Limite de dados para a Regulamentação sobre Tráfico Internacional de Armas (ITAR)

Importante: antes de seguir as orientações desta página, procure aconselhamento jurídico independente sobre suas responsabilidades de acordo com a ITAR. Nada neste documento tem como objetivo fornecer ou deve ser usado como substituto de aconselhamento jurídico.

Nesta página, descrevemos o conjunto de controles aplicados às cargas de trabalho do ITAR no Assured Workloads. Ele fornece informações detalhadas sobre residência de dados, produtos Google Cloud compatíveis e os endpoints de API deles, além de todas as restrições ou limitações aplicáveis a esses produtos. As seguintes informações adicionais se aplicam à ITAR:

• Residência de dados: o pacote de controle do ITAR define controles de local de dados para aceitar regiões somente dos EUA. Consulte a seção Restrições da política da organização em todo oGoogle Cloud para mais informações.
• Suporte: os serviços de suporte técnico para cargas de trabalho do ITAR estão disponíveis com as assinaturas do Cloud Customer Care Avançado ou Premium. Os casos de suporte para cargas de trabalho da ITAR são encaminhados para residentes dos EUA localizados nos EUA. Para mais informações, consulte Como receber suporte.
• Preços: o pacote de controle da ITAR está incluído no nível Premium do Assured Workloads, que gera uma cobrança adicional de 20%. Consulte os preços do Assured Workloads para mais informações.

Pré-requisitos

Para manter a conformidade como usuário do pacote de controle do ITAR, verifique se você atende e segue os seguintes pré-requisitos:

• Crie uma pasta ITAR usando o Assured Workloads e implante suas cargas de trabalho ITAR apenas nessa pasta.
• Ative e use apenas serviços da ITAR no escopo para cargas de trabalho da ITAR.
• Não use os servidores MCP do Google Cloud, a menos que indicado de outra forma. A ITAR não oferece controles de residência de dados para dados em uso e em trânsito com servidores MCP do Google Cloud. Para bloquear o acesso indesejado aos servidores MCP do Google Cloud, consulte a página Controlar o uso de servidores MCP do Google Cloud com o IAM.
• Não mude os valores padrão da restrição de política da organização, a menos que você entenda e esteja disposto a aceitar os riscos de residência de dados que podem ocorrer.
• Ao acessar o console do Google Cloud para cargas de trabalho da ITAR, use um dos seguintes URLs do console Google Cloud jurisdicional:
  • console.us.cloud.google.com
  • console.us.cloud.google para usuários de identidade federada
• Ao se conectar a endpoints de serviço Google Cloud , use endpoints regionais para serviços que os oferecem. Além disso:
  • Ao se conectar a endpoints de serviço Google Cloud de VMs que não são doGoogle Cloud, como VMs locais ou de outros provedores de nuvem, use uma das opções de acesso particular disponíveis que oferecem suporte a conexões com VMs que não são doGoogle Cloud para rotear o tráfego que não é doGoogle Cloud para o Google Cloud.
  • Ao se conectar a endpoints de serviço Google Cloud de VMs Google Cloud , é possível usar qualquer uma das opções de acesso particular disponíveis.
  • Ao se conectar a VMs do Google Cloud que foram expostas com endereços IP externo, consulte Acessar APIs de VMs com IP externo externos.
• Para todos os serviços usados em uma pasta ITAR, não armazene dados técnicos nos seguintes tipos de informações de configuração de segurança ou definidos pelo usuário:
  • Mensagens de erro
  • Saída do console
  • Dados de atributos
  • Dados de configurações de serviço
  • Cabeçalhos de pacotes de rede
  • Identificadores de recursos
  • Rótulos de dados
• Use apenas os endpoints regionais especificados para os serviços que os oferecem. Para mais informações, consulte serviços de TI no escopo da ITAR.
• Adote as práticas recomendadas gerais de segurança fornecidas na Google Cloud central de práticas recomendadas de segurança.

Produtos e endpoints de API compatíveis

Salvo indicação em contrário, os usuários podem acessar todos os produtos compatíveis pelo console Google Cloud . As restrições ou limitações que afetam os recursos de um produto compatível, incluindo aquelas que são aplicadas pelas configurações de restrição da política da organização, estão listadas na tabela a seguir.

Se um produto não estiver listado, ele não será compatível e não terá atendido aos requisitos de controle da ITAR. Não é recomendável usar produtos sem suporte sem auditoria e uma compreensão completa das suas responsabilidades no modelo de responsabilidade compartilhada. Antes de usar um produto sem suporte, verifique se você conhece e aceita os riscos associados, como impactos negativos na residência de dados ou soberania de dados.

Observação: os produtos sem suporte podem compartilhar um endpoint de serviço de API com produtos compatíveis, disponibilizando-os para todos os usuários.

Importante: os servidores MCP do Google Cloud não são compatíveis com nenhum produto ITAR, a menos que indicado de outra forma. O ITAR não oferece controles de residência de dados para dados em uso e em trânsito com servidores MCP do Google Cloud. É sua responsabilidade garantir que os endpoints dos servidores MCP do Google Cloud não sejam usados com produtos ITAR. Para bloquear o acesso indesejado aos servidores MCP do Google Cloud, consulte a página Controlar o uso de servidores MCP do Google Cloud com o IAM.

Os serviços que interagem com os dados do cliente nas operações de API fornecem endpoints regionais de API. Use esses endpoints em vez do endpoint de API global do serviço para manter a conformidade com o ITAR. Para serviços cujas operações de API não se destinam a interagir com dados do cliente, os endpoints globais de API estão disponíveis. É sua responsabilidade garantir que você não transmita dados técnicos regulamentados pela ITAR por esses endpoints globais de API. Consulte Residência de dados para mais informações sobre dados do cliente e de serviço.

Produtos compatíveis com endpoints regionais de API

Uma lista de produtos compatíveis e os endpoints de API regionais deles é fornecida na tabela a seguir. Esses endpoints de API foram projetados para processar e transmitir Dados do Cliente. Para atender aos requisitos de compliance da ITAR ao usar esses produtos, use um endpoint de API regional disponível em vez de um endpoint de API global.

