Data Boundary per l'International Traffic in Arms Regulations (ITAR)

Importante: prima di seguire le indicazioni riportate in questa pagina, devi richiedere una consulenza legale indipendente in merito alle tue responsabilità ai sensi dell'ITAR. Nessuna parte di questo documento è intesa a fornirti o deve essere utilizzata come sostituto di una consulenza legale.

Questa pagina descrive l'insieme di controlli applicati ai carichi di lavoro ITAR in Assured Workloads. Fornisce informazioni dettagliate su residenza dei dati, prodotti Google Cloud supportati e relativi endpoint API e su eventuali limitazioni o restrizioni applicabili a questi prodotti. Le seguenti informazioni aggiuntive si applicano all'ITAR:

• Residenza dei dati: il pacchetto di controlli ITAR imposta i controlli della località dei dati per supportare solo le regioni degli Stati Uniti. Per saperne di più, consulta la sezione Vincoli delle policy dell'organizzazione a livello diGoogle Cloud.
• Assistenza: i servizi di assistenza tecnica per i carichi di lavoro ITAR sono disponibili con gli abbonamenti all'assistenza clienti Google Cloud Premium o Avanzata. Le richieste di assistenza per i workload ITAR vengono indirizzate a soggetti statunitensi con sede negli Stati Uniti. Per saperne di più, consulta Richiedere assistenza.
• Prezzi: il pacchetto di controlli ITAR è incluso nel livello Premium di Assured Workloads, che comporta un costo aggiuntivo del 20%. Per ulteriori informazioni, consulta la pagina relativa ai prezzi di Assured Workloads.

Prerequisiti

Per rimanere conforme come utente del pacchetto di controllo ITAR, verifica di soddisfare e rispettare i seguenti prerequisiti:

• Crea una cartella ITAR utilizzando Assured Workloads e implementa i tuoi workload ITAR solo in questa cartella.
• Attiva e utilizza solo i servizi ITAR inclusi nell'ambito per i carichi di lavoro ITAR.
• Non utilizzare i server MCP di Google Cloud se non diversamente indicato. L'ITAR non fornisce controlli di residenza dei dati per i dati in uso e in transito con i server Google Cloud MCP. Per bloccare l'accesso ai server MCP di Google Cloud indesiderati, consulta la pagina Controllare l'utilizzo dei server MCP di Google Cloud con IAM.
• Non modificare i valori predefiniti del vincolo dei criteri dell'organizzazione, a meno che tu non comprenda e non voglia accettare i rischi di residenza dei dati che potrebbero verificarsi.
• Quando accedi alla console Google Cloud per i carichi di lavoro ITAR, devi utilizzare uno dei seguenti URL della console Google Cloud giurisdizionale:
  • console.us.cloud.google.com
  • console.us.cloud.google per gli utenti con identità federata
• Quando ti connetti agli endpoint di servizio Google Cloud , devi utilizzare endpoint regionali per i servizi che li offrono. Inoltre:
  • Quando ti connetti agli endpoint di servizio Google Cloud da VM nonGoogle Cloud, ad esempio VM on-premise o di altri provider cloud, devi utilizzare una delle opzioni di accesso privato disponibili che supportano le connessioni a VM nonGoogle Cloud per instradare il traffico nonGoogle Cloud in Google Cloud.
  • Quando ti connetti agli Google Cloud endpoint di servizio dalle Google Cloud VM, puoi utilizzare una delle opzioni di accesso privato disponibili.
  • Quando ti connetti alle VM Google Cloud che sono state esposte con indirizzi IP esterni, consulta Accedere alle API dalle VM con indirizzi IP esterni.
• Per tutti i servizi utilizzati in una cartella ITAR, non archiviare dati tecnici nei seguenti tipi di informazioni di configurazione di sicurezza o definiti dall'utente:
  • Messaggi di errore
  • Output console
  • Dati degli attributi
  • Dati di configurazione del servizio
  • Intestazioni dei pacchetti di rete
  • Identificatori di risorse
  • Etichette dati
• Utilizza solo gli endpoint regionali specificati per i servizi che li offrono. Per maggiori informazioni, consulta Servizi ITAR inclusi nell'ambito.
• Valuta la possibilità di adottare le best practice generali per la sicurezza fornite nel Google Cloud Centro best practice per la sicurezza.

Prodotti ed endpoint API supportati

Se non diversamente indicato, gli utenti possono accedere a tutti i prodotti supportati tramite la console Google Cloud . Le limitazioni che interessano le funzionalità di un prodotto supportato, incluse quelle applicate tramite le impostazioni dei vincoli delle policy dell'organizzazione, sono elencate nella tabella seguente.

Se un prodotto non è elencato, non è supportato e non soddisfa i requisiti di controllo dell'ITAR. L'utilizzo di prodotti non supportati non è consigliato senza la dovuta diligenza e una comprensione approfondita delle tue responsabilità nel modello di responsabilità condivisa. Prima di utilizzare un prodotto non supportato, assicurati di essere a conoscenza e di voler accettare eventuali rischi associati, come impatti negativi sulla residenza dei dati o sulla sovranità dei dati.

Nota: i prodotti non supportati potrebbero condividere un endpoint di servizio API con i prodotti supportati, rendendoli disponibili a tutti gli utenti.

Importante: i server Google Cloud MCP non sono supportati per i prodotti ITAR, se non diversamente indicato. L'ITAR non fornisce controlli di residenza dei dati per i dati in uso e in transito con i server Google Cloud MCP. È tua responsabilità assicurarti che gli endpoint dei server MCP di Google Cloud non vengano utilizzati con prodotti ITAR. Per bloccare l'accesso indesiderato ai server MCP di Google Cloud, consulta la pagina Controllare l'utilizzo dei server MCP di Google Cloud con IAM.

I servizi che interagiscono con i dati dei clienti nelle loro operazioni API forniscono endpoint API regionali. Utilizza questi endpoint anziché l'endpoint API globale del servizio per mantenere la conformità all'ITAR. Per i servizi le cui operazioni API non sono destinate a interagire con i dati dei clienti, sono disponibili endpoint API globali. È tua responsabilità assicurarti di non trasmettere dati tecnici regolamentati dall'ITAR tramite questi endpoint API globali. Per saperne di più su dati dei clienti e dati dei servizi, consulta Residenza dei dati.

Prodotti supportati con endpoint API regionali

Nella tabella seguente è riportato un elenco dei prodotti supportati e dei relativi endpoint API regionali. Questi endpoint API sono progettati per elaborare e trasmettere i dati dei clienti. Per supportare i requisiti di conformità ITAR quando utilizzi questi prodotti, devi utilizzare un endpoint API regionale disponibile anziché un endpoint API globale.

