IRS 出版品 1075 資料邊界

本頁面說明 Assured Workloads 中，IRS 1075 資料邊界工作負載適用的控制項。其中詳細說明資料落地、支援的 Google Cloud 產品及其 API 端點，以及這些產品適用的任何限制。下列額外資訊適用於 IRS 1075 資料邊界：

  • 資料落地：IRS 1075 資料邊界控制套件會設定資料位置控制項，僅支援美國區域。詳情請參閱「Google Cloud範圍的組織政策限制」一節。
  • 支援：訂閱 Enhanced 或 Premium Cloud Customer Care 方案，即可享有 IRS 1075 資料邊界工作負載的技術支援服務。IRS 1075 工作負載的資料邊界支援案件，會轉送給位於美國境內，並已完成以指紋為基礎的 CJIS 背景調查、州級執法機關調查和公民身分驗證的美國自然人/法人。詳情請參閱「取得支援」。
  • 定價：IRS 1075 資料邊界控管套件包含在 Assured Workloads 的進階級中，須額外支付 20% 的費用。詳情請參閱「Assured Workloads 定價」。

必要條件

如要使用 IRS 1075 控制項套件的資料邊界，並維持法規遵循狀態，請確認您符合並遵守下列必要條件：

支援的產品和 API 端點

除非另有註明，否則使用者可以透過 Google Cloud 控制台存取所有支援的產品。下表列出會影響支援產品功能的限制或限制條件，包括透過組織政策限制設定強制執行的限制。

如果產品未列入清單，表示該產品不受支援，且不符合 IRS 1075 資料邊界的控管規定。如未盡職調查，且未充分瞭解您在共同責任模式中的責任，不建議使用不支援的產品。使用不支援的產品前，請務必瞭解並願意承擔任何相關風險，例如對資料落地或資料主權造成負面影響。

