IRS 1075 号法规的数据边界

本页面介绍了在 Assured Workloads 中应用于 Data Boundary for IRS 1075 工作负载的一组控制措施。它提供了有关数据驻留、支持的 Google Cloud 产品及其 API 端点，以及这些产品的任何适用限制或局限的详细信息。以下附加信息适用于 IRS 1075 的数据边界：

  • 数据驻留：IRS 1075 号法规的数据边界控制包将数据位置控制设置为支持仅限美国区域。如需了解详情，请参阅Google Cloud范围内的组织政策限制条件部分。
  • 支持：订阅增强型或高级 Cloud Customer Care 后，即可获得针对 IRS 1075 号法规的数据边界工作负载的技术支持服务。IRS 1075 工作负载支持案例的数据边界会路由到位于美国境内且已完成基于指纹的 CJIS 背景调查、州级执法检查和公民身份验证的美国人。如需了解详情，请参阅获取支持。
  • 价格：IRS 1075 号法规的数据边界控制包包含在 Assured Workloads 的高级层级中，该层级会产生 20% 的额外费用。如需了解详情，请参阅 Assured Workloads 价格。

前提条件

作为 IRS 1075 控制包的数据边界的用户，为保持合规性，请验证您是否满足并遵守以下前提条件：

支持的产品和 API 端点

除非另有说明，否则用户可以通过 Google Cloud 控制台访问所有受支持的产品。下表列出了影响受支持产品功能的限制或局限，包括通过组织政策限制条件设置强制执行的限制或局限。

如果某个产品未列出，则表示该产品不受支持，并且不符合 IRS 1075 数据边界的控制要求。在未进行尽职调查且未充分了解您在责任共担模型中的责任之前，不建议使用不受支持的产品。在使用不受支持的产品之前，请确保您了解并愿意接受任何相关风险，例如对数据驻留或数据主权的负面影响。