Prodotto supportato	Endpoint API regionali	Restrizioni o limitazioni
AlloyDB per PostgreSQL	alloydb.us-central1.rep.googleapis.com alloydb.us-central2.rep.googleapis.com alloydb.us-east1.rep.googleapis.com alloydb.us-east4.rep.googleapis.com alloydb.us-east5.rep.googleapis.com alloydb.us-east7.rep.googleapis.com alloydb.us-south1.rep.googleapis.com alloydb.us-west1.rep.googleapis.com alloydb.us-west2.rep.googleapis.com alloydb.us-west3.rep.googleapis.com alloydb.us-west4.rep.googleapis.com	Nessuno
Apigee	apigee.us.rep.googleapis.com	Nessuno
Artifact Analysis	containeranalysis.us.rep.googleapis.com containeranalysis.us-central1.rep.googleapis.com containeranalysis.us-central2.rep.googleapis.com containeranalysis.us-east1.rep.googleapis.com containeranalysis.us-east4.rep.googleapis.com containeranalysis.us-east5.rep.googleapis.com containeranalysis.us-east7.rep.googleapis.com containeranalysis.us-south1.rep.googleapis.com containeranalysis.us-west1.rep.googleapis.com containeranalysis.us-west2.rep.googleapis.com containeranalysis.us-west3.rep.googleapis.com containeranalysis.us-west4.rep.googleapis.com	Nessuno
Artifact Registry	artifactregistry.us.rep.googleapis.com artifactregistry.us-central1.rep.googleapis.com artifactregistry.us-central2.rep.googleapis.com artifactregistry.us-east1.rep.googleapis.com artifactregistry.us-east4.rep.googleapis.com artifactregistry.us-east5.rep.googleapis.com artifactregistry.us-east7.rep.googleapis.com artifactregistry.us-south1.rep.googleapis.com artifactregistry.us-west1.rep.googleapis.com artifactregistry.us-west2.rep.googleapis.com artifactregistry.us-west3.rep.googleapis.com artifactregistry.us-west4.rep.googleapis.com artifactregistry.us-west8.rep.googleapis.com	Nessuno
Servizio di backup e DR	backupdr.us.rep.googleapis.com backupdr.us-central1.rep.googleapis.com backupdr.us-central2.rep.googleapis.com backupdr.us-east1.rep.googleapis.com backupdr.us-east4.rep.googleapis.com backupdr.us-east5.rep.googleapis.com backupdr.us-east7.rep.googleapis.com backupdr.us-south1.rep.googleapis.com backupdr.us-west1.rep.googleapis.com backupdr.us-west2.rep.googleapis.com backupdr.us-west3.rep.googleapis.com backupdr.us-west4.rep.googleapis.com backupdr.us-west8.rep.googleapis.com	Nessuno
Backup per Google Kubernetes Engine (GKE)	gkebackup.us-central1.rep.googleapis.com gkebackup.us-east1.rep.googleapis.com gkebackup.us-east4.rep.googleapis.com gkebackup.us-east5.rep.googleapis.com gkebackup.us-east7.rep.googleapis.com gkebackup.us-south1.rep.googleapis.com gkebackup.us-west1.rep.googleapis.com gkebackup.us-west2.rep.googleapis.com gkebackup.us-west3.rep.googleapis.com gkebackup.us-west4.rep.googleapis.com gkebackup.us-west8.rep.googleapis.com	Nessuno
BigQuery	bigquery.us-central1.rep.googleapis.com bigquery.us-central2.rep.googleapis.com bigquery.us-east1.rep.googleapis.com bigquery.us-east4.rep.googleapis.com bigquery.us-east5.rep.googleapis.com bigquery.us-east7.rep.googleapis.com bigquery.us-south1.rep.googleapis.com bigquery.us-west1.rep.googleapis.com bigquery.us-west2.rep.googleapis.com bigquery.us-west3.rep.googleapis.com bigquery.us-west4.rep.googleapis.com bigquery.us-west8.rep.googleapis.com bigquerymigration.us-central1.rep.googleapis.com bigquerymigration.us-central2.rep.googleapis.com bigquerymigration.us-east1.rep.googleapis.com bigquerymigration.us-east4.rep.googleapis.com bigquerymigration.us-east5.rep.googleapis.com bigquerymigration.us-east7.rep.googleapis.com bigquerymigration.us-south1.rep.googleapis.com bigquerymigration.us-west1.rep.googleapis.com bigquerymigration.us-west2.rep.googleapis.com bigquerymigration.us-west3.rep.googleapis.com bigquerymigration.us-west4.rep.googleapis.com bigquerymigration.us-west8.rep.googleapis.com bigqueryreservation.us-central1.rep.googleapis.com bigqueryreservation.us-central2.rep.googleapis.com bigqueryreservation.us-east1.rep.googleapis.com bigqueryreservation.us-east4.rep.googleapis.com bigqueryreservation.us-east5.rep.googleapis.com bigqueryreservation.us-east7.rep.googleapis.com bigqueryreservation.us-south1.rep.googleapis.com bigqueryreservation.us-west1.rep.googleapis.com bigqueryreservation.us-west2.rep.googleapis.com bigqueryreservation.us-west3.rep.googleapis.com bigqueryreservation.us-west4.rep.googleapis.com bigqueryreservation.us-west8.rep.googleapis.com bigquerystorage.us-central1.rep.googleapis.com bigquerystorage.us-central2.rep.googleapis.com bigquerystorage.us-east1.rep.googleapis.com bigquerystorage.us-east4.rep.googleapis.com bigquerystorage.us-east5.rep.googleapis.com bigquerystorage.us-east7.rep.googleapis.com bigquerystorage.us-south1.rep.googleapis.com bigquerystorage.us-west1.rep.googleapis.com bigquerystorage.us-west2.rep.googleapis.com bigquerystorage.us-west3.rep.googleapis.com bigquerystorage.us-west4.rep.googleapis.com bigquerystorage.us-west8.rep.googleapis.com	Funzionalità interessate
BigQuery Data Transfer Service	bigquerydatatransfer.us-central1.rep.googleapis.com bigquerydatatransfer.us-central2.rep.googleapis.com bigquerydatatransfer.us-east1.rep.googleapis.com bigquerydatatransfer.us-east4.rep.googleapis.com bigquerydatatransfer.us-east5.rep.googleapis.com bigquerydatatransfer.us-east7.rep.googleapis.com bigquerydatatransfer.us-south1.rep.googleapis.com bigquerydatatransfer.us-west1.rep.googleapis.com bigquerydatatransfer.us-west2.rep.googleapis.com bigquerydatatransfer.us-west3.rep.googleapis.com bigquerydatatransfer.us-west4.rep.googleapis.com bigquerydatatransfer.us-west8.rep.googleapis.com	Nessuno
Bigtable	bigtable.us-central1.rep.googleapis.com bigtable.us-central2.rep.googleapis.com bigtable.us-east1.rep.googleapis.com bigtable.us-east4.rep.googleapis.com bigtable.us-east5.rep.googleapis.com bigtable.us-east7.rep.googleapis.com bigtable.us-south1.rep.googleapis.com bigtable.us-west1.rep.googleapis.com bigtable.us-west2.rep.googleapis.com bigtable.us-west3.rep.googleapis.com bigtable.us-west4.rep.googleapis.com bigtable.us-west8.rep.googleapis.com	Nessuno
Cloud Build	cloudbuild.us-central1.rep.googleapis.com cloudbuild.us-central2.rep.googleapis.com cloudbuild.us-east1.rep.googleapis.com cloudbuild.us-east4.rep.googleapis.com cloudbuild.us-east5.rep.googleapis.com cloudbuild.us-east7.rep.googleapis.com cloudbuild.us-south1.rep.googleapis.com cloudbuild.us-west1.rep.googleapis.com cloudbuild.us-west2.rep.googleapis.com cloudbuild.us-west3.rep.googleapis.com cloudbuild.us-west4.rep.googleapis.com cloudbuild.us-west8.rep.googleapis.com	Nessuno
Cloud Deploy	clouddeploy.us-central1.rep.googleapis.com clouddeploy.us-east1.rep.googleapis.com clouddeploy.us-east4.rep.googleapis.com clouddeploy.us-east5.rep.googleapis.com clouddeploy.us-east7.rep.googleapis.com clouddeploy.us-south1.rep.googleapis.com clouddeploy.us-west1.rep.googleapis.com clouddeploy.us-west2.rep.googleapis.com clouddeploy.us-west3.rep.googleapis.com clouddeploy.us-west4.rep.googleapis.com	Nessuno