支援的產品 API 端點 限制
AI Protection securitycenter.googleapis.com
 無
Access Context Manager accesscontextmanager.googleapis.com
 無
資料存取透明化控管機制 accessapproval.googleapis.com
 無
Agent Assist dialogflow.googleapis.com
 無
AlloyDB for PostgreSQL alloydb.googleapis.com
 無
Apigee apigee.googleapis.com
 無
App Hub apphub.googleapis.com
 無
Application Integration integrations.googleapis.com
 無
Artifact Analysis containeranalysis.googleapis.com
 無
Artifact Registry artifactregistry.googleapis.com
 無
Audit Manager auditmanager.googleapis.com
 無
AutoML Tables aiplatform.googleapis.com
 無
備份和災難復原服務 backupdr.googleapis.com
 無
Backup for Google Kubernetes Engine (GKE) gkebackup.googleapis.com
 無
BigQuery bigquery.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerymigration.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 受影響的功能
BigQuery Connection API bigqueryconnection.googleapis.com
 無
BigQuery 資料移轉服務 bigquerydatatransfer.googleapis.com
 受影響的功能
Bigtable bigtable.googleapis.com
bigtableadmin.googleapis.com
 無
二進位授權 binaryauthorization.googleapis.com
 無
憑證授權單位服務 privateca.googleapis.com
 無
Certificate Manager certificatemanager.googleapis.com
 無
Cloud Asset Inventory cloudasset.googleapis.com
 無
Cloud Build cloudbuild.googleapis.com
 無
Google Cloud 控制台 console.cloud.google.com
 無
Cloud DNS dns.googleapis.com
 無
Cloud Data Fusion datafusion.googleapis.com
 無
Cloud Deploy clouddeploy.googleapis.com
 無
Cloud Domains domains.googleapis.com
 無
Cloud External Key Manager (Cloud EKM) cloudkms.googleapis.com
 無
Cloud Run functions cloudfunctions.googleapis.com
 組織政策限制
Cloud HSM cloudkms.googleapis.com
 無
Cloud Healthcare API healthcare.googleapis.com
 無
Cloud Interconnect compute.googleapis.com
 受影響的功能
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 無
Cloud Logging logging.googleapis.com
 受影響的功能
Cloud Monitoring monitoring.googleapis.com
stackdriver.googleapis.com
 受影響的功能
Cloud NAT compute.googleapis.com
 無
Cloud OS Login API oslogin.googleapis.com
 無
Cloud Router compute.googleapis.com
 無
Cloud Run run.googleapis.com
 受影響的功能
Cloud SQL sqladmin.googleapis.com
 無
Cloud Scheduler cloudscheduler.googleapis.com
 無
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
networkservices.googleapis.com
opsconfigmonitoring.googleapis.com
trafficdirector.googleapis.com
 無
Cloud Storage storage.googleapis.com
 無
Cloud TPU tpu.googleapis.com
 無
Cloud Tasks cloudtasks.googleapis.com
 無
Cloud VPN compute.googleapis.com
 受影響的功能
Cloud Vision API vision.googleapis.com
 無
Cloud Workstations workstations.googleapis.com
 無
Compute Engine compute.googleapis.com
 受影響的功能和組織政策限制
Google Kubernetes Engine (GKE) Connect connectgateway.googleapis.com
gkeconnect.googleapis.com
 無
Dialogflow CX dialogflow.googleapis.com
 無
客戶體驗洞察 contactcenterinsights.googleapis.com
 無
Data Security Posture Management securitycenter.googleapis.com
 無
Database Center databasecenter.googleapis.com
 無
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 無
Dataform dataform.googleapis.com
 無
Document AI documentai.googleapis.com
 無
重要聯絡人 essentialcontacts.googleapis.com
 無
Eventarc eventarc.googleapis.com
 無
外部直通式網路負載平衡器 compute.googleapis.com
 無
Filestore file.googleapis.com
 無
Firebase 驗證 Not applicable
 無
Firestore datastore.googleapis.com
firebaserules.googleapis.com
firestore.googleapis.com
 無
Google Kubernetes Engine (GKE) Hub gkehub.googleapis.com
 無
Google Kubernetes Engine (GKE) 身分認證服務 anthosidentityservice.googleapis.com
 無
Google Kubernetes Engine (GKE) 映像檔串流 containerfilesystem.googleapis.com
 無
Gemini Enterprise discoveryengine.googleapis.com
 受影響的功能
Vertex AI 生成式 AI aiplatform.googleapis.com
 無
Google Cloud Armor compute.googleapis.com
networksecurity.googleapis.com
 受影響的功能
Google Cloud Managed Service for Apache Kafka managedkafka.googleapis.com
 無
Google Cloud NetApp Volumes netapp.googleapis.com
 受影響的功能
Google Kubernetes Engine (GKE) container.googleapis.com
containersecurity.googleapis.com
 無
Google Security Operations SIEM chronicle.googleapis.com
chronicleservicemanager.googleapis.com
 無
Google Security Operations SOAR Not applicable
 無
Identity and Access Management (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 無
Identity-Aware Proxy (IAP) iap.googleapis.com
 無
Infrastructure Manager config.googleapis.com
 無
Integration Connectors connectors.googleapis.com
 無
內部直通式網路負載平衡器 compute.googleapis.com
 無
Jurisdictional Google Cloud console Not applicable
 無
金鑰存取依據 cloudekm.googleapis.com
 無
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 受影響的功能
Looker (Google Cloud Core) looker.googleapis.com
 無
Managed Service for Apache Airflow composer.googleapis.com
 無
Managed Service for Apache Spark dataproc-control.googleapis.com
dataproc.googleapis.com
 無
Memorystore for Redis redis.googleapis.com
 無
Memorystore for Redis Cluster redis.googleapis.com
 無
Model Armor modelarmor.googleapis.com
 無
Network Connectivity Center networkconnectivity.googleapis.com
 無
組織政策服務 orgpolicy.googleapis.com
 無
Persistent Disk compute.googleapis.com
 無
Pub/Sub pubsub.googleapis.com
 無
區域性外部應用程式負載平衡器 compute.googleapis.com
 無
區域性外部 Proxy 網路負載平衡器 compute.googleapis.com
 無
區域性內部應用程式負載平衡器 compute.googleapis.com
 無
區域性內部 Proxy 網路負載平衡器 compute.googleapis.com
 無
Resource Manager cloudresourcemanager.googleapis.com
 無
資源設定 resourcesettings.googleapis.com
 無
Secret Manager secretmanager.googleapis.com
 無
Secure Source Manager securesourcemanager.googleapis.com
 無
Security Command Center Premium containerthreatdetection.googleapis.com
securitycenter.googleapis.com
securitycentermanagement.googleapis.com
securityposture.googleapis.com
websecurityscanner.googleapis.com
 無
Sensitive Data Protection dlp.googleapis.com
 無
Service Directory servicedirectory.googleapis.com
 無
Spanner spanner.googleapis.com
 無
Speech-to-Text speech.googleapis.com
 受影響的功能
Storage 移轉服務 storagetransfer.googleapis.com
 無
Text-to-Speech texttospeech.googleapis.com
 無
VM 管理員 osconfig.googleapis.com
 無
VPC Service Controls accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 無
Vertex AI 批次預測 aiplatform.googleapis.com
 組織政策限制
Vertex AI 模型監控 aiplatform.googleapis.com
 組織政策限制
Vertex AI Model Registry aiplatform.googleapis.com
 組織政策限制
Vertex AI Online Prediction aiplatform.googleapis.com
 組織政策限制
Vertex AI Pipelines aiplatform.googleapis.com
 組織政策限制
Agent Search discoveryengine.googleapis.com
 組織政策限制
Vertex AI 訓練 aiplatform.googleapis.com
 組織政策限制
Vertex AI Tuning aiplatform.googleapis.com
 組織政策限制
Vertex AI Workbench aiplatform.googleapis.com
notebooks.googleapis.com
 組織政策限制
虛擬私有雲 (VPC) compute.googleapis.com
servicenetworking.googleapis.com
serviceprovisioning.googleapis.com
 無
Web Risk webrisk.googleapis.com
 無
員工身分聯盟 iam.googleapis.com
sts.googleapis.com
 無

