Périmètre de données pour le niveau d'impact 4 (IL4)

Cette page décrit l'ensemble des contrôles appliqués à la limite de données pour les charges de travail IL4 dans Assured Workloads. Il fournit des informations détaillées sur la résidence des données, les produits Google Cloud compatibles et leurs points de terminaison d'API, ainsi que les restrictions ou limites applicables à ces produits. Les informations supplémentaires suivantes s'appliquent à la limite de données pour IL4 :

  • Résidence des données : le package de contrôles de la limite de données pour IL4 définit les contrôles d'emplacement des données pour n'accepter que les régions des États-Unis. Pour en savoir plus, consultez la section Contraintes liées aux règles d'administration à l'échelle deGoogle Cloud.
  • Assistance : les services d'assistance technique pour le périmètre de données pour les charges de travail IL4 sont disponibles avec les abonnements Cloud Customer Care Enhanced ou Premium. Les demandes d'assistance concernant les charges de travail IL4 sont transmises à des personnes résidant aux États-Unis. Pour en savoir plus, consultez Obtenir de l'aide.
  • Tarification : le package de contrôles "Périmètre de données pour IL4" est inclus dans le niveau Premium d'Assured Workloads, qui entraîne des frais supplémentaires de 20 %. Pour en savoir plus, consultez Tarifs d'Assured Workloads.

Prérequis

Pour rester conforme en tant qu'utilisateur du package de contrôles "Limites de données pour IL4", vérifiez que vous remplissez et respectez les conditions préalables suivantes :

  • Créez un périmètre de données pour le dossier IL4 à l'aide d'Assured Workloads, puis déployez vos charges de travail IL4 uniquement dans ce dossier.
  • N'activez et n'utilisez que les services concernés pour le périmètre de données des charges de travail IL4.
  • Ne modifiez pas les valeurs par défaut des contraintes de règles d'administration, sauf si vous comprenez et êtes prêt à accepter les risques liés à la résidence des données qui peuvent survenir.
  • Pour tous les services utilisés dans un dossier de limite de données pour IL4, ne stockez pas de données techniques dans les types d'informations de configuration de sécurité ou définies par l'utilisateur suivants :
    • Messages d'erreur
    • Sortie vers la console
    • Données d'attribut
    • Données de configuration du service
    • En-têtes de paquets réseau
    • Identifiants de ressources
    • Libellés de données
  • Envisagez d'adopter les bonnes pratiques générales de sécurité fournies dans le centre des bonnes pratiques de sécurité Google Cloud .
  • Consultez la page Autorisation provisoire du Département de la Défense des États-Unis pour en savoir plus sur le déploiement de charges de travail IL4 dansGoogle Cloud.
  • Lorsque vous accédez à la console Google Cloud , vous pouvez utiliser la console Google Cloud juridictionnelle. Vous n'êtes pas obligé d'utiliser la console juridictionnelle Google Cloud pour la limite de données pour IL4. Vous pouvez y accéder à l'une des URL suivantes :

Produits et points de terminaison d'API compatibles

Sauf indication contraire, les utilisateurs peuvent accéder à tous les produits compatibles via la console Google Cloud . Les restrictions ou limitations qui affectent les fonctionnalités d'un produit compatible, y compris celles appliquées par le biais des paramètres de contrainte des règles d'administration, sont listées dans le tableau suivant.

Si un produit n'est pas listé, cela signifie qu'il n'est pas pris en charge et qu'il ne répond pas aux exigences de contrôle de la limite de données pour le niveau IL4. Il n'est pas recommandé d'utiliser des produits non compatibles sans avoir fait preuve de diligence raisonnable et sans avoir parfaitement compris vos responsabilités dans le modèle de responsabilité partagée. Avant d'utiliser un produit non compatible, assurez-vous d'être conscient des risques associés et de les accepter, comme les impacts négatifs sur la résidence ou la souveraineté des données. De plus, vérifiez toute utilisation d'un produit non pris en charge auprès de votre organisme d'autorisation avant d'accepter le risque.