Cloud External Key Manager (Cloud EKM)	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nessuno
Cloud HSM	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nessuno
Cloud Interconnect	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud Key Management Service (Cloud KMS)	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nessuno
Cloud Load Balancing	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud Logging	logging.us.rep.googleapis.com logging.us-central1.rep.googleapis.com logging.us-central2.rep.googleapis.com logging.us-east1.rep.googleapis.com logging.us-east4.rep.googleapis.com logging.us-east5.rep.googleapis.com logging.us-east7.rep.googleapis.com logging.us-south1.rep.googleapis.com logging.us-west1.rep.googleapis.com logging.us-west2.rep.googleapis.com logging.us-west3.rep.googleapis.com logging.us-west4.rep.googleapis.com logging.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud NAT	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud Router	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud Run	run.us-central1.rep.googleapis.com run.us-central2.rep.googleapis.com run.us-east1.rep.googleapis.com run.us-east4.rep.googleapis.com run.us-east5.rep.googleapis.com run.us-east7.rep.googleapis.com run.us-south1.rep.googleapis.com run.us-west1.rep.googleapis.com run.us-west2.rep.googleapis.com run.us-west3.rep.googleapis.com run.us-west4.rep.googleapis.com run.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud SQL	sqladmin.us-central1.rep.googleapis.com sqladmin.us-central2.rep.googleapis.com sqladmin.us-east1.rep.googleapis.com sqladmin.us-east4.rep.googleapis.com sqladmin.us-east5.rep.googleapis.com sqladmin.us-east7.rep.googleapis.com sqladmin.us-south1.rep.googleapis.com sqladmin.us-west1.rep.googleapis.com sqladmin.us-west2.rep.googleapis.com sqladmin.us-west3.rep.googleapis.com sqladmin.us-west4.rep.googleapis.com sqladmin.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud Service Mesh	trafficdirector.us-central1.rep.googleapis.com trafficdirector.us-central2.rep.googleapis.com trafficdirector.us-east1.rep.googleapis.com trafficdirector.us-east4.rep.googleapis.com trafficdirector.us-east5.rep.googleapis.com trafficdirector.us-east7.rep.googleapis.com trafficdirector.us-south1.rep.googleapis.com trafficdirector.us-west1.rep.googleapis.com trafficdirector.us-west2.rep.googleapis.com trafficdirector.us-west3.rep.googleapis.com trafficdirector.us-west4.rep.googleapis.com trafficdirector.us-west8.rep.googleapis.com	Nessuno
Spanner	spanner.us.rep.googleapis.com spanner.us-central1.rep.googleapis.com spanner.us-central2.rep.googleapis.com spanner.us-east1.rep.googleapis.com spanner.us-east4.rep.googleapis.com spanner.us-east5.rep.googleapis.com spanner.us-east7.rep.googleapis.com spanner.us-south1.rep.googleapis.com spanner.us-west1.rep.googleapis.com spanner.us-west2.rep.googleapis.com spanner.us-west3.rep.googleapis.com spanner.us-west4.rep.googleapis.com spanner.us-west8.rep.googleapis.com	Funzionalità interessate e vincoli delle policy dell'organizzazione
Cloud Storage	storage.us.rep.googleapis.com storage.us-central1.rep.googleapis.com storage.us-central2.rep.googleapis.com storage.us-east1.rep.googleapis.com storage.us-east4.rep.googleapis.com storage.us-east5.rep.googleapis.com storage.us-east7.rep.googleapis.com storage.us-south1.rep.googleapis.com storage.us-west1.rep.googleapis.com storage.us-west2.rep.googleapis.com storage.us-west3.rep.googleapis.com storage.us-west4.rep.googleapis.com storage.us-west8.rep.googleapis.com	Funzionalità interessate
Cloud VPN	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate
Compute Engine	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate e vincoli delle policy dell'organizzazione
Dataflow	dataflow.us-central1.rep.googleapis.com dataflow.us-central2.rep.googleapis.com dataflow.us-east1.rep.googleapis.com dataflow.us-east4.rep.googleapis.com dataflow.us-east5.rep.googleapis.com dataflow.us-east7.rep.googleapis.com dataflow.us-south1.rep.googleapis.com dataflow.us-west1.rep.googleapis.com dataflow.us-west2.rep.googleapis.com dataflow.us-west3.rep.googleapis.com dataflow.us-west4.rep.googleapis.com dataflow.us-west8.rep.googleapis.com	Nessuno
Eventarc	eventarc.us.rep.googleapis.com eventarc.us-central1.rep.googleapis.com eventarc.us-central2.rep.googleapis.com eventarc.us-east1.rep.googleapis.com eventarc.us-east4.rep.googleapis.com eventarc.us-east5.rep.googleapis.com eventarc.us-east7.rep.googleapis.com eventarc.us-south1.rep.googleapis.com eventarc.us-west1.rep.googleapis.com eventarc.us-west2.rep.googleapis.com eventarc.us-west3.rep.googleapis.com eventarc.us-west4.rep.googleapis.com eventarc.us-west8.rep.googleapis.com	Nessuno
Bilanciatore del carico di rete passthrough esterno	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nessuno
Filestore	file.us-central1.rep.googleapis.com file.us-central2.rep.googleapis.com file.us-east1.rep.googleapis.com file.us-east4.rep.googleapis.com file.us-east5.rep.googleapis.com file.us-east7.rep.googleapis.com file.us-south1.rep.googleapis.com file.us-west1.rep.googleapis.com file.us-west2.rep.googleapis.com file.us-west3.rep.googleapis.com file.us-west4.rep.googleapis.com file.us-west8.rep.googleapis.com	Nessuno
Firestore	firestore.us.rep.googleapis.com firestore.us-central1.rep.googleapis.com firestore.us-east1.rep.googleapis.com firestore.us-east4.rep.googleapis.com firestore.us-east5.rep.googleapis.com firestore.us-east7.rep.googleapis.com firestore.us-south1.rep.googleapis.com firestore.us-west1.rep.googleapis.com firestore.us-west2.rep.googleapis.com firestore.us-west3.rep.googleapis.com firestore.us-west4.rep.googleapis.com firestore.us-west8.rep.googleapis.com	Nessuno
Hub Google Kubernetes Engine (GKE) (flotte)	gkehub.us-central1.rep.googleapis.com gkehub.us-central2.rep.googleapis.com gkehub.us-east1.rep.googleapis.com gkehub.us-east4.rep.googleapis.com gkehub.us-east5.rep.googleapis.com gkehub.us-east7.rep.googleapis.com gkehub.us-south1.rep.googleapis.com gkehub.us-west1.rep.googleapis.com gkehub.us-west2.rep.googleapis.com gkehub.us-west3.rep.googleapis.com gkehub.us-west4.rep.googleapis.com gkehub.us-west8.rep.googleapis.com	Nessuno
AI generativa su Vertex AI	aiplatform.us.rep.googleapis.com	Vincoli delle policy dell'organizzazione
Google Cloud Armor	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate
Google Cloud Managed Service per Apache Kafka	managedkafka.us-central1.rep.googleapis.com managedkafka.us-east1.rep.googleapis.com managedkafka.us-east4.rep.googleapis.com managedkafka.us-east5.rep.googleapis.com managedkafka.us-east7.rep.googleapis.com managedkafka.us-south1.rep.googleapis.com managedkafka.us-west1.rep.googleapis.com managedkafka.us-west2.rep.googleapis.com managedkafka.us-west3.rep.googleapis.com managedkafka.us-west4.rep.googleapis.com	Nessuno