Produto compatível	Endpoints de API regionais	Restrições ou limitações
AlloyDB para PostgreSQL	alloydb.us-central1.rep.googleapis.com alloydb.us-central2.rep.googleapis.com alloydb.us-east1.rep.googleapis.com alloydb.us-east4.rep.googleapis.com alloydb.us-east5.rep.googleapis.com alloydb.us-east7.rep.googleapis.com alloydb.us-south1.rep.googleapis.com alloydb.us-west1.rep.googleapis.com alloydb.us-west2.rep.googleapis.com alloydb.us-west3.rep.googleapis.com alloydb.us-west4.rep.googleapis.com	Nenhum
Apigee	apigee.us.rep.googleapis.com	Nenhum
Artifact Analysis	containeranalysis.us.rep.googleapis.com containeranalysis.us-central1.rep.googleapis.com containeranalysis.us-central2.rep.googleapis.com containeranalysis.us-east1.rep.googleapis.com containeranalysis.us-east4.rep.googleapis.com containeranalysis.us-east5.rep.googleapis.com containeranalysis.us-east7.rep.googleapis.com containeranalysis.us-south1.rep.googleapis.com containeranalysis.us-west1.rep.googleapis.com containeranalysis.us-west2.rep.googleapis.com containeranalysis.us-west3.rep.googleapis.com containeranalysis.us-west4.rep.googleapis.com	Nenhum
Artifact Registry	artifactregistry.us.rep.googleapis.com artifactregistry.us-central1.rep.googleapis.com artifactregistry.us-central2.rep.googleapis.com artifactregistry.us-east1.rep.googleapis.com artifactregistry.us-east4.rep.googleapis.com artifactregistry.us-east5.rep.googleapis.com artifactregistry.us-east7.rep.googleapis.com artifactregistry.us-south1.rep.googleapis.com artifactregistry.us-west1.rep.googleapis.com artifactregistry.us-west2.rep.googleapis.com artifactregistry.us-west3.rep.googleapis.com artifactregistry.us-west4.rep.googleapis.com artifactregistry.us-west8.rep.googleapis.com	Nenhum
Serviço de Backup e DR	backupdr.us.rep.googleapis.com backupdr.us-central1.rep.googleapis.com backupdr.us-central2.rep.googleapis.com backupdr.us-east1.rep.googleapis.com backupdr.us-east4.rep.googleapis.com backupdr.us-east5.rep.googleapis.com backupdr.us-east7.rep.googleapis.com backupdr.us-south1.rep.googleapis.com backupdr.us-west1.rep.googleapis.com backupdr.us-west2.rep.googleapis.com backupdr.us-west3.rep.googleapis.com backupdr.us-west4.rep.googleapis.com backupdr.us-west8.rep.googleapis.com	Nenhum
Backup para Google Kubernetes Engine (GKE)	gkebackup.us-central1.rep.googleapis.com gkebackup.us-east1.rep.googleapis.com gkebackup.us-east4.rep.googleapis.com gkebackup.us-east5.rep.googleapis.com gkebackup.us-east7.rep.googleapis.com gkebackup.us-south1.rep.googleapis.com gkebackup.us-west1.rep.googleapis.com gkebackup.us-west2.rep.googleapis.com gkebackup.us-west3.rep.googleapis.com gkebackup.us-west4.rep.googleapis.com gkebackup.us-west8.rep.googleapis.com	Nenhum
BigQuery	bigquery.us-central1.rep.googleapis.com bigquery.us-central2.rep.googleapis.com bigquery.us-east1.rep.googleapis.com bigquery.us-east4.rep.googleapis.com bigquery.us-east5.rep.googleapis.com bigquery.us-east7.rep.googleapis.com bigquery.us-south1.rep.googleapis.com bigquery.us-west1.rep.googleapis.com bigquery.us-west2.rep.googleapis.com bigquery.us-west3.rep.googleapis.com bigquery.us-west4.rep.googleapis.com bigquery.us-west8.rep.googleapis.com bigquerymigration.us-central1.rep.googleapis.com bigquerymigration.us-central2.rep.googleapis.com bigquerymigration.us-east1.rep.googleapis.com bigquerymigration.us-east4.rep.googleapis.com bigquerymigration.us-east5.rep.googleapis.com bigquerymigration.us-east7.rep.googleapis.com bigquerymigration.us-south1.rep.googleapis.com bigquerymigration.us-west1.rep.googleapis.com bigquerymigration.us-west2.rep.googleapis.com bigquerymigration.us-west3.rep.googleapis.com bigquerymigration.us-west4.rep.googleapis.com bigquerymigration.us-west8.rep.googleapis.com bigqueryreservation.us-central1.rep.googleapis.com bigqueryreservation.us-central2.rep.googleapis.com bigqueryreservation.us-east1.rep.googleapis.com bigqueryreservation.us-east4.rep.googleapis.com bigqueryreservation.us-east5.rep.googleapis.com bigqueryreservation.us-east7.rep.googleapis.com bigqueryreservation.us-south1.rep.googleapis.com bigqueryreservation.us-west1.rep.googleapis.com bigqueryreservation.us-west2.rep.googleapis.com bigqueryreservation.us-west3.rep.googleapis.com bigqueryreservation.us-west4.rep.googleapis.com bigqueryreservation.us-west8.rep.googleapis.com bigquerystorage.us-central1.rep.googleapis.com bigquerystorage.us-central2.rep.googleapis.com bigquerystorage.us-east1.rep.googleapis.com bigquerystorage.us-east4.rep.googleapis.com bigquerystorage.us-east5.rep.googleapis.com bigquerystorage.us-east7.rep.googleapis.com bigquerystorage.us-south1.rep.googleapis.com bigquerystorage.us-west1.rep.googleapis.com bigquerystorage.us-west2.rep.googleapis.com bigquerystorage.us-west3.rep.googleapis.com bigquerystorage.us-west4.rep.googleapis.com bigquerystorage.us-west8.rep.googleapis.com	Recursos afetados
Serviço de transferência de dados do BigQuery	bigquerydatatransfer.us-central1.rep.googleapis.com bigquerydatatransfer.us-central2.rep.googleapis.com bigquerydatatransfer.us-east1.rep.googleapis.com bigquerydatatransfer.us-east4.rep.googleapis.com bigquerydatatransfer.us-east5.rep.googleapis.com bigquerydatatransfer.us-east7.rep.googleapis.com bigquerydatatransfer.us-south1.rep.googleapis.com bigquerydatatransfer.us-west1.rep.googleapis.com bigquerydatatransfer.us-west2.rep.googleapis.com bigquerydatatransfer.us-west3.rep.googleapis.com bigquerydatatransfer.us-west4.rep.googleapis.com bigquerydatatransfer.us-west8.rep.googleapis.com	Nenhum
Bigtable	bigtable.us-central1.rep.googleapis.com bigtable.us-central2.rep.googleapis.com bigtable.us-east1.rep.googleapis.com bigtable.us-east4.rep.googleapis.com bigtable.us-east5.rep.googleapis.com bigtable.us-east7.rep.googleapis.com bigtable.us-south1.rep.googleapis.com bigtable.us-west1.rep.googleapis.com bigtable.us-west2.rep.googleapis.com bigtable.us-west3.rep.googleapis.com bigtable.us-west4.rep.googleapis.com bigtable.us-west8.rep.googleapis.com	Nenhum
Cloud Build	cloudbuild.us-central1.rep.googleapis.com cloudbuild.us-central2.rep.googleapis.com cloudbuild.us-east1.rep.googleapis.com cloudbuild.us-east4.rep.googleapis.com cloudbuild.us-east5.rep.googleapis.com cloudbuild.us-east7.rep.googleapis.com cloudbuild.us-south1.rep.googleapis.com cloudbuild.us-west1.rep.googleapis.com cloudbuild.us-west2.rep.googleapis.com cloudbuild.us-west3.rep.googleapis.com cloudbuild.us-west4.rep.googleapis.com cloudbuild.us-west8.rep.googleapis.com	Nenhum
Cloud Deploy	clouddeploy.us-central1.rep.googleapis.com clouddeploy.us-east1.rep.googleapis.com clouddeploy.us-east4.rep.googleapis.com clouddeploy.us-east5.rep.googleapis.com clouddeploy.us-east7.rep.googleapis.com clouddeploy.us-south1.rep.googleapis.com clouddeploy.us-west1.rep.googleapis.com clouddeploy.us-west2.rep.googleapis.com clouddeploy.us-west3.rep.googleapis.com clouddeploy.us-west4.rep.googleapis.com	Nenhum
Cloud External Key Manager (Cloud EKM)	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nenhum
Cloud HSM	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nenhum