Produit concerné points de terminaison de l'API Restrictions ou limites
Access Context Manager accesscontextmanager.googleapis.com
 Aucun
AlloyDB pour PostgreSQL alloydb.googleapis.com
 Aucun
Artifact Registry artifactregistry.googleapis.com
 Aucun
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerymigration.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 Fonctionnalités concernées et contraintes liées aux règles d'administration
Certificate Authority Service privateca.googleapis.com
 Aucun
Cloud Build cloudbuild.googleapis.com
 Aucun
Cloud Composer composer.googleapis.com
 Aucun
Cloud DNS dns.googleapis.com
 Aucun
Cloud Data Fusion datafusion.googleapis.com
 Aucun
Cloud External Key Manager (Cloud EKM) cloudkms.googleapis.com
 Aucun
Cloud HSM cloudkms.googleapis.com
 Aucun
Cloud Identity cloudidentity.googleapis.com
 Aucun
Cloud Interconnect compute.googleapis.com
 Fonctionnalités concernées
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 Contraintes liées aux règles d'administration
Cloud Logging logging.googleapis.com
monitoring.googleapis.com
 Fonctionnalités concernées
Cloud Monitoring monitoring.googleapis.com
 Fonctionnalités concernées
Cloud NAT compute.googleapis.com
 Aucun
Cloud Router compute.googleapis.com
 Aucun
Cloud Run run.googleapis.com
 Fonctionnalités concernées
Cloud SQL sqladmin.googleapis.com
 Aucun
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
trafficdirector.googleapis.com
 Aucun
Cloud Storage storage.googleapis.com
 Aucun
Cloud Tasks cloudtasks.googleapis.com
 Aucun
Cloud VPN compute.googleapis.com
 Fonctionnalités concernées
API Cloud Vision vision.googleapis.com
 Fonctionnalités concernées
Cloud Workstations workstations.googleapis.com
 Fonctionnalités concernées
Compute Engine compute.googleapis.com
 Fonctionnalités concernées et contraintes liées aux règles d'administration
Agent Connect connectgateway.googleapis.com
gkeconnect.googleapis.com
 Aucun
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 Aucun
Dataplex Universal Catalog dataplex.googleapis.com
datalineage.googleapis.com
 Fonctionnalités concernées
Managed Service pour Apache Spark dataproc-control.googleapis.com
dataproc.googleapis.com
 Aucun
Eventarc eventarc.googleapis.com
 Aucun
Équilibreur de charge réseau passthrough externe compute.googleapis.com
 Aucun
Filestore file.googleapis.com
 Aucun
GKE Hub gkehub.googleapis.com
 Aucun
Service d'identité GKE anthosidentityservice.googleapis.com
 Aucun
Gemini Enterprise discoveryengine.googleapis.com
 Aucun
IA générative sur Vertex AI aiplatform.googleapis.com
 Aucun
Google Cloud Armor compute.googleapis.com
 Fonctionnalités concernées
Google Kubernetes Engine container.googleapis.com
containersecurity.googleapis.com
 Aucun
Google Security Operations SOAR Not applicable
 Aucun
Console d'administration Google Not applicable
 Aucun
Identity and Access Management (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 Aucun
Identity-Aware Proxy (IAP) iap.googleapis.com
 Aucun
Équilibreur de charge réseau passthrough interne compute.googleapis.com
 Aucun
Memorystore pour Redis redis.googleapis.com
 Aucun
Network Connectivity Center networkconnectivity.googleapis.com
 Aucun
Persistent Disk compute.googleapis.com
 Aucun
Pub/Sub pubsub.googleapis.com
 Contraintes liées aux règles d'administration
Équilibreur de charge d'application externe régional compute.googleapis.com
 Aucun
Équilibreur de charge réseau proxy externe régional compute.googleapis.com
 Aucun
Équilibreur de charge d'application interne régional compute.googleapis.com
 Aucun
Équilibreur de charge réseau proxy interne régional compute.googleapis.com
 Aucun
Resource Manager cloudresourcemanager.googleapis.com
 Aucun
Secret Manager secretmanager.googleapis.com
 Aucun
Sensitive Data Protection dlp.googleapis.com
 Aucun
Spanner spanner.googleapis.com
 Aucun
Speech-to-Text speech.googleapis.com
 Fonctionnalités concernées
VPC Service Controls accesscontextmanager.googleapis.com
 Aucun
Vertex AI Batch Prediction aiplatform.googleapis.com
 Aucun
Vertex AI Model Monitoring aiplatform.googleapis.com
 Aucun
Vertex AI Model Registry aiplatform.googleapis.com
 Aucun
Prédiction en ligne Vertex AI aiplatform.googleapis.com
 Aucun
Vertex AI Pipelines aiplatform.googleapis.com
 Aucun
Vertex AI Search discoveryengine.googleapis.com
 Aucun
Vertex AI Training aiplatform.googleapis.com
 Aucun
Cloud privé virtuel (VPC) compute.googleapis.com
servicenetworking.googleapis.com
 Aucun

Restrictions et limitations

Les sections suivantes décrivent les restrictions ou limites au niveau de Google Cloudou des produits pour les fonctionnalités, y compris les contraintes liées aux règles d'administration qui sont définies par défaut sur la limite de données pour les dossiers IL4. D'autres contraintes de règles d'administration applicables, même si elles ne sont pas définies par défaut, peuvent fournir une défense en profondeur supplémentaire pour mieux protéger les ressources de votre organisation Google Cloud .