Bilanciatore del carico di rete passthrough interno	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nessuno
Key Access Justifications	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nessuno
Knowledge Catalog	dataplex.us.rep.googleapis.com dataplex.us-central1.rep.googleapis.com dataplex.us-central2.rep.googleapis.com dataplex.us-east1.rep.googleapis.com dataplex.us-east4.rep.googleapis.com dataplex.us-east5.rep.googleapis.com dataplex.us-east7.rep.googleapis.com dataplex.us-south1.rep.googleapis.com dataplex.us-west1.rep.googleapis.com dataplex.us-west2.rep.googleapis.com dataplex.us-west3.rep.googleapis.com dataplex.us-west4.rep.googleapis.com dataplex.us-west8.rep.googleapis.com datalineage.us.rep.googleapis.com datalineage.us-central1.rep.googleapis.com datalineage.us-central2.rep.googleapis.com datalineage.us-east1.rep.googleapis.com datalineage.us-east4.rep.googleapis.com datalineage.us-east5.rep.googleapis.com datalineage.us-east7.rep.googleapis.com datalineage.us-south1.rep.googleapis.com datalineage.us-west1.rep.googleapis.com datalineage.us-west2.rep.googleapis.com datalineage.us-west3.rep.googleapis.com datalineage.us-west4.rep.googleapis.com	Funzionalità interessate
Managed Service for Apache Airflow	composer.us-central1.rep.googleapis.com composer.us-east1.rep.googleapis.com composer.us-east4.rep.googleapis.com composer.us-east5.rep.googleapis.com composer.us-east7.rep.googleapis.com composer.us-south1.rep.googleapis.com composer.us-west1.rep.googleapis.com composer.us-west2.rep.googleapis.com composer.us-west3.rep.googleapis.com composer.us-west4.rep.googleapis.com	Nessuno
Managed Service for Apache Spark	dataproc-control.us-central1.rep.googleapis.com dataproc-control.us-central2.rep.googleapis.com dataproc-control.us-east1.rep.googleapis.com dataproc-control.us-east4.rep.googleapis.com dataproc-control.us-east5.rep.googleapis.com dataproc-control.us-east7.rep.googleapis.com dataproc-control.us-south1.rep.googleapis.com dataproc-control.us-west1.rep.googleapis.com dataproc-control.us-west2.rep.googleapis.com dataproc-control.us-west3.rep.googleapis.com dataproc-control.us-west4.rep.googleapis.com dataproc-control.us-west8.rep.googleapis.com dataproc.us-central1.rep.googleapis.com dataproc.us-central2.rep.googleapis.com dataproc.us-east1.rep.googleapis.com dataproc.us-east4.rep.googleapis.com dataproc.us-east5.rep.googleapis.com dataproc.us-east7.rep.googleapis.com dataproc.us-south1.rep.googleapis.com dataproc.us-west1.rep.googleapis.com dataproc.us-west2.rep.googleapis.com dataproc.us-west3.rep.googleapis.com dataproc.us-west4.rep.googleapis.com dataproc.us-west8.rep.googleapis.com	Nessuno
Memorystore for Redis	redis.us-central1.rep.googleapis.com redis.us-central2.rep.googleapis.com redis.us-east1.rep.googleapis.com redis.us-east4.rep.googleapis.com redis.us-east5.rep.googleapis.com redis.us-east7.rep.googleapis.com redis.us-south1.rep.googleapis.com redis.us-west1.rep.googleapis.com redis.us-west2.rep.googleapis.com redis.us-west3.rep.googleapis.com redis.us-west4.rep.googleapis.com redis.us-west8.rep.googleapis.com	Nessuno
Persistent Disk	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nessuno
Pub/Sub	pubsub.us-central1.rep.googleapis.com pubsub.us-central2.rep.googleapis.com pubsub.us-east1.rep.googleapis.com pubsub.us-east4.rep.googleapis.com pubsub.us-east5.rep.googleapis.com pubsub.us-east7.rep.googleapis.com pubsub.us-south1.rep.googleapis.com pubsub.us-west1.rep.googleapis.com pubsub.us-west2.rep.googleapis.com pubsub.us-west3.rep.googleapis.com pubsub.us-west4.rep.googleapis.com pubsub.us-west8.rep.googleapis.com	Vincoli delle policy dell'organizzazione
Bilanciatore del carico delle applicazioni esterno regionale	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nessuno
Bilanciatore del carico di rete proxy esterno regionale	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nessuno
Bilanciatore del carico delle applicazioni interno regionale	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nessuno
Bilanciatore del carico di rete proxy interno regionale	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nessuno
Secret Manager	secretmanager.us.rep.googleapis.com secretmanager.us-central1.rep.googleapis.com secretmanager.us-central2.rep.googleapis.com secretmanager.us-east1.rep.googleapis.com secretmanager.us-east4.rep.googleapis.com secretmanager.us-east5.rep.googleapis.com secretmanager.us-east7.rep.googleapis.com secretmanager.us-south1.rep.googleapis.com secretmanager.us-west1.rep.googleapis.com secretmanager.us-west2.rep.googleapis.com secretmanager.us-west3.rep.googleapis.com secretmanager.us-west4.rep.googleapis.com	Nessuno
Secure Source Manager	securesourcemanager.us-central1.rep.googleapis.com securesourcemanager.us-east1.rep.googleapis.com securesourcemanager.us-east4.rep.googleapis.com securesourcemanager.us-east7.rep.googleapis.com securesourcemanager.us-west2.rep.googleapis.com	Nessuno
Security Command Center Premium	securitycenter.us.rep.googleapis.com	Funzionalità interessate
Sensitive Data Protection	dlp.us.rep.googleapis.com dlp.us-central1.rep.googleapis.com dlp.us-central2.rep.googleapis.com dlp.us-east1.rep.googleapis.com dlp.us-east4.rep.googleapis.com dlp.us-east5.rep.googleapis.com dlp.us-south1.rep.googleapis.com dlp.us-west1.rep.googleapis.com dlp.us-west2.rep.googleapis.com dlp.us-west3.rep.googleapis.com dlp.us-west4.rep.googleapis.com dlp.us-west8.rep.googleapis.com	Nessuno
Service Directory	servicedirectory.us-central1.rep.googleapis.com servicedirectory.us-central2.rep.googleapis.com servicedirectory.us-east1.rep.googleapis.com servicedirectory.us-east4.rep.googleapis.com servicedirectory.us-east5.rep.googleapis.com servicedirectory.us-east7.rep.googleapis.com servicedirectory.us-south1.rep.googleapis.com servicedirectory.us-west1.rep.googleapis.com servicedirectory.us-west2.rep.googleapis.com servicedirectory.us-west3.rep.googleapis.com servicedirectory.us-west4.rep.googleapis.com servicedirectory.us-west8.rep.googleapis.com	Nessuno
Previsione online di Vertex AI	aiplatform.us.rep.googleapis.com	Vincoli delle policy dell'organizzazione
VM Manager	osconfig.us-central1.rep.googleapis.com osconfig.us-central2.rep.googleapis.com osconfig.us-east1.rep.googleapis.com osconfig.us-east4.rep.googleapis.com osconfig.us-east5.rep.googleapis.com osconfig.us-east7.rep.googleapis.com osconfig.us-south1.rep.googleapis.com osconfig.us-west1.rep.googleapis.com osconfig.us-west2.rep.googleapis.com osconfig.us-west3.rep.googleapis.com osconfig.us-west4.rep.googleapis.com osconfig.us-west8.rep.googleapis.com	Nessuno
Virtual Private Cloud (VPC)	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funzionalità interessate