Cloud Interconnect	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados
Cloud Key Management Service (Cloud KMS)	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nenhum
Cloud Load Balancing	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados
Cloud Logging	logging.us.rep.googleapis.com logging.us-central1.rep.googleapis.com logging.us-central2.rep.googleapis.com logging.us-east1.rep.googleapis.com logging.us-east4.rep.googleapis.com logging.us-east5.rep.googleapis.com logging.us-east7.rep.googleapis.com logging.us-south1.rep.googleapis.com logging.us-west1.rep.googleapis.com logging.us-west2.rep.googleapis.com logging.us-west3.rep.googleapis.com logging.us-west4.rep.googleapis.com logging.us-west8.rep.googleapis.com	Recursos afetados
Cloud NAT	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados
Cloud Router	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados
Cloud Run	run.us-central1.rep.googleapis.com run.us-central2.rep.googleapis.com run.us-east1.rep.googleapis.com run.us-east4.rep.googleapis.com run.us-east5.rep.googleapis.com run.us-east7.rep.googleapis.com run.us-south1.rep.googleapis.com run.us-west1.rep.googleapis.com run.us-west2.rep.googleapis.com run.us-west3.rep.googleapis.com run.us-west4.rep.googleapis.com run.us-west8.rep.googleapis.com	Recursos afetados
Cloud SQL	sqladmin.us-central1.rep.googleapis.com sqladmin.us-central2.rep.googleapis.com sqladmin.us-east1.rep.googleapis.com sqladmin.us-east4.rep.googleapis.com sqladmin.us-east5.rep.googleapis.com sqladmin.us-east7.rep.googleapis.com sqladmin.us-south1.rep.googleapis.com sqladmin.us-west1.rep.googleapis.com sqladmin.us-west2.rep.googleapis.com sqladmin.us-west3.rep.googleapis.com sqladmin.us-west4.rep.googleapis.com sqladmin.us-west8.rep.googleapis.com	Recursos afetados
Cloud Service Mesh	trafficdirector.us-central1.rep.googleapis.com trafficdirector.us-central2.rep.googleapis.com trafficdirector.us-east1.rep.googleapis.com trafficdirector.us-east4.rep.googleapis.com trafficdirector.us-east5.rep.googleapis.com trafficdirector.us-east7.rep.googleapis.com trafficdirector.us-south1.rep.googleapis.com trafficdirector.us-west1.rep.googleapis.com trafficdirector.us-west2.rep.googleapis.com trafficdirector.us-west3.rep.googleapis.com trafficdirector.us-west4.rep.googleapis.com trafficdirector.us-west8.rep.googleapis.com	Nenhum
Spanner	spanner.us.rep.googleapis.com spanner.us-central1.rep.googleapis.com spanner.us-central2.rep.googleapis.com spanner.us-east1.rep.googleapis.com spanner.us-east4.rep.googleapis.com spanner.us-east5.rep.googleapis.com spanner.us-east7.rep.googleapis.com spanner.us-south1.rep.googleapis.com spanner.us-west1.rep.googleapis.com spanner.us-west2.rep.googleapis.com spanner.us-west3.rep.googleapis.com spanner.us-west4.rep.googleapis.com spanner.us-west8.rep.googleapis.com	Recursos afetados e restrições da política da organização
Cloud Storage	storage.us.rep.googleapis.com storage.us-central1.rep.googleapis.com storage.us-central2.rep.googleapis.com storage.us-east1.rep.googleapis.com storage.us-east4.rep.googleapis.com storage.us-east5.rep.googleapis.com storage.us-east7.rep.googleapis.com storage.us-south1.rep.googleapis.com storage.us-west1.rep.googleapis.com storage.us-west2.rep.googleapis.com storage.us-west3.rep.googleapis.com storage.us-west4.rep.googleapis.com storage.us-west8.rep.googleapis.com	Recursos afetados
Cloud VPN	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados
Compute Engine	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados e restrições da política da organização
Dataflow	dataflow.us-central1.rep.googleapis.com dataflow.us-central2.rep.googleapis.com dataflow.us-east1.rep.googleapis.com dataflow.us-east4.rep.googleapis.com dataflow.us-east5.rep.googleapis.com dataflow.us-east7.rep.googleapis.com dataflow.us-south1.rep.googleapis.com dataflow.us-west1.rep.googleapis.com dataflow.us-west2.rep.googleapis.com dataflow.us-west3.rep.googleapis.com dataflow.us-west4.rep.googleapis.com dataflow.us-west8.rep.googleapis.com	Nenhum
Eventarc	eventarc.us.rep.googleapis.com eventarc.us-central1.rep.googleapis.com eventarc.us-central2.rep.googleapis.com eventarc.us-east1.rep.googleapis.com eventarc.us-east4.rep.googleapis.com eventarc.us-east5.rep.googleapis.com eventarc.us-east7.rep.googleapis.com eventarc.us-south1.rep.googleapis.com eventarc.us-west1.rep.googleapis.com eventarc.us-west2.rep.googleapis.com eventarc.us-west3.rep.googleapis.com eventarc.us-west4.rep.googleapis.com eventarc.us-west8.rep.googleapis.com	Nenhum
Balanceador de carga de rede de passagem externo	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nenhum
Filestore	file.us-central1.rep.googleapis.com file.us-central2.rep.googleapis.com file.us-east1.rep.googleapis.com file.us-east4.rep.googleapis.com file.us-east5.rep.googleapis.com file.us-east7.rep.googleapis.com file.us-south1.rep.googleapis.com file.us-west1.rep.googleapis.com file.us-west2.rep.googleapis.com file.us-west3.rep.googleapis.com file.us-west4.rep.googleapis.com file.us-west8.rep.googleapis.com	Nenhum
Firestore	datastore.us.rep.googleapis.com datastore.us-central1.rep.googleapis.com datastore.us-east1.rep.googleapis.com datastore.us-east4.rep.googleapis.com datastore.us-east5.rep.googleapis.com datastore.us-east7.rep.googleapis.com datastore.us-south1.rep.googleapis.com datastore.us-west1.rep.googleapis.com datastore.us-west2.rep.googleapis.com datastore.us-west3.rep.googleapis.com datastore.us-west4.rep.googleapis.com datastore.us-west8.rep.googleapis.com firestore.us.rep.googleapis.com firestore.us-central1.rep.googleapis.com firestore.us-east1.rep.googleapis.com firestore.us-east4.rep.googleapis.com firestore.us-east5.rep.googleapis.com firestore.us-east7.rep.googleapis.com firestore.us-south1.rep.googleapis.com firestore.us-west1.rep.googleapis.com firestore.us-west2.rep.googleapis.com firestore.us-west3.rep.googleapis.com firestore.us-west4.rep.googleapis.com firestore.us-west8.rep.googleapis.com	Restrições das políticas da organização
Hub do Google Kubernetes Engine (GKE) (frotas)	gkehub.us-central1.rep.googleapis.com gkehub.us-central2.rep.googleapis.com gkehub.us-east1.rep.googleapis.com gkehub.us-east4.rep.googleapis.com gkehub.us-east5.rep.googleapis.com gkehub.us-east7.rep.googleapis.com gkehub.us-south1.rep.googleapis.com gkehub.us-west1.rep.googleapis.com gkehub.us-west2.rep.googleapis.com gkehub.us-west3.rep.googleapis.com gkehub.us-west4.rep.googleapis.com gkehub.us-west8.rep.googleapis.com	Nenhum
IA generativa na Vertex AI	aiplatform.us.rep.googleapis.com	Restrições das políticas da organização
Google Cloud Armor	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados
Serviço gerenciado do Google Cloud para Apache Kafka	managedkafka.us-central1.rep.googleapis.com managedkafka.us-east1.rep.googleapis.com managedkafka.us-east4.rep.googleapis.com managedkafka.us-east5.rep.googleapis.com managedkafka.us-east7.rep.googleapis.com managedkafka.us-south1.rep.googleapis.com managedkafka.us-west1.rep.googleapis.com managedkafka.us-west2.rep.googleapis.com managedkafka.us-west3.rep.googleapis.com managedkafka.us-west4.rep.googleapis.com	Nenhum