規定與限制

以下各節說明 Google Cloud範圍或產品專屬的功能限制，包括預設為 IRS 1075 資料邊界資料夾設定的組織政策限制。其他適用的組織政策限制 (即使未預設) 可提供額外的縱深防禦，進一步保護組織的 Google Cloud 資源。

Google Cloud範圍

受影響的 Google Cloud範圍功能

功能 說明
Google Cloud 控制台 使用 IRS 1075 控制套件的資料邊界時，如要存取 Google Cloud 控制台，您可以選擇使用管轄區 Google Cloud 控制台。IRS 1075 資料邊界不需要使用管轄區 Google Cloud 控制台，您可以透過下列任一網址存取：

Google Cloud範圍的組織政策限制

下列組織政策限制適用於 Google Cloud。

組織政策限制 說明
gcp.resourceLocations 設為 allowedValues 清單中的下列位置：
  • us-locations
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
這個值會限制建立新資源時只能使用所選值。設定後，就無法在所選項目以外的任何其他區域、多區域或位置建立資源。如要查看可受資源位置組織政策限制約束的資源清單，請參閱「資源位置支援的服務」，因為部分資源可能超出範圍，無法限制。

如果將這個值變更為較寬鬆的設定，可能會允許在符合規範的資料邊界外建立或儲存資料，進而破壞資料落地。
gcp.restrictNonCmekServices 設為所有範圍內 API 服務名稱的清單，包括：
  • bigquerydatatransfer.googleapis.com
上述各項服務的部分功能可能會受到影響。

列出的每項服務都必須使用客戶自行管理的加密金鑰 (CMEK)。CMEK 會使用您管理的金鑰加密靜態資料，而非 Google 的預設加密機制。

如果從清單中移除一或多項適用範圍內的服務，可能會破壞資料主權，因為新的靜態資料會自動使用 Google 自己的金鑰加密，而非您的金鑰。現有的靜態資料仍會以您提供的金鑰加密。
gcp.restrictServiceUsage 設為允許所有支援的產品和 API 端點。

限制執行階段對資源的存取權，決定可使用的服務。詳情請參閱「限制資源用量」。
gcp.restrictTLSVersion 設為拒絕下列 TLS 版本：
  • TLS_1_0
  • TLS_1_1
詳情請參閱「限制 TLS 版本」。

BigQuery

受影響的 BigQuery 功能

功能 說明
為新資料夾啟用 BigQuery 系統支援 BigQuery，但由於內部設定程序，建立新的 Assured Workloads 資料夾時，不會自動啟用 BigQuery。這項程序通常會在十分鐘內完成，但有時可能需要更久。如要確認程序是否完成並啟用 BigQuery，請完成下列步驟：
  1. 前往 Google Cloud 控制台的「Assured Workloads」頁面。