Prodotti supportati con endpoint API globali

Un elenco dei prodotti supportati e dei relativi endpoint API globali è fornito nella tabella seguente. Questi endpoint API globali sono progettati per elaborare i dati del servizio, come dati di configurazione, metadati o identificatori di risorse, e non sono destinati alla gestione dei dati dei clienti. È tua responsabilità assicurarti di non trasmettere dati tecnici regolamentati dall'ITAR tramite questi endpoint API globali.

Prodotto supportato	Endpoint API globali	Restrizioni o limitazioni
Approvazione accesso	accessapproval.googleapis.com	Nessuno
Gestore contesto accesso	accesscontextmanager.googleapis.com	Nessuno
Certificate Authority Service	privateca.googleapis.com	Nessuno
Certificate Manager	certificatemanager.googleapis.com	Nessuno
API Cloud Billing	billingbudgets.googleapis.com cloudbilling.googleapis.com	Nessuno
Cloud DNS	dns.googleapis.com	Funzionalità interessate
Cloud Monitoring	monitoring.googleapis.com	Funzionalità interessate
API Cloud OS Login	oslogin.googleapis.com	Nessuno
Contatti fondamentali	essentialcontacts.googleapis.com	Nessuno
Regole di sicurezza Firebase	firebaserules.googleapis.com	Nessuno
Servizio di identità Google Kubernetes Engine (GKE)	anthosidentityservice.googleapis.com	Nessuno
GKE Image Streaming	containerfilesystem.googleapis.com	Nessuno
Google Kubernetes Engine (GKE)	container.googleapis.com containersecurity.googleapis.com	Funzionalità interessate e vincoli delle policy dell'organizzazione
Identity and Access Management (IAM)	iam.googleapis.com	Nessuno
Identity-Aware Proxy (IAP)	iap.googleapis.com	Nessuno
Console Google Cloud giurisdizionale	Not applicable	Nessuno
Network Connectivity Center	networkconnectivity.googleapis.com	Funzionalità interessate
Servizio policy dell'organizzazione	orgpolicy.googleapis.com	Nessuno
Resource Manager	cloudresourcemanager.googleapis.com	Nessuno
Controlli di servizio VPC	accesscontextmanager.googleapis.com accesscontextintelligence.googleapis.com	Nessuno

Limitazioni e restrizioni

Le sezioni seguenti descrivono le limitazioni o restrizioni a livello di Google Cloudo specifiche per i prodotti per le funzionalità, inclusi i vincoli dei criteri dell'organizzazione impostati per impostazione predefinita nelle cartelle ITAR. Altri vincoli dei criteri dell'organizzazione applicabili, anche se non impostati per impostazione predefinita, possono fornire un'ulteriore difesa in profondità per proteggere ulteriormente le risorse Google Cloud dell'organizzazione.

Ti consigliamo vivamente di non modificare i valori dei vincoli dei criteri dell'organizzazione obbligatori elencati nelle sezioni seguenti. In questo modo, la residenza dei dati potrebbe essere compromessa. Quando viene apportata una modifica di questo tipo, gli effetti della modifica sono difficili o impossibili da invertire. Prima di procedere, assicurati di comprendere le conseguenze della modifica del valore di un vincolo di policy dell'organizzazione.

Inoltre, assicurati che tutti i meccanismi automatizzati utilizzati dalla tua organizzazione per gestire le policy dell'organizzazione vengano aggiornati per impedire la modifica involontaria di questi valori.

Google Cloud-wide

Funzionalità interessate a livello di Google Cloud

Funzionalità	Descrizione
ConsoleGoogle Cloud	Per accedere alla console Google Cloud quando utilizzi il pacchetto di controlli ITAR, devi utilizzare uno dei seguenti URL: console.us.cloud.google.com console.us.cloud.google per gli utenti con identità federata

Vincoli dei criteri dell'organizzazione a livello diGoogle Cloud

I seguenti vincoli delle policy dell'organizzazione si applicano a Google Cloud.

Vincolo delle policy dell'organizzazione	Descrizione
gcp.resourceLocations	Imposta le seguenti località nell'elenco allowedValues: us us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Questo valore limita la creazione di nuove risorse ai valori selezionati. Se impostato, non è possibile creare risorse in altre regioni, multi-regioni o località al di fuori della selezione. Consulta Servizi supportati dalle località delle risorse per un elenco delle risorse che possono essere limitate dal vincolo della policy dell'organizzazione relativa alle località delle risorse, poiché alcune risorse potrebbero essere fuori ambito e non possono essere limitate. La modifica di questo valore rendendolo meno restrittivo potrebbe compromettere la residenza dei dati consentendo la creazione o l'archiviazione di dati al di fuori di un limite di dati conforme.
gcp.restrictCmekCryptoKeyProjects	Impostato su under:organizations/your-organization-name, che è la tua organizzazione Assured Workloads. Puoi limitare ulteriormente questo valore specificando un progetto o una cartella. Limita l'ambito delle cartelle o dei progetti approvati che possono fornire chiavi Cloud KMS per la crittografia dei dati at-rest utilizzando CMEK. Questo vincolo impedisce a cartelle o progetti non approvati di fornire chiavi di crittografia, contribuendo così a garantire la sovranità dei dati per i dati inattivi dei servizi inclusi nell'ambito.
gcp.restrictNonCmekServices	Impostato su un elenco di tutti i nomi di servizio API inclusi nell'ambito, tra cui: bigquery.googleapis.com bigquerydatatransfer.googleapis.com compute.googleapis.com container.googleapis.com storage.googleapis.com Alcune funzionalità potrebbero essere interessate per ciascuno dei servizi elencati sopra. Ogni servizio elencato richiede chiavi di crittografia gestite dal cliente (CMEK). CMEK cripta i dati at-rest con una chiave gestita da te, non con i meccanismi di crittografia predefiniti di Google. La modifica di questo valore rimuovendo uno o più servizi inclusi nell'ambito dell'elenco potrebbe compromettere la sovranità dei dati, perché i nuovi dati inattivi verranno criptati automaticamente utilizzando le chiavi di Google anziché le tue. I dati inattivi esistenti rimarranno criptati con la chiave che hai fornito.
gcp.restrictServiceUsage	Imposta l'opzione per consentire tutti i prodotti e gli endpoint API supportati. Determina quali servizi possono essere utilizzati limitando l'accesso in fase di runtime alle loro risorse. Per maggiori informazioni, vedi Limitazione dell'utilizzo delle risorse.
gcp.restrictTLSVersion	Imposta il rifiuto delle seguenti versioni TLS: TLS_1_0 TLS_1_1 Per saperne di più, consulta Limitare le versioni TLS.