Balanceador de carga de rede de passagem interno	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nenhum
Justificativas de acesso às chaves	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Nenhum
Knowledge Catalog	dataplex.us.rep.googleapis.com dataplex.us-central1.rep.googleapis.com dataplex.us-central2.rep.googleapis.com dataplex.us-east1.rep.googleapis.com dataplex.us-east4.rep.googleapis.com dataplex.us-east5.rep.googleapis.com dataplex.us-east7.rep.googleapis.com dataplex.us-south1.rep.googleapis.com dataplex.us-west1.rep.googleapis.com dataplex.us-west2.rep.googleapis.com dataplex.us-west3.rep.googleapis.com dataplex.us-west4.rep.googleapis.com dataplex.us-west8.rep.googleapis.com datalineage.us.rep.googleapis.com datalineage.us-central1.rep.googleapis.com datalineage.us-central2.rep.googleapis.com datalineage.us-east1.rep.googleapis.com datalineage.us-east4.rep.googleapis.com datalineage.us-east5.rep.googleapis.com datalineage.us-east7.rep.googleapis.com datalineage.us-south1.rep.googleapis.com datalineage.us-west1.rep.googleapis.com datalineage.us-west2.rep.googleapis.com datalineage.us-west3.rep.googleapis.com datalineage.us-west4.rep.googleapis.com	Recursos afetados
Looker (Google Cloud Core)	looker.us-central1.rep.googleapis.com looker.us-east1.rep.googleapis.com looker.us-east4.rep.googleapis.com looker.us-east5.rep.googleapis.com looker.us-east7.rep.googleapis.com looker.us-south1.rep.googleapis.com looker.us-west1.rep.googleapis.com looker.us-west2.rep.googleapis.com looker.us-west3.rep.googleapis.com looker.us-west4.rep.googleapis.com	Nenhum
Serviço gerenciado para Apache Airflow	composer.us-central1.rep.googleapis.com composer.us-east1.rep.googleapis.com composer.us-east4.rep.googleapis.com composer.us-east5.rep.googleapis.com composer.us-east7.rep.googleapis.com composer.us-south1.rep.googleapis.com composer.us-west1.rep.googleapis.com composer.us-west2.rep.googleapis.com composer.us-west3.rep.googleapis.com composer.us-west4.rep.googleapis.com	Nenhum
Serviço Gerenciado para Apache Spark	dataproc-control.us-central1.rep.googleapis.com dataproc-control.us-central2.rep.googleapis.com dataproc-control.us-east1.rep.googleapis.com dataproc-control.us-east4.rep.googleapis.com dataproc-control.us-east5.rep.googleapis.com dataproc-control.us-east7.rep.googleapis.com dataproc-control.us-south1.rep.googleapis.com dataproc-control.us-west1.rep.googleapis.com dataproc-control.us-west2.rep.googleapis.com dataproc-control.us-west3.rep.googleapis.com dataproc-control.us-west4.rep.googleapis.com dataproc-control.us-west8.rep.googleapis.com dataproc.us-central1.rep.googleapis.com dataproc.us-central2.rep.googleapis.com dataproc.us-east1.rep.googleapis.com dataproc.us-east4.rep.googleapis.com dataproc.us-east5.rep.googleapis.com dataproc.us-east7.rep.googleapis.com dataproc.us-south1.rep.googleapis.com dataproc.us-west1.rep.googleapis.com dataproc.us-west2.rep.googleapis.com dataproc.us-west3.rep.googleapis.com dataproc.us-west4.rep.googleapis.com dataproc.us-west8.rep.googleapis.com	Nenhum
Memorystore for Redis	redis.us-central1.rep.googleapis.com redis.us-central2.rep.googleapis.com redis.us-east1.rep.googleapis.com redis.us-east4.rep.googleapis.com redis.us-east5.rep.googleapis.com redis.us-east7.rep.googleapis.com redis.us-south1.rep.googleapis.com redis.us-west1.rep.googleapis.com redis.us-west2.rep.googleapis.com redis.us-west3.rep.googleapis.com redis.us-west4.rep.googleapis.com redis.us-west8.rep.googleapis.com	Nenhum
Persistent Disk	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nenhum
Pub/Sub	pubsub.us-central1.rep.googleapis.com pubsub.us-central2.rep.googleapis.com pubsub.us-east1.rep.googleapis.com pubsub.us-east4.rep.googleapis.com pubsub.us-east5.rep.googleapis.com pubsub.us-east7.rep.googleapis.com pubsub.us-south1.rep.googleapis.com pubsub.us-west1.rep.googleapis.com pubsub.us-west2.rep.googleapis.com pubsub.us-west3.rep.googleapis.com pubsub.us-west4.rep.googleapis.com pubsub.us-west8.rep.googleapis.com	Restrições das políticas da organização
Balanceador de carga de aplicativo externo regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nenhum
Balanceador de carga de rede de proxy externo regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nenhum
Balanceador de carga de aplicativo interno e regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nenhum
Balanceador de carga de rede de proxy interno regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Nenhum
Secret Manager	secretmanager.us.rep.googleapis.com secretmanager.us-central1.rep.googleapis.com secretmanager.us-central2.rep.googleapis.com secretmanager.us-east1.rep.googleapis.com secretmanager.us-east4.rep.googleapis.com secretmanager.us-east5.rep.googleapis.com secretmanager.us-east7.rep.googleapis.com secretmanager.us-south1.rep.googleapis.com secretmanager.us-west1.rep.googleapis.com secretmanager.us-west2.rep.googleapis.com secretmanager.us-west3.rep.googleapis.com secretmanager.us-west4.rep.googleapis.com	Nenhum
Secure Source Manager	securesourcemanager.us-central1.rep.googleapis.com securesourcemanager.us-east1.rep.googleapis.com securesourcemanager.us-east4.rep.googleapis.com securesourcemanager.us-east7.rep.googleapis.com securesourcemanager.us-west2.rep.googleapis.com	Nenhum
Security Command Center Premium	securitycenter.us.rep.googleapis.com	Recursos afetados
Proteção de Dados Sensíveis	dlp.us.rep.googleapis.com dlp.us-central1.rep.googleapis.com dlp.us-central2.rep.googleapis.com dlp.us-east1.rep.googleapis.com dlp.us-east4.rep.googleapis.com dlp.us-east5.rep.googleapis.com dlp.us-south1.rep.googleapis.com dlp.us-west1.rep.googleapis.com dlp.us-west2.rep.googleapis.com dlp.us-west3.rep.googleapis.com dlp.us-west4.rep.googleapis.com dlp.us-west8.rep.googleapis.com	Nenhum
Diretório de serviços	servicedirectory.us-central1.rep.googleapis.com servicedirectory.us-central2.rep.googleapis.com servicedirectory.us-east1.rep.googleapis.com servicedirectory.us-east4.rep.googleapis.com servicedirectory.us-east5.rep.googleapis.com servicedirectory.us-east7.rep.googleapis.com servicedirectory.us-south1.rep.googleapis.com servicedirectory.us-west1.rep.googleapis.com servicedirectory.us-west2.rep.googleapis.com servicedirectory.us-west3.rep.googleapis.com servicedirectory.us-west4.rep.googleapis.com servicedirectory.us-west8.rep.googleapis.com	Nenhum
Vertex AI online prediction	aiplatform.us.rep.googleapis.com	Restrições das políticas da organização
VM Manager	osconfig.us-central1.rep.googleapis.com osconfig.us-central2.rep.googleapis.com osconfig.us-east1.rep.googleapis.com osconfig.us-east4.rep.googleapis.com osconfig.us-east5.rep.googleapis.com osconfig.us-east7.rep.googleapis.com osconfig.us-south1.rep.googleapis.com osconfig.us-west1.rep.googleapis.com osconfig.us-west2.rep.googleapis.com osconfig.us-west3.rep.googleapis.com osconfig.us-west4.rep.googleapis.com osconfig.us-west8.rep.googleapis.com	Nenhum
Nuvem privada virtual (VPC)	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Recursos afetados