    前往「Assured Workloads」

  2. 從清單中選取新的 Assured Workloads 資料夾。
  3. 在「Folder Details」(資料夾詳細資料) 頁面的「Allowed services」(允許的服務) 區段中，按一下「Review Available Updates」(查看可用的更新)。
  4. 在「Allowed services」(允許的服務) 窗格中，查看要新增至資料夾「Resource Usage Restriction」(資源用量限制) 組織政策的服務。如果畫面上列出 BigQuery 服務，請按一下「Allow Services」(允許服務) 加以新增。

    如果畫面上未列出 BigQuery 服務，請等待內部程序完成。如果建立資料夾後 12 小時內未列出服務，請與 Cloud Customer Care 聯絡。

啟用程序完成後，您就可以在 Assured Workloads 資料夾中使用 BigQuery。

Assured Workloads 不支援 Gemini in BigQuery。
不支援的功能 BigQuery CLI 不支援下列 BigQuery 功能，請勿使用。您有責任避免在 Assured Workloads 的 BigQuery 中使用這些功能。
BigQuery CLI 支援 BigQuery CLI。
Google Cloud SDK 您必須使用 Google Cloud SDK 403.0.0 以上版本，才能確保技術資料符合資料區域化規定。如要驗證目前的 Google Cloud SDK 版本，請執行 gcloud --version，然後執行 gcloud components update，更新至最新版本。
管理員控制項 BigQuery 會停用不支援的 API，但具備建立 Assured Workloads 資料夾權限的管理員可以啟用不支援的 API。如果發生這種情況，系統會透過 Assured Workloads 監控資訊主頁通知您可能不符合法規。
正在載入資料 不支援 Google 軟體式服務 (SaaS) 應用程式、外部雲端儲存空間供應商和資料倉儲的 BigQuery 資料移轉服務連接器。您有責任不將 BigQuery 資料移轉服務連接器用於 IRS 1075 工作負載的資料邊界。
第三方轉移 BigQuery 不會驗證 BigQuery 資料移轉服務是否支援第三方移轉作業。使用任何第三方移轉服務，將資料移轉至 BigQuery 資料移轉服務時，您有責任確認該服務是否支援。
不符規定的 BQML 模型 不支援在外部訓練的 BQML 模型。
查詢工作 查詢工作只能在 Assured Workloads 資料夾中建立。
查詢其他專案中的資料集 BigQuery 不會阻止非 Assured Workloads 專案查詢 Assured Workloads 資料集。請務必將讀取或彙整 Assured Workloads 資料的查詢，放在 Assured Workloads 資料夾中。您可以在 BigQuery CLI 中使用 projectname.dataset.table，為查詢結果指定完整資料表名稱。
Cloud Logging BigQuery 會使用 Cloud Logging 處理部分記錄資料。您應停用 _default 記錄檔 bucket，或將 _default bucket 限制在範圍內的區域，以使用下列指令維持法規遵循：

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

詳情請參閱「將記錄檔區域化」。

Cloud Run functions

Cloud Run functions 組織政策限制

組織政策限制 說明
cloudfunctions.restrictAllowedGenerations 設為拒絕下列 Cloud Run functions 世代，可用於建立新的 Cloud Run functions 資源：
  • 1stGen
詳情請參閱「依產品版本限制新部署作業」。

Cloud Interconnect

受影響的 Cloud Interconnect 功能

功能 說明
高可用性 (HA) VPN 搭配使用 Cloud Interconnect 和 Cloud VPN 時，必須啟用高可用性 (HA) VPN 功能。此外，您必須遵守「受影響的 Cloud VPN 功能」一節列出的加密和區域化規定。

Cloud KMS

Cloud KMS 組織政策限制

組織政策限制 說明

Cloud Logging

受影響的 Cloud Logging 功能

功能 說明
記錄檔接收器 篩選器不應包含顧客數位資料。

記錄檔接收器包含篩選器，這些篩選器會儲存為設定。請勿建立含有顧客數位資料的篩選器。
即時追蹤記錄項目 篩選器不應包含顧客數位資料。

即時追蹤工作階段包含篩選器，會儲存為設定。追蹤記錄不會儲存任何記錄項目資料，但可以跨區域查詢及傳輸資料。請勿建立含有客戶資料的篩選器。
以 SQL 為基礎的警告政策 這項功能已停用。