BigQuery

Funzionalità di BigQuery interessate

Funzionalità	Descrizione
Abilitazione di BigQuery in una nuova cartella	BigQuery è supportato, ma non viene abilitato automaticamente quando crei una nuova cartella Assured Workloads a causa di un processo di configurazione interno. Questa procedura normalmente termina in dieci minuti, ma in alcune circostanze può richiedere molto più tempo. Per verificare se la procedura è terminata e per abilitare BigQuery, completa i seguenti passaggi: Nella console Google Cloud , vai alla pagina Assured Workloads. Vai ad Assured Workloads Seleziona la nuova cartella Assured Workloads dall'elenco. Nella pagina Dettagli cartella, nella sezione Servizi consentiti, fai clic su Esamina aggiornamenti disponibili. Nel riquadro Servizi consentiti, esamina i servizi da aggiungere al criterio dell'organizzazione Limita utilizzo servizi delle risorse per la cartella. Se sono elencati i servizi BigQuery, fai clic su Consenti servizi per aggiungerli. Se i servizi BigQuery non sono elencati, attendi il completamento della procedura interna. Se i servizi non sono elencati entro 12 ore dalla creazione della cartella, contatta l'assistenza clienti Google Cloud. Al termine della procedura di attivazione, puoi utilizzare BigQuery nella cartella Assured Workloads. Gemini in BigQuery non è supportato da Assured Workloads.
API BigQuery conformi	Le seguenti API BigQuery sono conformi all'ITAR: bigquery.googleapis.com bigquerydatapolicy.googleapis.com bigqueryconnection.googleapis.com bigquerymigration.googleapis.com bigquerystorage.googleapis.com bigqueryreservation.googleapis.com bigquerydatatransfer.googleapis.com L'API Reservations non è abilitata per impostazione predefinita. Per saperne di più, vedi Abilitazione di un'API nel tuo progetto Google Cloud .
Regioni	BigQuery è conforme all'ITAR per tutte le regioni US di BigQuery, ad eccezione della regione multiregionale degli Stati Uniti. La conformità all'ITAR non può essere garantita se un set di dati viene creato in una multiregione statunitense, in una regione non statunitense o in una multiregione non statunitense. È tua responsabilità specificare una regione conforme all'ITAR quando crei set di dati BigQuery.
Query sui set di dati ITAR da progetti non ITAR	BigQuery non impedisce l'esecuzione di query sui set di dati ITAR da progetti non ITAR. Assicurati che qualsiasi query che utilizzi un'operazione di lettura o di join sui dati tecnici ITAR si trovi in una cartella conforme all'ITAR.
Connessioni a origini dati esterne	La responsabilità di conformità di Google è limitata alla funzionalità dell'API BigQuery Connection. È tua responsabilità garantire la conformità dei prodotti di origine utilizzati con l'API BigQuery Connection.
Funzionalità non supportate	Le seguenti funzionalità di BigQuery non sono supportate e non devono essere utilizzate nella CLI BigQuery. È tua responsabilità non utilizzarli in BigQuery per Assured Workloads. Interazione con origini dati remote I modelli BQML addestrati esternamente non sono supportati. Sono supportati i modelli BQML addestrati internamente. Il mascheramento dei dati con tag di policy non è supportato. È supportato il mascheramento dei dati mediante l'applicazione di criteri relativi ai dati direttamente alle colonne. Esportazione GDrive Funzioni remote Query salvate Pianificazione dei workflow Per BigQuery Studio, i notebook non sono supportati. Gemini in BigQuery non è supportato.
CLI BigQuery	L'interfaccia a riga di comando BigQuery è supportata.
Google Cloud SDK	Per mantenere le garanzie di regionalizzazione dei dati per i dati tecnici, devi utilizzare Google Cloud SDK versione 403.0.0 o successive. Per verificare la versione attuale di Google Cloud SDK, esegui gcloud --version e poi gcloud components update per eseguire l'aggiornamento all'ultima versione.
Controlli per gli amministratori	BigQuery disabiliterà le API non supportate, ma gli amministratori con autorizzazioni sufficienti per creare cartelle Assured Workloads possono abilitare un'API non supportata. In questo caso, riceverai una notifica di potenziale mancata conformità tramite la dashboard di monitoraggio di Assured Workloads.
Caricamento di dati	I connettori BigQuery Data Transfer Service per le app Software as a Service (SaaS) di Google, i fornitori di spazio di spazio di archiviazione sul cloud esterni e i data warehouse non sono supportati. È tua responsabilità non utilizzare i connettori BigQuery Data Transfer Service per i workload ITAR.
Trasferimenti a terze parti	BigQuery non verifica il supporto per i trasferimenti di terze parti per BigQuery Data Transfer Service. È tua responsabilità verificare il supporto quando utilizzi un trasferimento di terze parti per BigQuery Data Transfer Service.
Modelli BQML non conformi	I modelli BQML addestrati esternamente non sono supportati.
Job di query	I job di query devono essere creati solo all'interno delle cartelle Assured Workloads.
Query sui set di dati in altri progetti	BigQuery non impedisce l'esecuzione di query sui set di dati Assured Workloads da progetti non-Assured Workloads. Devi assicurarti che qualsiasi query che esegue una lettura o un'unione sui dati di Assured Workloads venga inserita nelle cartelle Assured Workloads. Puoi specificare un nome tabella completo per il risultato della query utilizzando projectname.dataset.table nella CLI BigQuery.
Cloud Logging	BigQuery utilizza Cloud Logging per alcuni dei tuoi dati di log. Per mantenere la conformità, devi disattivare i bucket di logging _default o limitare i bucket _default alle regioni incluse nell'ambito utilizzando il seguente comando: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Per ulteriori informazioni, consulta Regionalizzare i log.

Cloud DNS

Funzionalità di Cloud DNS interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di Cloud DNS non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.

Cloud Interconnect

Funzionalità Cloud Interconnect interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di Cloud Interconnect non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.
VPN ad alta disponibilità	Quando utilizzi Cloud Interconnect con Cloud VPN, devi abilitare la funzionalità VPN ad alta disponibilità. Inoltre, devi rispettare i requisiti di crittografia e regionalizzazione elencati nella sezione Funzionalità Cloud VPN interessate.

Cloud Load Balancing

Funzionalità di Cloud Load Balancing interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di Cloud Load Balancing non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.
Bilanciatori del carico regionali	Con l'ITAR devi utilizzare solo i bilanciatori del carico regionali. Per ulteriori informazioni sulla configurazione dei bilanciatori del carico regionali, consulta le seguenti pagine: Bilanciatore del carico delle applicazioni interno Bilanciatore del carico delle applicazioni esterno regionale Bilanciatore del carico di rete passthrough interno Bilanciatore del carico di rete passthrough esterno regionale

Cloud Logging

Funzionalità di Cloud Logging interessate

Per utilizzare Cloud Logging con le chiavi di crittografia gestite dal cliente (CMEK), devi completare i passaggi descritti nella pagina Attivare CMEK per un'organizzazione nella documentazione di Cloud Logging.

Funzionalità	Descrizione
Sink di log	I filtri non devono contenere dati dei clienti. I sink di log includono filtri archiviati come configurazione. Non creare filtri che contengano dati dei clienti.
Voci di log di tailing in tempo reale	I filtri non devono contenere dati dei clienti. Una sessione di tailing in tempo reale include un filtro memorizzato come configurazione. I log di coda non archiviano i dati voce di log, ma possono eseguire query e trasmettere dati tra le regioni. Non creare filtri che contengano dati dei clienti.
Avvisi basati su log	Questa funzionalità è disattivata. Non puoi creare avvisi basati su log nella console Google Cloud .
URL abbreviati per le query di Esplora log	Questa funzionalità è disattivata. Non puoi creare URL abbreviati delle query nella console Google Cloud .
Salvataggio delle query in Esplora log	Questa funzionalità è disattivata. Non puoi salvare query nella console Google Cloud .
Policy di avviso basate su SQL	Questa funzionalità è disattivata. Non puoi utilizzare la funzionalità delle policy di avviso basate su SQL.

Cloud Monitoring

Funzionalità di Cloud Monitoring interessate

Funzionalità	Descrizione
Monitoraggio sintetico	Questa funzionalità è disattivata.
Controlli di uptime	Questa funzionalità è disattivata.
Widget del pannello dei log in Dashboard	Questa funzionalità è disattivata. Non puoi aggiungere un pannello dei log a una dashboard.
Widget del riquadro di Error Reporting in Dashboard	Questa funzionalità è disattivata. Non puoi aggiungere un pannello di segnalazione errori a una dashboard.
Filtra in EventAnnotation per Dashboard	Questa funzionalità è disattivata. Il filtro di EventAnnotation non può essere impostato in una dashboard.
SqlCondition in alertPolicies	Questa funzionalità è disattivata. Non puoi aggiungere un SqlCondition a un alertPolicy.