Produtos compatíveis com endpoints de API globais

Uma lista de produtos compatíveis e os endpoints de API globais deles é fornecida na tabela a seguir. Esses endpoints globais de API foram projetados para processar dados de serviço, como dados de configuração, metadados ou identificadores de recursos, e não são destinados ao tratamento de dados do cliente. É sua responsabilidade garantir que você não transmita dados técnicos regulamentados pelo ITAR por esses endpoints de API globais.

Produto compatível	Endpoints de API globais	Restrições ou limitações
Aprovação de acesso	accessapproval.googleapis.com	Nenhum
Access Context Manager	accesscontextmanager.googleapis.com	Nenhum
Certificate Authority Service	privateca.googleapis.com	Nenhum
Certificate Manager	certificatemanager.googleapis.com	Nenhum
API Cloud Billing	billingbudgets.googleapis.com cloudbilling.googleapis.com	Nenhum
Cloud DNS	dns.googleapis.com	Recursos afetados
Cloud Monitoring	monitoring.googleapis.com	Recursos afetados
API Login do SO do Cloud	oslogin.googleapis.com	Nenhum
Contatos Essenciais	essentialcontacts.googleapis.com	Nenhum
Regras de segurança do Firebase	firebaserules.googleapis.com	Nenhum
Serviço de identidade do Google Kubernetes Engine (GKE)	anthosidentityservice.googleapis.com	Nenhum
Streaming de imagens do GKE	containerfilesystem.googleapis.com	Nenhum
Google Kubernetes Engine (GKE)	container.googleapis.com containersecurity.googleapis.com	Recursos afetados e restrições da política da organização
Gerenciamento de identidade e acesso (IAM)	iam.googleapis.com policytroubleshooter.googleapis.com	Nenhum
Identity-Aware Proxy (IAP)	iap.googleapis.com	Nenhum
Console Google Cloud jurisdicional	Not applicable	Nenhum
Network Connectivity Center	networkconnectivity.googleapis.com	Recursos afetados
Serviço de política da organização	orgpolicy.googleapis.com	Nenhum
Resource Manager	cloudresourcemanager.googleapis.com	Nenhum
VPC Service Controls	accesscontextmanager.googleapis.com accesscontextintelligence.googleapis.com	Nenhum

Restrições e limitações

As seções a seguir descrevem as restrições ou limitações do Google Cloudou específicas do produto para recursos, incluindo as restrições da política da organização definidas por padrão em pastas do ITAR. Outras restrições aplicáveis da política da organização, mesmo que não sejam definidas por padrão, podem fornecer defesa em profundidade adicional para proteger ainda mais os recursos Google Cloud da sua organização.

Recomendamos não mudar os valores das restrições obrigatórias da política da organização listadas nas seções a seguir. Isso pode prejudicar a residência de dados. Quando essa mudança é feita, os efeitos dela são difíceis ou impossíveis de reverter. É preciso entender as ramificações de alterar o valor de uma restrição da política da organização antes de continuar.

Além disso, garanta que todos os mecanismos automatizados usados pela organização para gerenciar as políticas da organização sejam atualizados para evitar que esses valores sejam alterados acidentalmente.

Google Cloud-wide

Recursos afetados em todo o Google Cloud

Recurso	Descrição
Console doGoogle Cloud	Para acessar o console do Google Cloud ao usar o pacote de controle do ITAR, use um dos seguintes URLs: console.us.cloud.google.com console.us.cloud.google para usuários de identidade federada

Restrições da política da organização em todo oGoogle Cloud

As restrições da política da organização a seguir se aplicam a Google Cloud.

Restrição da política da organização	Descrição
gcp.resourceLocations	Defina os seguintes locais na lista allowedValues: us us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Esse valor restringe a criação de novos recursos aos valores selecionados. Quando definido, nenhum recurso pode ser criado em nenhuma outra região, multirregião ou local fora da seleção. Consulte Serviços com suporte com locais de recursos para ver uma lista de recursos que podem ser restritos pela restrição da política da organização de locais de recursos, já que alguns recursos podem estar fora do escopo e não podem ser restritos. Alterar esse valor, tornando-o menos restritivo, pode prejudicar a residência de dados, permitindo que eles sejam criados ou armazenados fora de um limite de dados compatível.
gcp.restrictCmekCryptoKeyProjects	Defina como under:organizations/your-organization-name, que é sua organização do Assured Workloads. É possível restringir ainda mais esse valor especificando um projeto ou uma pasta. Limita o escopo de pastas ou projetos aprovados que podem fornecer chaves do Cloud KMS para criptografia de dados em repouso usando CMEK. Essa restrição impede que pastas ou projetos não aprovados forneçam chaves de criptografia, o que ajuda a garantir a soberania de dados em repouso dos serviços em escopo.
gcp.restrictNonCmekServices	Defina como uma lista de todos os nomes de serviço de API no escopo, incluindo: aiplatform.googleapis.com alloydb.googleapis.com apigee.googleapis.com artifactregistry.googleapis.com backupdr.googleapis.com bigquery.googleapis.com bigquerydatatransfer.googleapis.com bigtable.googleapis.com cloudfunctions.googleapis.com cloudtasks.googleapis.com composer.googleapis.com compute.googleapis.com contactcenterinsights.googleapis.com container.googleapis.com dataflow.googleapis.com dataform.googleapis.com datafusion.googleapis.com dataplex.googleapis.com dataproc.googleapis.com dialogflow.googleapis.com discoveryengine.googleapis.com documentai.googleapis.com eventarc.googleapis.com Alguns recursos podem ser afetados para cada um dos serviços listados acima. Cada serviço listado requer chaves de criptografia gerenciadas pelo cliente (CMEK). A CMEK criptografa dados em repouso com uma chave gerenciada por você, não pelos mecanismos de criptografia padrão do Google. Alterar esse valor removendo um ou mais serviços em escopo da lista pode prejudicar a soberania de dados, porque novos dados em repouso são criptografados automaticamente usando as chaves do Google em vez das suas. Os dados em repouso atuais vão permanecer criptografados pela chave que você forneceu.
gcp.restrictServiceUsage	Definido para permitir todos os produtos e endpoints de API compatíveis. Determina quais serviços podem ser usados restringindo o acesso em tempo de execução aos recursos deles. Para mais informações, consulte Como restringir o uso de recursos.
gcp.restrictTLSVersion	Defina para negar as seguintes versões de TLS: TLS_1_0 TLS_1_1 Para mais informações, consulte Restringir versões do TLS.