支持的产品 API 端点 限制或局限
AI Protection securitycenter.googleapis.com
 无
Access Context Manager accesscontextmanager.googleapis.com
 无
Access Transparency accessapproval.googleapis.com
 无
Agent Assist dialogflow.googleapis.com
 无
AlloyDB for PostgreSQL alloydb.googleapis.com
 无
Apigee apigee.googleapis.com
 无
App Hub apphub.googleapis.com
 无
Application Integration integrations.googleapis.com
 无
Artifact Analysis containeranalysis.googleapis.com
 无
Artifact Registry artifactregistry.googleapis.com
 无
Audit Manager auditmanager.googleapis.com
 无
AutoML Tables aiplatform.googleapis.com
 无
Backup and DR Service backupdr.googleapis.com
 无
Backup for Google Kubernetes Engine (GKE) gkebackup.googleapis.com
 无
BigQuery bigquery.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerymigration.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 受影响的功能
BigQuery Connection API bigqueryconnection.googleapis.com
 无
BigQuery Data Transfer Service bigquerydatatransfer.googleapis.com
 受影响的功能
Bigtable bigtable.googleapis.com
bigtableadmin.googleapis.com
 无
Binary Authorization binaryauthorization.googleapis.com
 无
Certificate Authority Service privateca.googleapis.com
 无
Certificate Manager certificatemanager.googleapis.com
 无
Cloud Asset Inventory cloudasset.googleapis.com
 无
Cloud Build cloudbuild.googleapis.com
 无
Google Cloud 控制台 console.cloud.google.com
 无
Cloud DNS dns.googleapis.com
 无
Cloud Data Fusion datafusion.googleapis.com
 无
Cloud Deploy clouddeploy.googleapis.com
 无
Cloud Domains domains.googleapis.com
 无
Cloud External Key Manager (Cloud EKM) cloudkms.googleapis.com
 无
Cloud Run functions cloudfunctions.googleapis.com
 组织政策限制条件
Cloud HSM cloudkms.googleapis.com
 无
Cloud Healthcare API healthcare.googleapis.com
 无
Cloud Interconnect compute.googleapis.com
 受影响的功能
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 无
Cloud Logging logging.googleapis.com
 受影响的功能
Cloud Monitoring monitoring.googleapis.com
stackdriver.googleapis.com
 受影响的功能
Cloud NAT compute.googleapis.com
 无
Cloud OS Login API oslogin.googleapis.com
 无
Cloud Router compute.googleapis.com
 无
Cloud Run run.googleapis.com
 受影响的功能
Cloud SQL sqladmin.googleapis.com
 无
Cloud Scheduler cloudscheduler.googleapis.com
 无
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
networkservices.googleapis.com
opsconfigmonitoring.googleapis.com
trafficdirector.googleapis.com
 无
Cloud Storage storage.googleapis.com
 无
Cloud TPU tpu.googleapis.com
 无
Cloud Tasks cloudtasks.googleapis.com
 无
Cloud VPN compute.googleapis.com
 受影响的功能
Cloud Vision API vision.googleapis.com
 无
Cloud Workstations workstations.googleapis.com
 无
Compute Engine compute.googleapis.com
 受影响的功能 和组织政策限制条件
Google Kubernetes Engine (GKE) Connect connectgateway.googleapis.com
gkeconnect.googleapis.com
 无
Dialogflow CX dialogflow.googleapis.com
 无
客户体验分析洞见 contactcenterinsights.googleapis.com
 无
Data Security Posture Management securitycenter.googleapis.com
 无
Database Center databasecenter.googleapis.com
 无
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 无
Dataform dataform.googleapis.com
 无
Document AI documentai.googleapis.com
 无
重要联系人 essentialcontacts.googleapis.com
 无
Eventarc eventarc.googleapis.com
 无
外部直通式网络负载均衡器 compute.googleapis.com
 无
Filestore file.googleapis.com
 无
Firebase Authentication Not applicable
 无
Firestore datastore.googleapis.com
firebaserules.googleapis.com
firestore.googleapis.com
 无
Google Kubernetes Engine (GKE) Hub gkehub.googleapis.com
 无
Google Kubernetes Engine (GKE) 身份认证服务 anthosidentityservice.googleapis.com
 无
Google Kubernetes Engine (GKE) 映像流式传输 containerfilesystem.googleapis.com
 无
Gemini Enterprise discoveryengine.googleapis.com
 受影响的功能
Vertex AI 上的生成式 AI aiplatform.googleapis.com
 无
Google Cloud Armor compute.googleapis.com
networksecurity.googleapis.com
 受影响的功能
Google Cloud Managed Service for Apache Kafka managedkafka.googleapis.com
 无
Google Cloud NetApp Volumes netapp.googleapis.com
 受影响的功能
Google Kubernetes Engine (GKE) container.googleapis.com
containersecurity.googleapis.com
 无
Google Security Operations SIEM chronicle.googleapis.com
chronicleservicemanager.googleapis.com
 无
Google Security Operations SOAR Not applicable
 无
Identity and Access Management (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 无
Identity-Aware Proxy (IAP) iap.googleapis.com
 无
Infrastructure Manager config.googleapis.com
 无
Integration Connectors connectors.googleapis.com
 无
内部直通式网络负载均衡器 compute.googleapis.com
 无
Jurisdictional Google Cloud console Not applicable
 无
Key Access Justifications cloudekm.googleapis.com
 无
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 受影响的功能
Looker (Google Cloud Core) looker.googleapis.com
 无
Managed Service for Apache Airflow composer.googleapis.com
 无
Managed Service for Apache Spark dataproc-control.googleapis.com
dataproc.googleapis.com
 无
Memorystore for Redis redis.googleapis.com
 无
Memorystore for Redis Cluster redis.googleapis.com
 无
Model Armor modelarmor.googleapis.com
 无
Network Connectivity Center networkconnectivity.googleapis.com
 无
Organization Policy Service orgpolicy.googleapis.com
 无
Persistent Disk compute.googleapis.com
 无
Pub/Sub pubsub.googleapis.com
 无
区域级外部应用负载均衡器 compute.googleapis.com
 无
区域级外部代理网络负载均衡器 compute.googleapis.com
 无
区域级内部应用负载均衡器 compute.googleapis.com
 无
区域级内部代理网络负载均衡器 compute.googleapis.com
 无
Resource Manager cloudresourcemanager.googleapis.com
 无
Resource Settings resourcesettings.googleapis.com
 无
Secret Manager secretmanager.googleapis.com
 无
Secure Source Manager securesourcemanager.googleapis.com
 无
Security Command Center 高级方案 containerthreatdetection.googleapis.com
securitycenter.googleapis.com
securitycentermanagement.googleapis.com
securityposture.googleapis.com
websecurityscanner.googleapis.com
 无
Sensitive Data Protection dlp.googleapis.com
 无
Service Directory servicedirectory.googleapis.com
 无
Spanner spanner.googleapis.com
 无
Speech-to-Text speech.googleapis.com
 受影响的功能
Storage Transfer Service storagetransfer.googleapis.com
 无
Text-to-Speech texttospeech.googleapis.com
 无
虚拟机管理器 osconfig.googleapis.com
 无
VPC Service Controls accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 无
Vertex AI 批量预测 aiplatform.googleapis.com
 组织政策限制条件
Vertex AI Model Monitoring aiplatform.googleapis.com
 组织政策限制条件
Vertex AI Model Registry aiplatform.googleapis.com
 组织政策限制条件
Vertex AI Online Prediction aiplatform.googleapis.com
 组织政策限制条件
Vertex AI Pipelines aiplatform.googleapis.com
 组织政策限制条件
Agent Search discoveryengine.googleapis.com
 组织政策限制条件
Vertex AI Training aiplatform.googleapis.com
 组织政策限制条件
Vertex AI Tuning aiplatform.googleapis.com
 组织政策限制条件
Vertex AI Workbench aiplatform.googleapis.com
notebooks.googleapis.com
 组织政策限制条件
Virtual Private Cloud (VPC) compute.googleapis.com
servicenetworking.googleapis.com
serviceprovisioning.googleapis.com
 无
Web Risk webrisk.googleapis.com
 无
员工身份联合 iam.googleapis.com
sts.googleapis.com
 无