Cloud NAT

Funzionalità Cloud NAT interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di Cloud NAT non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.

Router Cloud

Funzionalità del router Cloud interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di router Cloud non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.

Cloud Run

Funzionalità di Cloud Run interessate

Funzionalità	Descrizione
Funzionalità non supportate	Le seguenti funzionalità di Cloud Run non sono supportate: Integrazione di Cloud Trace Cloud Run Functions Trigger Eventarc

Cloud SQL

Funzionalità di Cloud SQL interessate

Funzionalità	Descrizione
Esportazione in formato CSV	Non utilizzare la funzionalità Esportazione in formato CSV in quanto non è conforme all'ITAR. Questa funzionalità è disattivata nella console Google Cloud .
executeSql	Non utilizzare il metodo executeSql dell'API Cloud SQL perché non è conforme all'ITAR.

Cloud Storage

Funzionalità di Cloud Storage interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Per mantenere la conformità alle ITAR, è tua responsabilità utilizzare la console Google Cloud per le giurisdizioni. La console giurisdizionale impedisce il caricamento e il download di oggetti Cloud Storage. Per caricare e scaricare gli oggetti Cloud Storage, consulta la riga Endpoint API conformi in questa sezione.
Endpoint API conformi	Devi utilizzare uno degli endpoint regionali conformi all'ITAR con Cloud Storage. Per maggiori informazioni, consulta Endpoint regionali di Cloud Storage e Località di Cloud Storage.
Limitazioni	Per rispettare l'ITAR, devi utilizzare gli endpoint regionali Cloud Storage. Per ulteriori informazioni sugli endpoint regionali Cloud Storage per ITAR, consulta Endpoint regionali Cloud Storage. Le seguenti operazioni non sono supportate dagli endpoint regionali. Tuttavia, queste operazioni non comportano il trasferimento di dati dei clienti come definito nei termini di servizio di residenza dei dati. Pertanto, puoi utilizzare gli endpoint globali per queste operazioni, se necessario, senza violare la conformità all'ITAR: Operazioni con le chiavi HMAC Operazioni account di servizio IAM Notifiche Pub/Sub Se un utente tenta di eseguire un'operazione non supportata utilizzando endpoint regionali, Cloud Storage restituirà un codice di errore HTTP 400 con il messaggio di errore: This endpoint does not implement this operation. Please use the global endpoint.
Copia e riscrittura per gli oggetti	Le operazioni di copia e riscrittura per gli oggetti sono supportate dagli endpoint regionali se i bucket di origine e di destinazione si trovano nella regione specificata nell'endpoint. Tuttavia, non puoi utilizzare endpoint regionali per copiare o riscrivere un oggetto da un bucket a un altro se i bucket si trovano in località diverse. È possibile utilizzare gli endpoint globali per copiare o riscrivere tra le località, ma non lo consigliamo in quanto potrebbe violare la conformità ITAR.

Cloud VPN

Funzionalità Cloud VPN interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di Cloud VPN non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.
Crittografia	Quando crei certificati e configuri la sicurezza IP, devi utilizzare solo cifrari conformi allo standard FIPS 140-2. Per ulteriori informazioni sulle crittografie supportate in Cloud VPN, consulta la pagina Crittografie IKE supportate. Per indicazioni sulla selezione di una crittografia conforme agli standard FIPS 140-2, consulta la pagina Crittografia convalidata FIPS 140-2. Non puoi modificare una crittografia esistente in Google Cloud. Assicurati di configurare la crittografia sull'appliance di terze parti utilizzata con Cloud VPN.
Endpoint VPN	Devi utilizzare solo endpoint Cloud VPN che si trovano in una regione inclusa nell'ambito. Assicurati che il gateway VPN sia configurato per l'utilizzo solo in una regione inclusa nell'ambito.

Compute Engine

Funzionalità di Compute Engine interessate

Funzionalità	Descrizione
Sospensione e ripresa di un'istanza VM	Questa funzionalità è disattivata. La sospensione e la ripresa di un'istanza VM richiedono l'archiviazione su disco permanente e l'archiviazione su disco permanente utilizzata per archiviare lo stato della VM sospesa non può essere criptata utilizzando CMEK. Consulta il vincolo delle policy dell'organizzazione gcp.restrictNonCmekServices nella sezione precedente per comprendere le implicazioni della sovranità dei dati e della residenza dei dati dell'attivazione di questa funzionalità.
SSD locali	Questa funzionalità è disattivata. Non potrai creare un'istanza con SSD locali perché non possono essere criptati utilizzando CMEK. Consulta il vincolo delle policy dell'organizzazione gcp.restrictNonCmekServices nella sezione precedente per comprendere le implicazioni della sovranità dei dati e della residenza dei dati dell'attivazione di questa funzionalità.
ConsoleGoogle Cloud	Le seguenti funzionalità di Compute Engine non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI: Controlli di integrità Gruppi di endpoint di rete
Considerazioni sulla sicurezza dei metadati della VM	È tua responsabilità non scrivere dati sensibili sul server dei metadati della VM.
VM Bare Metal Solution	Non puoi utilizzare le VM Bare Metal Solution (VM o2) perché non sono conformi all'ITAR.
VM Google Cloud VMware Engine	Non puoi utilizzare le VM Google Cloud VMware Engine, in quanto non sono conformi all'ITAR.
Creazione di un'istanza VM C3	Questa funzionalità è disattivata.
Utilizzo di dischi permanenti o dei relativi snapshot senza CMEK	Non puoi utilizzare i dischi permanenti o i relativi snapshot a meno che non siano stati criptati utilizzando CMEK.
Condividere un disco permanente SSD in modalità multi-writer	Non puoi condividere un disco permanente SSD in modalità multi-writer tra istanze VM.
Aggiunta di un gruppo di istanze a un bilanciatore del carico globale	Non puoi aggiungere un gruppo di istanze a un bilanciatore del carico globale. Questa funzionalità è disattivata dal vincolo dei criteri dell'organizzazione compute.disableGlobalLoadBalancing.
Ambiente guest	È possibile che script, daemon e binari inclusi nell'ambiente guest accedano a dati non criptati inattivi e in uso. A seconda della configurazione della VM, gli aggiornamenti di questo software potrebbero essere installati per impostazione predefinita. Consulta Ambiente guest per informazioni specifiche su contenuti, codice sorgente e altro ancora di ogni pacchetto. Questi componenti ti aiutano a soddisfare la sovranità dei dati tramite controlli e processi di sicurezza interni. Tuttavia, se vuoi un controllo aggiuntivo, puoi anche selezionare le tue immagini o i tuoi agenti e, facoltativamente, utilizzare il vincolo della policy dell'organizzazione compute.trustedImageProjects. Per saperne di più, vedi Creare un'immagine personalizzata.
Policy del sistema operativo in VM Manager	Gli script incorporati e i file di output binari all'interno dei file delle policy del sistema operativo non vengono criptati utilizzando chiavi di crittografia gestite dal cliente (CMEK). Non includere informazioni sensibili in questi file. Valuta la possibilità di archiviare questi script e file di output in bucket Cloud Storage. Per saperne di più, consulta Esempi di policy del sistema operativo. Se vuoi limitare la creazione o la modifica di risorse di policy del sistema operativo che utilizzano script in linea o file di output binari, attiva il vincolo della policy dell'organizzazione constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Per saperne di più, consulta Vincoli per OS Config.
instances.getSerialPortOutput()	Questa API è disabilitata. Non potrai ottenere l'output della porta seriale dall'istanza specificata utilizzando questa API. Modifica il valore del vincolo della policy dell'organizzazione compute.disableInstanceDataAccessApis in False per abilitare questa API. Puoi anche attivare e utilizzare la porta seriale interattiva seguendo le istruzioni riportate in Attivare l'accesso per un progetto.
instances.getScreenshot()	Questa API è disabilitata. Non potrai ottenere uno screenshot dall'istanza specificata utilizzando questa API. Modifica il valore del vincolo della policy dell'organizzazione compute.disableInstanceDataAccessApis in False per abilitare questa API. Puoi anche attivare e utilizzare la porta seriale interattiva seguendo le istruzioni riportate in Attivare l'accesso per un progetto.