BigQuery

Recursos afetados do BigQuery

Recurso	Descrição
Como ativar o BigQuery em uma nova pasta	O BigQuery é compatível, mas não é ativado automaticamente quando você cria uma nova pasta do Assured Workloads devido a um processo de configuração interno. Esse processo normalmente termina em dez minutos, mas pode levar muito mais tempo em algumas circunstâncias. Para verificar se o processo foi concluído e ativar o BigQuery, siga estas etapas: No console do Google Cloud , acesse a página Assured Workloads. Acesse o Assured Workloads Selecione a nova pasta do Assured Workloads na lista. Na página Detalhes da pasta, na seção Serviços permitidos, clique em Analisar atualizações disponíveis. No painel Serviços permitidos, revise os serviços que serão adicionados à política da organização Restrição de uso de recursos da pasta. Se os serviços do BigQuery estiverem listados, clique em Permitir serviços para adicioná-los. Se os serviços do BigQuery não estiverem listados, aguarde a conclusão do processo interno. Se os serviços não forem listados em até 12 horas após a criação da pasta, entre em contato com o Cloud Customer Care. Depois que o processo de ativação for concluído, será possível usar o BigQuery na pasta do Assured Workloads. O Gemini no BigQuery não é compatível com o Assured Workloads.
APIs do BigQuery em conformidade	As seguintes APIs do BigQuery estão em conformidade com o ITAR: bigquery.googleapis.com bigquerydatapolicy.googleapis.com bigqueryconnection.googleapis.com bigquerymigration.googleapis.com bigquerystorage.googleapis.com bigqueryreservation.googleapis.com bigquerydatatransfer.googleapis.com A API Reservations não está ativada por padrão. Para mais informações, consulte Como ativar uma API no seu projeto do Google Cloud .
Regiões	O BigQuery está em conformidade com a ITAR em todas as regiões dos EUA, exceto a multirregião dos EUA. A conformidade com o ITAR não pode ser garantida se um conjunto de dados for criado em uma multirregião dos EUA, em uma região fora dos EUA ou em uma multirregião fora dos EUA. É sua responsabilidade especificar uma região em conformidade com o ITAR ao criar conjuntos de dados do BigQuery.
Consultas em conjuntos de dados ITAR de projetos não ITAR	O BigQuery não impede que conjuntos de dados do ITAR sejam consultados em projetos que não são do ITAR. Verifique se todas as consultas que usam uma operação de leitura ou mesclagem em dados técnicos do ITAR estão em uma pasta compatível com o ITAR.
Conexões com fontes de dados externas	A responsabilidade de compliance do Google é limitada à capacidade da API BigQuery Connection. É sua responsabilidade garantir a conformidade dos produtos de origem usados com a API BigQuery Connection.
Recursos não suportados	Os seguintes recursos do BigQuery não são compatíveis e não devem ser usados na CLI do BigQuery. É sua responsabilidade não usá-los no BigQuery para o Assured Workloads. Interação com fontes de dados remotas Modelos do BQML treinados externamente não são compatíveis. Modelos do BQML treinados internamente são compatíveis. Não há suporte para mascaramento de dados com tags de política. O mascaramento de dados por meio da aplicação de políticas de dados diretamente às colunas é compatível. Exportação do GDrive Funções remotas Consultas salvas Programação do fluxo de trabalho No BigQuery Studio, os notebooks não são compatíveis. O Gemini no BigQuery não é compatível.
CLI do BigQuery	A CLI do BigQuery é compatível.
SDK do Google Cloud	Use o SDK Google Cloud versão 403.0.0 ou mais recente para manter as garantias de regionalização de dados técnicos. Para verificar sua versão atual do SDK Google Cloud, execute gcloud --version e depois gcloud components update para atualizar para a versão mais recente.
Controles do administrador	O BigQuery vai desativar as APIs sem suporte, mas os administradores com permissões suficientes para criar pastas do Assured Workloads podem ativar uma API sem suporte. Se isso acontecer, você vai receber uma notificação de possível não conformidade pelo painel de monitoramento do Assured Workloads.
Carregando dados	Conectores do serviço de transferência de dados do BigQuery para apps de Software como Serviço (SaaS) do Google, provedores externos de armazenamento em nuvem e data warehouses não são compatíveis. É sua responsabilidade não usar conectores do serviço de transferência de dados do BigQuery para cargas de trabalho da ITAR.
Transferências de terceiros	O BigQuery não verifica o suporte para transferências de terceiros para o serviço de transferência de dados do BigQuery. É sua responsabilidade verificar o suporte ao usar qualquer transferência de terceiros para o serviço de transferência de dados do BigQuery.
Modelos do BQML que não estão em conformidade	Modelos do BQML treinados externamente não são compatíveis.
Jobs de consulta	Os jobs de consulta só devem ser criados em pastas do Assured Workloads.
Consultas em conjuntos de dados de outros projetos	O BigQuery não impede que conjuntos de dados do Assured Workloads sejam consultados em projetos que não são do Assured Workloads. Verifique se todas as consultas que têm uma leitura ou uma mesclagem nos dados do Assured Workloads estão nas pastas do Assured Workloads. É possível especificar um nome de tabela totalmente qualificado para o resultado da consulta usando projectname.dataset.table na CLI do BigQuery.
Cloud Logging	O BigQuery usa o Cloud Logging para alguns dos seus dados de registro. Desative os buckets de registros do _default ou restrinja os buckets do _default a regiões no escopo para manter a conformidade usando o seguinte comando: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Para mais informações, consulte Regionalizar seus registros.

Cloud DNS

Recursos afetados do Cloud DNS

Recurso	Descrição
Console doGoogle Cloud	Os recursos do Cloud DNS não estão disponíveis no console do Google Cloud . Use a API ou a Google Cloud CLI.

Cloud Interconnect

Recursos afetados do Cloud Interconnect

Recurso	Descrição
Console doGoogle Cloud	Os recursos do Cloud Interconnect não estão disponíveis no console do Google Cloud . Use a API ou a Google Cloud CLI.
VPN de alta disponibilidade (HA)	É necessário ativar a funcionalidade de VPN de alta disponibilidade (HA) ao usar o Cloud Interconnect com o Cloud VPN. Além disso, é preciso aderir aos requisitos de criptografia e regionalização listados na seção Recursos afetados do Cloud VPN.

Cloud Load Balancing

Recursos afetados do Cloud Load Balancing

Recurso	Descrição
Console doGoogle Cloud	Os recursos do Cloud Load Balancing não estão disponíveis no console Google Cloud . Use a API ou a Google Cloud CLI.
Balanceadores de carga regionais	Use apenas balanceadores de carga regionais com o ITAR. Para mais informações sobre como configurar balanceadores de carga regionais, consulte as seguintes páginas: Balanceador de carga de aplicativo interno Balanceador de carga de aplicativo externo regional Balanceador de carga de rede de passagem interno Balanceador de carga de rede de passagem externa regional

Cloud Logging

Recursos afetados do Cloud Logging

Para usar o Cloud Logging com chaves de criptografia gerenciadas pelo cliente (CMEK), é preciso concluir as etapas da página Ativar a CMEK para uma organização na documentação do Cloud Logging.

Recurso	Descrição
Coletores de registros	Os filtros não podem conter dados do cliente. Os coletores de registros incluem filtros de inclusão armazenados como configuração. Não crie filtros que contenham dados do cliente.
Entradas de registro de acompanhamento ao vivo	Os filtros não podem conter dados do cliente. Uma sessão de acompanhamento ao vivo inclui um filtro armazenado como configuração. Os registros de cauda não armazenam dados de entrada de registro, mas podem consultar e transmitir dados entre regiões. Não crie filtros que contenham dados de clientes.
Alertas com base em registros	Este recurso está desativado. Não é possível criar alertas baseados em registros no console do Google Cloud .
URLs encurtados para consultas da Análise de Registros	Este recurso está desativado. Não é possível criar URLs encurtados de consultas no console do Google Cloud .
Salvar consultas salvas na Análise de registros	Este recurso está desativado. Não é possível salvar consultas no console Google Cloud .
Políticas de alertas baseadas em SQL	Este recurso está desativado. Não é possível usar o recurso de políticas de alerta baseadas em SQL.

