub/Sub באמצעות טרנספורמציות של הודעות בודדות (SMT). שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.
pubsub.managed.disableTopicMessageTransforms	מגדירים את האפשרות True. השבתת האפשרות להגדיר נושאי Pub/Sub באמצעות טרנספורמציות של הודעה אחת (SMT). שינוי הערך הזה עשוי להשפיע על מיקום אחסון הנתונים או על ריבונות הנתונים של עומס העבודה.

Spanner

התכונות המושפעות של Spanner

תכונה	תיאור
גבולות פיצול	‫Spanner משתמש בקבוצת משנה קטנה של מפתחות ראשיים ועמודות שנוספו לאינדקס כדי להגדיר גבולות פיצול, שעשויים לכלול נתוני לקוחות ומטא-נתונים. גבול פיצול ב-Spanner מציין את המיקום שבו טווחים רציפים של שורות מפוצלים לחלקים קטנים יותר. לצוות של Google יש גישה לגבולות הפיצול האלה למטרות תמיכה טכנית וניפוי באגים, והם לא כפופים לאפשרויות לניהול השימוש בנתונים של אדמינים ב-Assured Workloads.

אילוצים של מדיניות הארגון ב-Spanner

אילוץ של מדיניות הארגון	תיאור
spanner.assuredWorkloadsAdvancedServiceControls	מגדירים את האפשרות True. החלת אמצעי בקרה נוספים על ריבונות הנתונים ועל התמיכה במשאבי Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected	מגדירים את האפשרות True.‫ השבתת היכולת ליצור מכונות Spanner בכמה אזורים כדי לאכוף את מיקום אחסון הנתונים וריבונות הנתונים.

המאמרים הבאים

• איך יוצרים תיקיית Assured Workloads
• הסבר על התמחור של Assured Workloads