Google Cloudde large

Fonctionnalités concernées Google Cloud

Fonctionnalité Description
ConsoleGoogle Cloud Pour accéder à la console Google Cloud lorsque vous utilisez le package de contrôles Data Boundary pour IL4, vous pouvez utiliser la console Google Cloud juridictionnelle. La console Google Cloud juridictionnelle n'est pas requise pour le périmètre de données IL4. Vous pouvez y accéder à l'aide de l'une des URL suivantes :

Contraintes liées aux règles d'administration à l'échelle deGoogle Cloud

Les contraintes de règles d'administration suivantes s'appliquent à Google Cloud.

Contrainte liée aux règles d'administration Description
gcp.resourceLocations Définissez les emplacements suivants dans la liste allowedValues :
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
Cette valeur limite la création de ressources aux valeurs sélectionnées. Si cette option est définie, aucune ressource ne peut être créée dans d'autres régions, emplacements multirégionaux ou emplacements en dehors de la sélection. Consultez la page Services compatibles avec les emplacements de ressources pour obtenir la liste des ressources qui peuvent être limitées par la contrainte de règle d'administration "Emplacements des ressources". En effet, certaines ressources peuvent être hors champ et ne pas pouvoir être limitées.

Modifier cette valeur pour la rendre moins restrictive compromet potentiellement la résidence des données en autorisant la création ou le stockage de données en dehors d'une limite de données conforme.
gcp.restrictNonCmekServices Définissez la liste de tous les noms de service d'API couverts par le champ d'application, y compris :
  • bigquerydatatransfer.googleapis.com
Il est possible que certaines fonctionnalités soient affectées pour chacun des services listés ci-dessus.

Chaque service listé nécessite des clés de chiffrement gérées par le client (CMEK). CMEK chiffre les données au repos à l'aide d'une clé que vous gérez, et non à l'aide des mécanismes de chiffrement par défaut de Google.

La modification de cette valeur en supprimant un ou plusieurs services couverts dans la liste peut compromettre la souveraineté des données, car les nouvelles données au repos seront automatiquement chiffrées à l'aide des clés Google et non de la vôtre. Les données au repos existantes resteront chiffrées avec la clé que vous avez fournie.
gcp.restrictServiceUsage Définissez-le pour autoriser tous les produits et points de terminaison d'API compatibles.

Détermine les services pouvant être utilisés en limitant l'accès du runtime à leurs ressources. Pour en savoir plus, consultez Restreindre l'utilisation des ressources.
gcp.restrictTLSVersion Définissez les versions TLS suivantes sur "Refuser" :
  • TLS_1_0
  • TLS_1_1
Pour en savoir plus, consultez Restreindre les versions TLS.

BigQuery

Fonctionnalités BigQuery concernées

Fonctionnalité Description
Activer BigQuery dans un nouveau dossier BigQuery est compatible, mais n'est pas automatiquement activé lorsque vous créez un dossier Assured Workloads en raison d'un processus de configuration interne. Cette opération prend normalement dix minutes, mais peut durer beaucoup plus longtemps dans certaines circonstances. Pour vérifier si le processus est terminé et activer BigQuery, procédez comme suit :
  1. Dans la console Google Cloud , accédez à la page Assured Workloads.

    Accéder à Assured Workloads

  2. Sélectionnez votre nouveau dossier Assured Workloads dans la liste.
  3. Sur la page Informations sur le dossier, dans la section Services autorisés, cliquez sur Examiner les mises à jour disponibles.
  4. Dans le volet Services autorisés, vérifiez les services à ajouter à la règle d'administration Restriction d'utilisation des ressources pour le dossier. Si des services BigQuery sont listés, cliquez sur Autoriser les services pour les ajouter.

    Si les services BigQuery ne sont pas listés, attendez la fin du processus interne. Si les services ne sont pas listés dans les 12 heures suivant la création du dossier, contactez l'assistance client Cloud.