Cloud Monitoring

Recursos afetados do Cloud Monitoring

Recurso	Descrição
Monitor sintético	Este recurso está desativado.
Verificações de tempo de atividade	Este recurso está desativado.
Widgets do painel de registros em Painéis	Este recurso está desativado. Não é possível adicionar um painel de registros a um painel.
Widgets do painel do Error Reporting em Painéis	Este recurso está desativado. Não é possível adicionar um painel do Error Reporting a um painel.
Filtrar em EventAnnotation para painéis	Este recurso está desativado. O filtro de EventAnnotation não pode ser definido em um painel.
SqlCondition em alertPolicies	Este recurso está desativado. Não é possível adicionar um SqlCondition a um alertPolicy.

Cloud NAT

Recursos afetados do Cloud NAT

Recurso	Descrição
Console doGoogle Cloud	Os recursos do Cloud NAT não estão disponíveis no console Google Cloud . Use a API ou a Google Cloud CLI.

Cloud Router

Recursos afetados do Cloud Router

Recurso	Descrição
Console doGoogle Cloud	Os recursos do Cloud Router não estão disponíveis no console do Google Cloud . Use a API ou a Google Cloud CLI.

Cloud Run

Recursos afetados do Cloud Run

Recurso	Descrição
Recursos não suportados	Os seguintes recursos do Cloud Run não são compatíveis: Integração do Cloud Trace Cloud Run functions Gatilhos do Eventarc

Cloud SQL

Recursos afetados do Cloud SQL

Recurso	Descrição
Exportando para CSV	Não use o recurso Exportar para CSV, porque ele não está em conformidade com a ITAR. Esse recurso está desativado no console Google Cloud .
executeSql	Não use o método executeSql da API Cloud SQL, porque ele não está em conformidade com o ITAR.

Cloud Storage

Recursos afetados do Cloud Storage

Recurso	Descrição
Console doGoogle Cloud	Para manter a conformidade com o ITAR, é sua responsabilidade usar o console Google Cloud jurisdicional. O console jurisdicional impede o upload e o download de objetos do Cloud Storage. Para fazer upload e download de objetos do Cloud Storage, consulte a linha Endpoints de API compatíveis nesta seção.
Endpoints de API compatíveis	É necessário usar um dos endpoints regionais em conformidade com a ITAR com o Cloud Storage. Consulte Endpoints regionais do Cloud Storage e Locais do Cloud Storage para mais informações.
Restrições	É preciso usar endpoints regionais do Cloud Storage para obedecer ao ITAR. Para mais informações sobre endpoints regionais do Cloud Storage para ITAR, consulte Endpoints regionais do Cloud Storage. As operações a seguir não são compatíveis com endpoints regionais. No entanto, essas operações não transferem dados do cliente, conforme definido nos termos de serviço de residência de dados. Portanto, é possível usar endpoints globais para essas operações conforme necessário sem violar a conformidade com o ITAR: Operações de chave HMAC Operações da conta de serviço do IAM Notificações do Pub/Sub Se um usuário tentar executar uma operação incompatível usando endpoints regionais, o Cloud Storage retornará um código de erro HTTP 400 com a mensagem de erro: This endpoint does not implement this operation. Please use the global endpoint.
Copiar e reescrever objetos	As operações de cópia e reescrita de objetos são compatíveis com endpoints regionais se os buckets de origem e destino estiverem localizados na região especificada no endpoint. No entanto, não é possível usar endpoints regionais para copiar ou reescrever um objeto de um bucket para outro se eles estiverem em locais diferentes. É possível usar endpoints globais para copiar ou reescrever em vários locais, mas não recomendamos isso, porque pode violar a conformidade com o ITAR.

Cloud VPN

Recursos afetados do Cloud VPN

Recurso	Descrição
Console doGoogle Cloud	Os recursos do Cloud VPN não estão disponíveis no console do Google Cloud . Use a API ou a Google Cloud CLI.
Criptografia	Use apenas criptografias compatíveis com FIPS 140-2 ao criar certificados e configurar a segurança de IP. Consulte a página Criptografias IKE aceitas para mais informações sobre as criptografias compatíveis com o Cloud VPN. Para orientações sobre como selecionar uma criptografia que esteja em conformidade com os padrões FIPS 140-2, consulte a página Comprovação do FIPS 140-2. Não é possível alterar uma criptografia em Google Cloud. Configure a criptografia no dispositivo de terceiros usado com o Cloud VPN.
Endpoints de VPN	Use apenas endpoints do Cloud VPN localizados em uma região no escopo. Verifique se o gateway da VPN está configurado para uso apenas em uma região no escopo.

Compute Engine

Recursos afetados do Compute Engine

Recurso	Descrição
Como suspender e retomar uma instância de VM	Este recurso está desativado. A suspensão e a retomada de uma instância de VM requer armazenamento em disco permanente. O armazenamento em disco permanente usado para armazenar o estado da VM suspensa não pode ser criptografado usando CMEKs. Consulte a restrição da política da organização gcp.restrictNonCmekServices na seção acima para entender as implicações de soberania de dados e residência de dados ao ativar esse recurso.
SSDs locais	Este recurso está desativado. Não será possível criar uma instância com SSDs locais porque não é possível fazer a criptografia deles usando CMEKs. Consulte a restrição da política da organização gcp.restrictNonCmekServices na seção acima para entender as implicações da soberania de dados e da residência de dados ao ativar esse recurso.
Console doGoogle Cloud	Os seguintes recursos do Compute Engine não estão disponíveis no console do Google Cloud . Use a API ou a Google Cloud CLI: Verificações de integridade Grupos de endpoints de rede
Considerações sobre a segurança dos metadados da VM	É sua responsabilidade não gravar dados sensíveis no servidor de metadados da VM.
VMs da Solução Bare Metal	Não é possível usar VMs da Solução Bare Metal (VMs o2) porque elas não estão em conformidade com a ITAR.
VMs do Google Cloud VMware Engine	Não é possível usar as VMs do Google Cloud VMware Engine, porque elas não estão em conformidade com o ITAR.
Como criar uma instância de VM C3	Esse recurso está desativado.
Como usar discos permanentes ou instantâneos deles sem CMEK	Não é possível usar discos permanentes ou snapshots deles, a menos que tenham sido criptografados usando CMEK.
Como compartilhar um disco permanente SSD no modo de vários gravadores	Não é possível compartilhar um disco permanente SSD no modo de vários gravadores entre instâncias de VM.
Como adicionar um grupo de instâncias a um balanceador de carga global	Não é possível adicionar um grupo de instâncias a um balanceador de carga global. Esse recurso foi desativado pela restrição de política da organização compute.disableGlobalLoadBalancing.
Ambiente para convidado	Os scripts, daemons e binários incluídos no ambiente convidado podem acessar dados não criptografados em repouso e em uso. Dependendo da configuração da VM, as atualizações desse software podem ser instaladas por padrão. Consulte Ambiente de convidado para informações específicas sobre o conteúdo de cada pacote, o código-fonte e muito mais. Esses componentes ajudam a atender à soberania de dados com processos e controles de segurança internos. No entanto, se você quiser mais controle, também poderá selecionar suas próprias imagens ou agentes e, opcionalmente, usar a restrição de política da organização compute.trustedImageProjects. Para mais informações, consulte Como criar uma imagem personalizada.
Políticas do SO no VM Manager	Os scripts inline e os arquivos de saída binários nos arquivos de política do SO não são criptografados usando chaves de criptografia gerenciadas pelo cliente (CMEK). Não inclua informações sensíveis nesses arquivos. Considere armazenar esses scripts e arquivos de saída em buckets do Cloud Storage. Para mais informações, consulte Exemplos de políticas de SO. Se você quiser restringir a criação ou modificação de recursos de política de SO que usam scripts inline ou arquivos de saída binários, ative a restrição de política da organização constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Para mais informações, consulte Restrições para a Configuração do SO.
instances.getSerialPortOutput()	Essa API está desativada. Não será possível receber a saída da porta serial da instância especificada usando essa API. Mude o valor da restrição da política da organização compute.disableInstanceDataAccessApis para False e ative a API. Também é possível ativar e usar a porta serial interativa seguindo as instruções em Como ativar o acesso para um projeto.
instances.getScreenshot()	Essa API está desativada. Não será possível receber uma captura de tela da instância especificada usando essa API. Mude o valor da restrição da política da organização compute.disableInstanceDataAccessApis para False para ativar essa API. Também é possível ativar e usar a porta serial interativa seguindo as instruções em Ativar o acesso a um projeto.