限制和局限

以下部分介绍了 Google Cloud范围或特定于产品的功能限制或局限，包括默认情况下在 IRS 1075 文件夹的数据边界上设置的所有组织政策限制条件。其他适用的组织政策限制条件（即使默认设置未设置）可以提供额外的纵深防御，以进一步保护贵组织的 Google Cloud 资源。

Google Cloud范围

受影响的 Google Cloud范围功能

功能 说明
Google Cloud 控制台 如需在使用 IRS 1075 数据边界控制包时访问 Google Cloud 控制台，您可以选择使用管辖区 Google Cloud 控制台。 IRS 1075 号法规的数据边界不需要使用管辖区 Google Cloud 控制台，您可以使用以下任一网址访问该控制台：

Google Cloud范围的组织政策限制条件

以下组织政策限制条件适用于 Google Cloud。

组织政策限制条件 说明
gcp.resourceLocations 设置为 allowedValues 列表中的以下位置：
  • us-locations
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
此值会将新资源的创建限制为所选值。设置此标志后，您将无法在所选区域、多区域位置或其他位置创建任何资源。如需查看可受资源位置组织政策限制条件限制的资源列表，请参阅资源位置支持的服务，因为某些资源可能不在范围内，无法受到限制。

如果更改此值，则允许更少的数据在合规数据边界之外创建或存储，从而可能破坏数据驻留。
gcp.restrictNonCmekServices 设置为所有范围内的 API 服务名称的列表，包括：
  • bigquerydatatransfer.googleapis.com
对于上述每个服务，一些功能可能会受到影响。

每个列出的服务都需要客户管理的加密密钥 (CMEK)。CMEK 使用您管理的密钥（而不是 Google 的默认加密机制）加密静态数据。

如果通过从列表中移除一个或多个范围内的服务来更改此值，则可能会破坏数据主权，因为系统会使用 Google 自己的密钥（而不是您自己的密钥）自动加密新的静态数据。现有的静态数据仍将使用您提供的密钥进行加密。
gcp.restrictServiceUsage 设置为允许所有受支持的产品和 API 端点。

通过限制对运行时资源的访问，确定可以使用哪些服务。如需了解详情，请参阅限制资源使用。
gcp.restrictTLSVersion 设置为拒绝以下 TLS 版本：
  • TLS_1_0
  • TLS_1_1
如需了解详情，请参阅限制 TLS 版本。

BigQuery

受影响的 BigQuery 功能

功能 说明
在新文件夹上启用 BigQuery BigQuery 受支持，但由于内部配置流程，在您创建新的 Assured Workloads 文件夹时，系统不会自动启用 BigQuery。此过程通常会在 10 分钟内完成，但在某些情况下可能需要更长时间。如需检查该过程是否已完成并启用 BigQuery，请完成以下步骤：
  1. 在 Google Cloud 控制台中，前往 Assured Workloads 页面。