Une fois le processus d'activation terminé, vous pouvez utiliser BigQuery dans votre dossier Assured Workloads.

Gemini dans BigQuery n'est pas compatible avec Assured Workloads.
API BigQuery conformes Les API BigQuery suivantes sont conformes au niveau d'impact 4 :
Régions BigQuery est conforme au niveau d'impact 4 (IL4) pour toutes les régions BigQuery aux États-Unis, à l'exception de la région multirégionale des États-Unis. La conformité IL4 ne peut pas être garantie si un ensemble de données est créé dans une région multirégionale des États-Unis, dans une région non américaine ou dans une région multirégionale non américaine. Il vous incombe de spécifier une région conforme au niveau d'impact 4 (IL4) lorsque vous créez des ensembles de données BigQuery.
Requêtes sur des ensembles de données IL4 à partir de projets non IL4 BigQuery n'empêche pas les ensembles de données IL4 d'être interrogés à partir de projets non IL4. Assurez-vous que toute requête qui utilise une opération de lecture ou de jointure sur des données techniques IL4 se trouve dans un dossier conforme à IL4.
Connexions à des sources de données externes La responsabilité de Google en matière de conformité se limite à la fonctionnalité de l'API BigQuery Connection. Il vous incombe de vous assurer de la conformité des produits sources utilisés avec l'API BigQuery Connection.
Fonctionnalités non compatibles Les fonctionnalités BigQuery suivantes ne sont pas compatibles et ne doivent pas être utilisées dans la CLI BigQuery. Il vous incombe de ne pas les utiliser dans BigQuery pour Assured Workloads.
CLI BigQuery L'interface de ligne de commande BigQuery est compatible.

SDK Google Cloud Vous devez utiliser Google Cloud SDK version 403.0.0 ou ultérieure pour garantir la régionalisation des données techniques. Pour vérifier votre version actuelle de Google Cloud SDK, exécutez gcloud --version, puis gcloud components update pour passer à la version la plus récente.
Commandes d'administration BigQuery désactivera les API non compatibles, mais les administrateurs disposant des autorisations suffisantes pour créer des dossiers Assured Workloads peuvent activer une API non compatible. Si cela se produit, vous serez informé d'un éventuel non-respect des règles via le tableau de bord de surveillance Assured Workloads.
Charger des données Les connecteurs du service de transfert de données BigQuery pour les applications SaaS (Software as a Service) de Google, les fournisseurs de stockage cloud externes et les entrepôts de données ne sont pas compatibles. Il vous incombe de ne pas utiliser les connecteurs du service de transfert de données BigQuery pour le périmètre de données des charges de travail IL4.
Transferts tiers BigQuery ne vérifie pas la compatibilité des transferts tiers avec le service de transfert de données BigQuery. Il vous incombe de vérifier la compatibilité lorsque vous utilisez un transfert tiers pour le service de transfert de données BigQuery.
Modèles BQML non conformes Les modèles BQML entraînés en externe ne sont pas acceptés.
Tâches de requête Les jobs de requête ne doivent être créés que dans des dossiers Assured Workloads.
Requêtes sur des ensembles de données dans d'autres projets BigQuery n'empêche pas d'interroger les ensembles de données Assured Workloads à partir de projets non Assured Workloads. Assurez-vous que toute requête qui effectue une lecture ou une jointure sur des données Assured Workloads est placée dans des dossiers Assured Workloads. Vous pouvez spécifier un nom de table complet pour le résultat de la requête à l'aide de projectname.dataset.table dans la CLI BigQuery.
Cloud Logging BigQuery utilise Cloud Logging pour certaines de vos données de journaux. Vous devez désactiver vos buckets de journaux _default ou limiter les buckets _default aux régions concernées pour rester conforme. Pour ce faire, utilisez la commande suivante :

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

Pour en savoir plus, consultez Régionaliser vos journaux.

Cloud Interconnect

Fonctionnalités Cloud Interconnect concernées

Fonctionnalité Description
VPN haute disponibilité Vous devez activer la fonctionnalité VPN haute disponibilité lorsque vous utilisez Cloud Interconnect avec Cloud VPN. De plus, vous devez respecter les exigences de chiffrement et de régionalisation listées dans la section Fonctionnalités Cloud VPN concernées.