Restrições da política da organização do Compute Engine

Restrição da política da organização	Descrição
compute.enableComplianceMemoryProtection	Definido como Verdadeiro. Desativa alguns recursos de diagnóstico interno para fornecer proteção adicional do conteúdo da memória quando ocorre uma falha de infraestrutura. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.
compute.disableGlobalCloudArmorPolicy	Definido como Verdadeiro. Desativa a criação de novas políticas de segurança globais do Google Cloud Armor e a adição ou modificação de regras às políticas de segurança globais do Google Cloud Armor. Essa restrição não afeta a remoção de regras nem a capacidade de remover ou alterar a descrição e a listagem de políticas de segurança globais do Google Cloud Armor. As políticas de segurança regionais do Google Cloud Armor não são afetadas por essa restrição. As políticas de segurança globais e regionais que existiam antes da aplicação dessa restrição continuam em vigor.
compute.disableGlobalLoadBalancing	Definido como Verdadeiro. Desativa a criação de produtos de balanceamento de carga global. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da sua carga de trabalho.
compute.disableGlobalSelfManagedSslCertificate	Definido como Verdadeiro. Desativa a criação de certificados SSL autogerenciados globais. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.
compute.disableInstanceDataAccessApis	Definido como Verdadeiro. Desativa globalmente as APIs instances.getSerialPortOutput() e instances.getScreenshot(). Ativar essa restrição impede que você gere credenciais em VMs do Windows Server. Se você precisar gerenciar um nome de usuário e uma senha em uma VM do Windows, faça o seguinte: Ativar SSH para VMs do Windows. Execute o seguinte comando para alterar a senha da VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Substitua: VM_NAME: o nome da VM para a qual você está definindo a senha. USERNAME: o nome de usuário de quem você está definindo a senha. PASSWORD: a nova senha.
compute.requireOsConfig	Definido como Verdadeiro. Ativa o VM Manager (configuração do SO) em todos os novos projetos. Todas as instâncias de VM criadas em novos projetos têm o VM Manager ativado.
compute.restrictNonConfidentialComputing	(Opcional) O valor não está definido. Defina esse valor para fornecer uma defesa em profundidade adicional. Para mais informações, consulte a documentação sobre VMs confidenciais.
compute.trustedImageProjects	(Opcional) O valor não está definido. Defina esse valor para fornecer uma defesa em profundidade adicional. A definição desse valor restringe o armazenamento de imagens e a instanciação de disco à lista especificada de projetos. Esse valor afeta a soberania de dados, impedindo o uso de imagens ou agentes não autorizados.

Knowledge Catalog

Recursos do Knowledge Catalog

Recurso	Descrição
Attribute Store	Esse recurso foi descontinuado e desativado.
Data Catalog	Esse recurso foi descontinuado e desativado. Não é possível pesquisar nem gerenciar seus metadados no Data Catalog.
Lakes e zonas	Este recurso está desativado. Não é possível gerenciar lakes, zonas e tarefas.

Google Cloud Armor

Recursos afetados do Google Cloud Armor

Recurso	Descrição
Políticas de segurança com escopo global	Esse recurso é desativado pela restrição da política da organização compute.disableGlobalCloudArmorPolicy.

Google Kubernetes Engine

Recursos afetados do Google Kubernetes Engine

Recurso	Descrição
Restrições de recursos do cluster	Verifique se a configuração do cluster não usa recursos para serviços que não são compatíveis com o ITAR. Por exemplo, a configuração a seguir é inválida porque exige a ativação ou o uso de um serviço não compatível: set `binaryAuthorization.evaluationMode` to `enabled`

Restrições da política da organização do Google Kubernetes Engine

Restrição da política da organização	Descrição
container.restrictNoncompliantDiagnosticDataAccess	Definido como Verdadeiro. Desativa a análise agregada de problemas de kernel, que é necessária para manter o controle soberano de uma carga de trabalho. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.

Network Connectivity Center

Recursos afetados do Network Connectivity Center

Recurso	Descrição
Console doGoogle Cloud	Os recursos do Network Connectivity Center não estão disponíveis no console Google Cloud . Use a API ou a Google Cloud CLI.

Pub/Sub

Restrições da política da organização do Pub/Sub

Restrição da política da organização	Descrição
pubsub.enforceInTransitRegions	Definido como Verdadeiro. Garante que os dados do cliente transitem somente dentro das regiões permitidas especificadas na política de armazenamento de mensagens para o tópico do Pub/Sub. Alterar esse valor pode afetar a residência de dados ou a soberania de dados da sua carga de trabalho.
pubsub.managed.disableSubscriptionMessageTransforms	Definido como Verdadeiro. Desativa a configuração de assinaturas do Pub/Sub com transformações de mensagem única (SMTs). Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.
pubsub.managed.disableTopicMessageTransforms	Definido como Verdadeiro. Impede que os tópicos do Pub/Sub sejam definidos com transformações de mensagem única (SMTs). Alterar esse valor pode afetar a residência de dados ou a soberania de dados da sua carga de trabalho.

Security Command Center Premium

Recursos afetados do Security Command Center Premium

Recurso	Descrição
Compliance Manager	O Compliance Manager não é compatível e não atende aos requisitos de controle do ITAR.
Gerenciamento de Postura de Segurança de Dados	O Gerenciamento de Postura de Segurança de Dados não é compatível e não atende aos requisitos de controle do ITAR.

Spanner

Recursos do Spanner afetados

Recurso

Descrição

Limites de divisão

O Spanner usa um pequeno subconjunto de chaves primárias e colunas indexadas para definir limites de divisão, que podem incluir dados e metadados do cliente. Um limite de divisão no Spanner indica o local em que intervalos contíguos de linhas são divididos em partes menores. Esses limites de divisão podem ser acessados pela equipe do Google para fins de suporte técnico e depuração, e não estão sujeitos aos controles de dados de acesso administrativo no Assured Workloads.

Restrições da política da organização do Spanner

Restrição da política da organização	Descrição
spanner.assuredWorkloadsAdvancedServiceControls	Definido como Verdadeiro. Aplica controles adicionais de soberania de dados e suporte aos recursos do Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected	Definido como Verdadeiro. Desativa a capacidade de criar instâncias multirregionais do Spanner para aplicar a residência e a soberania de dados.

Vertex AI

Restrições da política da organização da Vertex AI

Restrição da política da organização	Descrição
vertexai.allowOnlyITARCompliantAPIs	Definido como Verdadeiro. Permite que apenas APIs em conformidade com ITAR sejam usadas nas APIs Vertex AI. Por padrão, todas as APIs são permitidas.

Nuvem privada virtual (VPC)

Recursos de VPC afetados

Recurso	Descrição
Console doGoogle Cloud	Os recursos de rede VPC não estão disponíveis no console do Google Cloud . Use a API ou a Google Cloud CLI.

A seguir

• Saiba como criar uma pasta do Assured Workloads.
• Entenda os preços do Assured Workloads