您無法使用 SQL 警告政策功能。

Cloud Monitoring

受影響的 Cloud Monitoring 功能

功能 說明
綜合監控 這項功能已停用。
運作時間檢查 這項功能已停用。

Cloud Run

受影響的 Cloud Run 功能

功能 說明
不支援的功能 不支援下列 Cloud Run 功能：

Cloud VPN

受影響的 Cloud VPN 功能

功能 說明
VPN 端點 您只能使用位於適用區域的 Cloud VPN 端點。請確認 VPN 閘道僅設為在適用範圍內的區域使用。

Compute Engine

受影響的 Compute Engine 功能

功能 說明
將執行個體群組新增至全域負載平衡器 您無法將執行個體群組新增至全域負載平衡器。

這項功能已由 compute.disableGlobalLoadBalancing 組織政策限制停用。
訪客環境 客體環境隨附的指令碼、Daemon 和二進位檔，可能會存取未加密的靜態和使用中資料。視 VM 設定而定，系統可能會預設安裝這項軟體的更新。如要進一步瞭解各套件的內容、原始碼等，請參閱「訪客環境」。

這些元件可協助您透過內部安全控管機制和程序，滿足資料主權需求。不過，如要進一步控管，您也可以自行挑選圖片或代理程式，並視需要使用 compute.trustedImageProjects 組織政策限制。

詳情請參閱「建構自訂映像檔」。
VM 管理員 中的 OS 政策 OS 政策檔案中的內嵌指令碼和二進位輸出檔案，並非使用客戶自行管理的加密金鑰 (CMEK) 加密。請勿在這些檔案中加入任何機密資訊。建議將這些指令碼和輸出檔案儲存在 Cloud Storage bucket。詳情請參閱「OS 政策範例」。

如要限制建立或修改使用內嵌指令碼或二進位輸出檔案的 OS 政策資源，請啟用 constraints/osconfig.restrictInlineScriptAndOutputFileUsage 組織政策限制。

詳情請參閱「OS Config 的限制」。

Compute Engine 組織政策限制

組織政策限制 說明
compute.disableGlobalCloudArmorPolicy 設為「True」。

停用建立新的全域 Google Cloud Armor 安全性政策，以及新增或修改現有全域 Google Cloud Armor 安全性政策規則的功能。這項限制未禁止移除規則，或者移除、描述或列出全域 Google Cloud Armor 安全性政策。區域性 Google Cloud Armor 安全性政策不受此限制影響。在此限制強制執行前已存在的全域和區域性安全性政策將繼續生效。
compute.disableGlobalLoadBalancing 設為「True」。

停用建立全域負載平衡產品的功能。

變更這個值可能會影響工作負載的資料落地或資料主權。
compute.requireOsConfig 設為「True」。

在所有新專案上啟用 VM 管理員 (OS 設定)。新專案中的所有 VM 執行個體也都會啟用 VM 管理員。
compute.restrictNonConfidentialComputing

 (選用) 未設定值。設定這個值可提供額外的縱深防禦。詳情請參閱 Confidential VM 說明文件。
compute.trustedImageProjects

 (選用) 未設定值。設定這個值，即可提供額外的縱深防禦。

設定這個值後，映像檔儲存空間和磁碟例項化作業就會限制在指定的專案清單中。這個值會禁止使用任何未經授權的映像檔或代理，進而影響資料主權。

Knowledge Catalog

Knowledge Catalog 功能

功能 說明
屬性儲存庫 這項功能已淘汰並停用。
Data Catalog 這項功能已淘汰並停用。您無法在 Data Catalog 中搜尋或管理中繼資料。
湖泊和可用區 這項功能已停用。無法管理湖泊、可用區和工作。

Gemini Enterprise

Gemini Enterprise 功能

功能 說明
以企業適用的網路內容建立基準 Gemini Enterprise 支援企業版網路基準建立功能。

Speech-to-Text

受影響的 Speech-to-Text 功能

功能 說明
自訂 Speech-to-Text 模型 您有責任不使用自訂 Speech-to-Text 模型，因為這些模型不符合 IRS 1075 的資料邊界規定。

Vertex AI

Vertex AI 組織政策限制

組織政策限制 說明
vertexai.allowOnlyAllCompliantAPIs 設為「True」。

限制 Vertex AI 要求，只能傳送至符合下列條件的服務和端點：滿足 IRS 1075 資料邊界的基準法規遵循和資料邊界規定。

後續步驟