Cloud KMS

Contraintes applicables aux règles d'administration Cloud KMS

Contrainte liée aux règles d'administration Description
cloudkms.allowedProtectionLevels Définissez cette option pour autoriser la création de clés CryptoKeys Cloud Key Management Service avec les niveaux de protection suivants :
  • SOFTWARE
  • HSM
  • EXTERNAL
  • EXTERNAL_VPC
Pour en savoir plus, consultez Niveaux de protection.

Cloud Logging

Fonctionnalités Cloud Logging concernées

Fonctionnalité Description
Récepteurs de journaux Les filtres ne doivent pas contenir de données client.

Les récepteurs de journaux incluent des filtres stockés en tant que configuration. Ne créez pas de filtres contenant des données client.
Affichage en direct des dernières lignes des entrées de journal Les filtres ne doivent pas contenir de données client.

Une session de affichage des dernières lignes en direct inclut un filtre stocké en tant que configuration. L'analyse des journaux ne stocke aucune donnée d'entrée de journal en elle-même, mais peut interroger et transmettre des données entre les régions. Ne créez pas de filtres contenant des données client.
Règles d'alerte basées sur SQL Cette fonctionnalité est désactivée.

Vous ne pouvez pas utiliser la fonctionnalité de règles d'alerte basées sur SQL.

Cloud Monitoring

Fonctionnalités Cloud Monitoring concernées

Fonctionnalité Description
Surveillance synthétique Cette fonctionnalité est désactivée.
Tests de disponibilité Cette fonctionnalité est désactivée.

Cloud Run

Fonctionnalités Cloud Run concernées

Fonctionnalité Description
Fonctionnalités non compatibles Les fonctionnalités Cloud Run suivantes ne sont pas prises en charge :

API Cloud Vision

Fonctionnalités de l'API Cloud Vision concernées

Fonctionnalité Description
Points de terminaison de l'API Cloud Vision conformes au niveau d'impact 4 Il vous incombe d'utiliser uniquement le point de terminaison de l'API pour la région des États-Unis (us-vision.googleapis.com) pour l'API Cloud Vision. Le point de terminaison mondial (vision.googleapis.com) n'est pas conforme au niveau d'impact 4. Son utilisation peut compromettre la résidence des données de votre charge de travail.

Cloud VPN

Fonctionnalités Cloud VPN concernées

Fonctionnalité Description
Points de terminaison VPN Vous ne devez utiliser que des points de terminaison Cloud VPN situés dans une région concernée. Assurez-vous que votre passerelle VPN est configurée pour être utilisée uniquement dans une région concernée.

Cloud Workstations

Fonctionnalités Cloud Workstations concernées

Fonctionnalité Description
Créer un cluster de stations de travail

Lorsque vous créez un cluster de postes de travail, il est de votre responsabilité de le configurer de la manière suivante pour assurer la résidence des données :

Compute Engine

Fonctionnalités Compute Engine concernées

Fonctionnalité Description
Ajouter un groupe d'instances à un équilibreur de charge mondial Vous ne pouvez pas ajouter de groupe d'instances à un équilibreur de charge mondial.

Cette fonctionnalité est désactivée par la contrainte liée aux règles de l'organisation compute.disableGlobalLoadBalancing.
Environnement invité Il est possible que les scripts, les daemons et les binaires inclus dans l'environnement invité accèdent aux données non chiffrées au repos et en cours d'utilisation. Selon la configuration de votre VM, les mises à jour de ce logiciel peuvent être installées par défaut. Pour en savoir plus sur le contenu, le code source et d'autres informations spécifiques à chaque package, consultez Environnement invité.

Ces composants vous aident à respecter la souveraineté des données grâce à des contrôles et des processus de sécurité internes. Toutefois, si vous souhaitez exercer un contrôle supplémentaire, vous pouvez également organiser vos propres images ou agents, et éventuellement utiliser la contrainte de règle d'administration compute.trustedImageProjects.

Pour en savoir plus, consultez Créer une image personnalisée.
Règles d'OS dans VM Manager Les scripts intégrés et les fichiers de sortie binaires dans les fichiers de règles d'OS ne sont pas chiffrés à l'aide de clés de chiffrement gérées par le client (CMEK). N'incluez aucune information sensible dans ces fichiers. Envisagez de stocker ces scripts et fichiers de sortie dans des buckets Cloud Storage. Pour en savoir plus, consultez Exemples de règles d'OS.

Si vous souhaitez limiter la création ou la modification de ressources de règles d'OS qui utilisent des scripts intégrés ou des fichiers de sortie binaires, activez la contrainte de règle d'administration constraints/osconfig.restrictInlineScriptAndOutputFileUsage.