Vincoli dei criteri dell'organizzazione Compute Engine

Vincolo delle policy dell'organizzazione	Descrizione
compute.enableComplianceMemoryProtection	Imposta su True. Disattiva alcune funzionalità di diagnostica interna per fornire una protezione aggiuntiva dei contenuti della memoria quando si verifica un guasto dell'infrastruttura. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del tuo workload.
compute.disableGlobalCloudArmorPolicy	Imposta su True. Disabilita la creazione di nuove policy di sicurezza Google Cloud Armor e l'aggiunta o la modifica di regole alle policy di sicurezza Google Cloud Armor globali esistenti. Questo vincolo non limita la rimozione di regole o la possibilità di rimuovere o modificare la descrizione e l'elenco delle policy di sicurezza globali di Google Cloud Armor. Questo vincolo non influisce sulle policy di sicurezza regionali di Google Cloud Armor. Tutte le policy di sicurezza globali e regionali esistenti prima dell'applicazione di questo vincolo rimangono in vigore.
compute.disableGlobalLoadBalancing	Imposta su True. Disabilita la creazione di prodotti di bilanciamento del carico globale. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del tuo workload.
compute.disableGlobalSelfManagedSslCertificate	Imposta su True. Disabilita la creazione di certificati SSL autogestiti globali. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del tuo workload.
compute.disableInstanceDataAccessApis	Imposta su True. Disabilita a livello globale le API instances.getSerialPortOutput() e instances.getScreenshot(). L'attivazione di questo vincolo impedisce di generare credenziali sulle VM Windows Server. Se devi gestire un nome utente e una password su una VM Windows, procedi nel seguente modo: Abilita SSH per le VM Windows. Esegui questo comando per modificare la password della VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Sostituisci quanto segue: VM_NAME: il nome della VM per cui stai impostando la password. USERNAME: il nome utente dell'utente per cui stai impostando la password. PASSWORD: la nuova password.
compute.requireOsConfig	Imposta su True. Abilita VM Manager (OS Config) su tutti i nuovi progetti. VM Manager sarà abilitato in tutte le istanze VM create nei nuovi progetti.
compute.restrictNonConfidentialComputing	(Facoltativo) Il valore non è impostato. Imposta questo valore per fornire una difesa in profondità aggiuntiva. Per maggiori informazioni, consulta la documentazione di Confidential VM.
compute.trustedImageProjects	(Facoltativo) Il valore non è impostato. Imposta questo valore per fornire una difesa in profondità aggiuntiva. L'impostazione di questo valore limita l'archiviazione delle immagini e l'istanza del disco all'elenco specificato di progetti. Questo valore influisce sulla sovranità dei dati impedendo l'utilizzo di immagini o agenti non autorizzati.

Knowledge Catalog

Funzionalità di Knowledge Catalog

Funzionalità	Descrizione
Attribute Store	Questa funzionalità è ritirata e disattivata.
Data Catalog	Questa funzionalità è ritirata e disattivata. Non puoi cercare né gestire i tuoi metadati in Data Catalog.
Laghi e zone	Questa funzionalità è disattivata. Non puoi gestire i lake, le zone e le attività.

Google Cloud Armor

Funzionalità di Google Cloud Armor interessate

Funzionalità	Descrizione
Policy di sicurezza con ambito globale	Questa funzionalità è disattivata dal vincolo dei criteri dell'organizzazione compute.disableGlobalCloudArmorPolicy.

Google Kubernetes Engine

Funzionalità di Google Kubernetes Engine interessate

Funzionalità	Descrizione
Limitazioni delle risorse cluster	Assicurati che la configurazione del cluster non utilizzi risorse per servizi non supportati in ITAR. Ad esempio, la seguente configurazione non è valida perché richiede l'attivazione o l'utilizzo di un servizio non supportato: set `binaryAuthorization.evaluationMode` to `enabled`

Vincoli dei criteri dell'organizzazione di Google Kubernetes Engine

Vincolo delle policy dell'organizzazione	Descrizione
container.restrictNoncompliantDiagnosticDataAccess	Imposta su True. Disabilita l'analisi aggregata dei problemi del kernel, necessaria per mantenere il controllo sovrano di un workload. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del tuo workload.

Network Connectivity Center

Funzionalità di Network Connectivity Center interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di Network Connectivity Center non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.

Pub/Sub

Vincoli delle policy dell'organizzazione Pub/Sub

Vincolo delle policy dell'organizzazione	Descrizione
pubsub.enforceInTransitRegions	Imposta su True. Garantisce che i dati dei clienti transitino solo all'interno delle regioni consentite specificate nel criterio di archiviazione dei messaggi per l'argomento Pub/Sub. La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del tuo workload.
pubsub.managed.disableSubscriptionMessageTransforms	Imposta su True. Disabilita l'impostazione delle sottoscrizioni Pub/Sub con Single Message Transforms (SMT). La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del tuo workload.
pubsub.managed.disableTopicMessageTransforms	Imposta su True. Impedisce l'impostazione di argomenti Pub/Sub con Single Message Transforms (SMT). La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del tuo workload.

Security Command Center Premium

Funzionalità di Security Command Center Premium interessate

Funzionalità	Descrizione
Compliance Manager	Compliance Manager non è supportato e non soddisfa i requisiti di controllo per ITAR.
Data Security Posture Management	Data Security Posture Management non è supportato e non soddisfa i requisiti di controllo per ITAR.

Spanner

Funzionalità Spanner interessate

Funzionalità

Descrizione

Confini della suddivisione

Spanner utilizza un piccolo sottoinsieme di chiavi primarie e colonne indicizzate per definire i confini della suddivisione, che possono includere dati e metadati dei clienti. Un limite di suddivisione in Spanner indica la posizione in cui gli intervalli contigui di righe vengono suddivisi in parti più piccole. Questi confini della suddivisione sono accessibili al personale di Google per l'assistenza tecnica e il debug e non sono soggetti ai controlli di accesso ai dati amministrativi in Assured Workloads.

Vincoli delle policy dell'organizzazione Spanner

Vincolo delle policy dell'organizzazione	Descrizione
spanner.assuredWorkloadsAdvancedServiceControls	Imposta su True. Applica controlli aggiuntivi di sovranità dei dati e supporto alle risorse Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected	Imposta su True. Disabilita la possibilità di creare istanze Spanner multiregionali per applicare la residenza e la sovranità dei dati.

Vertex AI

Vincoli dei criteri dell'organizzazione Vertex AI

Vincolo delle policy dell'organizzazione	Descrizione
vertexai.allowOnlyITARCompliantAPIs	Imposta su True. Consente di utilizzare solo le API conformi a ITAR nelle API Vertex AI. Per impostazione predefinita, tutte le API sono consentite.

Virtual Private Cloud (VPC)

Funzionalità VPC interessate

Funzionalità	Descrizione
ConsoleGoogle Cloud	Le funzionalità di networking VPC non sono disponibili nella console Google Cloud . Utilizza l'API o Google Cloud CLI.

Passaggi successivi

• Scopri come creare una cartella Assured Workloads
• Informazioni sui prezzi di Assured Workloads