    转到 Assured Workloads

  2. 从列表中选择新的 Assured Workloads 文件夹。
  3. 在文件夹详细信息页面的允许的服务部分中，点击查看可用更新。
  4. 在允许的服务窗格中，查看要添加到文件夹的资源使用限制组织政策的服务。如果列出了 BigQuery 服务，请点击允许服务以添加这些服务。

    如果未列出 BigQuery 服务，请等待内部流程完成。如果这些服务在文件夹创建后的 12 小时内未列出，请与 Cloud Customer Care 联系。

启用流程完成后，您可以在 Assured Workloads 文件夹中使用 BigQuery。

Assured Workloads 不支持 Gemini in BigQuery。
不受支持的功能 以下 BigQuery 功能不受支持，不应在 BigQuery CLI 中使用。您有责任不在 BigQuery for Assured Workloads 中使用这些功能。
BigQuery CLI 支持 BigQuery CLI。

Google Cloud SDK 您必须使用 Google Cloud SDK 403.0.0 或更高版本，才能确保技术数据的数据区域化。如需验证当前的 Google Cloud SDK 版本，请运行 gcloud --version，然后运行 gcloud components update 以更新到最新版本。
管理员控制功能 BigQuery 将停用不受支持的 API，但具有创建 Assured Workloads 文件夹的足够权限的管理员可以启用不受支持的 API。如果发生这种情况，您会通过 Assured Workloads 监控信息中心收到潜在不合规通知。
正在加载数据 不支持适用于 Google 软件即服务 (SaaS) 应用、外部云端存储空间提供商和数据仓库的 BigQuery Data Transfer Service 连接器。您有责任不将 BigQuery Data Transfer Service 连接器用于 IRS 1075 工作负载的数据边界。
第三方转移作业 BigQuery 不会验证 BigQuery Data Transfer Service 是否支持第三方转移作业。在使用 BigQuery Data Transfer Service 的任何第三方转移作业时，您有责任验证支持情况。
不合规的 BQML 模型 不支持外部训练的 BQML 模型。
查询作业 查询作业只能在 Assured Workloads 文件夹中创建。
对其他项目中的数据集执行的查询 BigQuery 不会阻止从非 Assured Workloads 项目查询 Assured Workloads 数据集。您应确保对 Assured Workloads 数据进行读取或联接的任何查询都放置在 Assured Workloads 文件夹中。您可以在 BigQuery CLI 中使用 projectname.dataset.table 为其查询结果指定完全限定的表名称。
Cloud Logging BigQuery 会利用 Cloud Logging 来存储部分日志数据。您应停用 _default 日志记录存储桶，或将 _default 存储桶限制在适用区域内，以使用以下命令保持合规性：

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

如需了解详情，请参阅区域化存储日志。

Cloud Run functions

Cloud Run functions 组织政策限制条件

组织政策限制条件 说明
cloudfunctions.restrictAllowedGenerations 设置为拒绝以下可用于创建新 Cloud Run functions 资源的 Cloud Run functions 代系：
  • 1stGen
如需了解详情，请参阅按产品版本限制新部署。

Cloud Interconnect

受影响的 Cloud Interconnect 功能

功能 说明
高可用性 (HA) VPN 将 Cloud Interconnect 与 Cloud VPN 搭配使用时，您必须启用高可用性 (HA) VPN 功能。此外，您还必须遵守受影响的 Cloud VPN 功能部分中列出的加密和区域化要求。

Cloud KMS

Cloud KMS 组织政策限制条件

组织政策限制条件 说明

Cloud Logging

受影响的 Cloud Logging 功能

功能 说明
日志接收器 过滤条件不应包含客户数据。

日志接收器包括以配置形式存储的过滤条件。请勿创建包含客户数据的过滤条件。
Live Tailing 日志条目 过滤条件不应包含客户数据。

Live Tailing 会话包含一个存储为配置的过滤条件。跟踪日志不会存储任何日志条目数据，但可以跨区域查询和传输数据。请勿创建包含客户数据的过滤条件。
基于 SQL 的提醒政策 此功能处于禁用状态。