Pour en savoir plus, consultez Contraintes pour OS Config.
instances.getSerialPortOutput() Cette API est désactivée. Vous ne pourrez pas obtenir de données en sortie du port série depuis l'instance spécifiée à l'aide de cette API.

Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès pour un projet.
instances.getScreenshot() Cette API est désactivée. Vous ne pourrez pas obtenir de capture d'écran à partir de l'instance spécifiée à l'aide de cette API.

Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès pour un projet.

Contraintes liées aux règles d'administration Compute Engine

Contrainte liée aux règles d'administration Description
compute.disableGlobalCloudArmorPolicy Défini sur True.

Désactive la création de nouvelles stratégies de sécurité Google Cloud Armor globales, ainsi que l'ajout ou la modification de règles dans les stratégies de sécurité Google Cloud Armor globales existantes. Cette contrainte n'empêche pas la suppression de règles, ni la suppression ou la modification de la description et de la liste des stratégies de sécurité Google Cloud Armor globales. Cette contrainte n'a aucune incidence sur les stratégies de sécurité Google Cloud Armor régionales. Toutes les stratégies de sécurité globales et régionales qui existaient avant l'application de cette contrainte restent en vigueur.
compute.disableGlobalLoadBalancing Défini sur True.

Désactive la création de produits d'équilibrage de charge mondiaux.

La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.
compute.disableInstanceDataAccessApis Défini sur True.

Désactive globalement les API instances.getSerialPortOutput() et instances.getScreenshot().

L'activation de cette contrainte vous empêche de générer des identifiants sur les VM Windows Server.

Si vous devez gérer un nom d'utilisateur et un mot de passe sur une VM Windows, procédez comme suit :
  1. Activez SSH pour les VM Windows.
  2. Exécutez la commande suivante pour modifier le mot de passe de la VM : 
      gcloud compute ssh
  VM_NAME --command "net user USERNAME PASSWORD"
    Remplacez les éléments suivants :
    • VM_NAME : nom de la VM pour laquelle vous définissez le mot de passe.
    • USERNAME : nom d'utilisateur pour lequel vous définissez le mot de passe.
    • PASSWORD : nouveau mot de passe.
compute.restrictNonConfidentialComputing

 (Facultatif) Aucune valeur n'est définie. Définissez cette valeur pour renforcer la défense en profondeur. Pour en savoir plus, consultez la documentation sur Confidential VM.
compute.trustedImageProjects

 (Facultatif) Aucune valeur n'est définie. Définissez cette valeur pour renforcer la défense en profondeur.

Définir cette valeur limite le stockage d'images et l'instanciation de disques à la liste de projets spécifiée. Cette valeur affecte la souveraineté des données en empêchant l'utilisation d'images ou d'agents non autorisés.

Dataplex Universal Catalog

Fonctionnalités de Dataplex Universal Catalog

Fonctionnalité Description
Attribute Store Cette fonctionnalité est obsolète et désactivée.
Data Catalog Cette fonctionnalité est obsolète et désactivée. Vous ne pouvez pas rechercher ni gérer vos métadonnées dans Data Catalog.
Insights sur les données Cette fonctionnalité est désactivée. Vous ne pouvez pas générer d'insights sur les données de vos catalogues.
Lacs et zones Cette fonctionnalité est désactivée. Vous ne pouvez pas gérer les lacs, les zones ni les tâches.

Google Cloud Armor

Fonctionnalités Google Cloud Armor concernées

Fonctionnalité Description
Stratégies de sécurité à l'échelle mondiale Cette fonctionnalité est désactivée par la contrainte liée aux règles d'administration compute.disableGlobalCloudArmorPolicy.

Pub/Sub

Contraintes liées aux règles d'administration Pub/Sub

Contrainte liée aux règles d'administration Description
pubsub.managed.disableSubscriptionMessageTransforms Défini sur True.

Empêche la définition d'abonnements Pub/Sub avec des transformations de message unique (SMT).

La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.
pubsub.managed.disableTopicMessageTransforms Défini sur True.

Empêche la définition de transformations de message unique (SMT) pour les sujets Pub/Sub.

La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.

Speech-to-Text

Fonctionnalités Speech-to-Text concernées

Fonctionnalité Description
Modèles Speech-to-Text personnalisés Il vous incombe de ne pas utiliser les modèles Custom Speech-to-Text, car ils ne sont pas conformes à la limite de données pour IL4.

Étapes suivantes