您无法使用基于 SQL 的提醒政策功能。

Cloud Monitoring

受影响的 Cloud Monitoring 功能

功能 说明
合成监控工具 此功能处于禁用状态。
拨测 此功能处于禁用状态。

Cloud Run

受影响的 Cloud Run 功能

功能 说明
不受支持的功能 不支持以下 Cloud Run 功能：

Cloud VPN

受影响的 Cloud VPN 功能

功能 说明
VPN 端点 您只能使用位于适用区域内的 Cloud VPN 端点。确保您的 VPN 网关配置为仅在适用区域中使用。

Compute Engine

受影响的 Compute Engine 功能

功能 说明
将实例组添加到全球负载均衡器 您无法将实例组添加到全球负载均衡器。

此功能已被 compute.disableGlobalLoadBalancing 组织政策限制停用。
客机环境 客机环境中包含的脚本、守护程序和二进制文件可以访问未加密的静态数据和使用中的数据。根据您的虚拟机配置，系统可能会默认安装此软件的更新。如需详细了解每个软件包的内容、源代码等，请参阅客机环境。

这些组件可帮助您通过内部安全控制和流程满足数据主权。但是，如果您需要额外控制，还可以挑选自己的映像或代理，并选择性地使用 compute.trustedImageProjects 组织政策限制条件。

如需了解详情，请参阅构建自定义映像。
虚拟机管理器中的操作系统政策 操作系统政策文件中的内嵌脚本和二进制输出文件不使用客户管理的加密密钥 (CMEK) 进行加密。请勿在这些文件中包含任何敏感信息。考虑将这些脚本和输出文件存储在 Cloud Storage 存储桶中。如需了解详情，请参阅操作系统政策示例。

如果您想限制创建或修改使用内嵌脚本或二进制输出文件的操作系统政策资源，请启用 constraints/osconfig.restrictInlineScriptAndOutputFileUsage 组织政策限制条件。

如需了解详情，请参阅 OS Config 的限制条件。

Compute Engine 组织政策限制条件

组织政策限制条件 说明
compute.disableGlobalCloudArmorPolicy 设置为 True。

禁止创建新的 Google Cloud Armor 全局安全政策，以及向现有 Google Cloud Armor 全局安全政策添加或修改规则。此限制条件不会限制移除规则，也不会限制移除或更改 Google Cloud Armor 全局安全政策的说明和列表。Google Cloud Armor 区域安全政策不受此限制条件的影响。在强制执行此限制条件之前就已存在的所有全局和区域安全政策也仍然有效。
compute.disableGlobalLoadBalancing 设置为 True。

禁止创建全球负载均衡产品。

更改此值可能会影响工作负载的数据驻留或数据主权。
compute.requireOsConfig 设置为 True。

对所有新项目启用虚拟机管理器（操作系统配置）。将对新项目中创建的所有虚拟机实例启用虚拟机管理器。
compute.restrictNonConfidentialComputing

 （可选）不设置值。设置此值可提供额外的纵深防御。如需了解详情，请参阅机密虚拟机文档。
compute.trustedImageProjects

 （可选）不设置值。设置此值可提供额外的深度防御。

设置此值会将映像存储和磁盘实例化限制在指定的项目列表。此值可防止使用任何未经授权的映像或代理，从而影响数据主权。

Knowledge Catalog

Knowledge Catalog 功能

功能 说明
Attribute Store 此功能已弃用并停用。
Data Catalog 此功能已弃用并停用。您无法在 Data Catalog 中搜索或管理元数据。
数据湖和可用区 此功能处于禁用状态。您无法管理数据湖、区域和任务。

Gemini Enterprise

Gemini Enterprise 功能

功能 说明
适用于企业的 Web 接地 Gemini Enterprise 支持“适用于企业的 Web 接地”功能。

Speech-to-Text

受影响的 Speech-to-Text 功能

功能 说明
自定义 Speech-to-Text 模型 您有责任不使用自定义 Speech-to-Text 模型，因为它们不符合 IRS 1075 的数据边界。

Vertex AI

Vertex AI 组织政策限制条件

组织政策限制条件 说明
vertexai.allowOnlyAllCompliantAPIs 设置为 True。

将 Vertex AI 请求限制为：仅允许访问符合 IRS 1075 数据边界的基准合规性和数据边界要求的服务和端点。

后续步骤