Límite de datos para el Reglamento Internacional de Tráfico de Armas (ITAR)

Importante: Antes de seguir las instrucciones de esta página, debes buscar asesoramiento legal independiente sobre tus responsabilidades en virtud de la ITAR. Ninguna parte de este documento pretende proporcionarte asesoramiento legal ni debe usarse como sustituto de este.

En esta página, se describe el conjunto de controles que se aplican a las cargas de trabajo de ITAR en Assured Workloads. Proporciona información detallada sobre la residencia de datos, los productos Google Cloud compatibles y sus endpoints de API, y cualquier restricción o limitación aplicable a esos productos. La siguiente información adicional se aplica a ITAR:

• Residencia de datos: El paquete de controles de ITAR establece controles de ubicación de datos para admitir regiones solo de EE.UU. Consulta la sección Restricciones de las políticas de la organización para todoGoogle Cloud para obtener más información.
• Asistencia: Los servicios de asistencia técnica para las cargas de trabajo de ITAR están disponibles con las suscripciones de Atención al cliente de Cloud mejorada o premium. Los casos de asistencia de las cargas de trabajo de ITAR se enrutan a personas físicas o jurídicas de EE.UU. que se encuentran en ese país. Si necesitas más información, consulta Obtén asistencia.
• Precios: El paquete de control de ITAR se incluye en el nivel Premium de Assured Workloads, que genera un cargo adicional del 20%. Consulta los precios de Assured Workloads para obtener más información.

Requisitos previos

Para mantener el cumplimiento como usuario del paquete de control de ITAR, verifica que cumplas con los siguientes requisitos previos:

• Crea una carpeta del ITAR con Assured Workloads y, luego, implementa tus cargas de trabajo del ITAR solo en esa carpeta.
• Solo habilita y usa servicios de ITAR dentro del alcance para las cargas de trabajo de ITAR.
• No uses los servidores de MCP de Google Cloud, a menos que se indique lo contrario. El ITAR no proporciona controles de residencia de datos para los datos en uso y en tránsito con los servidores de MCP de Google Cloud. Para bloquear el acceso no deseado a los servidores de MCP de Google Cloud, consulta la página Controla el uso de los servidores de MCP de Google Cloud con IAM.
• No cambies los valores predeterminados de las restricciones de las políticas de la organización, a menos que comprendas y estés dispuesto a aceptar los riesgos de residencia de datos que podrían ocurrir.
• Cuando accedas a la consola de Google Cloud para las cargas de trabajo de ITAR, debes usar una de las siguientes URLs de la consola de Google Cloud jurisdiccional:
  • console.us.cloud.google.com
  • console.us.cloud.google para usuarios de identidad federada
• Cuando te conectes a extremos de servicio de Google Cloud , debes usar extremos regionales para los servicios que los ofrecen. Además:
  • Cuando te conectes a los extremos de servicio de Google Cloud desde VMs que no sean deGoogle Cloud, como las VMs locales o de otros proveedores de servicios en la nube, debes usar una de las opciones de acceso privado disponibles que admiten conexiones a VMs que no sean deGoogle Cloud para enrutar el tráfico que no sea deGoogle Cloud a Google Cloud.
  • Cuando te conectas a Google Cloud extremos de servicio desde Google Cloud VMs, puedes usar cualquiera de las opciones de acceso privado disponibles.
  • Cuando te conectes a Google Cloud VMs que se hayan expuesto con direcciones IP externas, consulta Accede a las APIs desde las VMs con direcciones IP externas.
• Para todos los servicios que se usan en una carpeta de ITAR, no almacenes datos técnicos en los siguientes tipos de información de configuración de seguridad o definidos por el usuario:
  • Mensajes de error
  • Resultado de la consola
  • Datos de atributos
  • Datos de configuración del servicio
  • Encabezados de paquetes de red
  • Identificadores de recursos
  • Etiquetas de datos
• Usa solo los extremos regionales especificados para los servicios que los ofrecen. Para obtener más información, consulta Servicios de ITAR incluidos en el alcance.
• Considera adoptar las prácticas recomendadas de seguridad generales que se proporcionan en el centro de prácticas recomendadas de seguridad deGoogle Cloud .

Productos y extremos de API compatibles

A menos que se indique lo contrario, los usuarios pueden acceder a todos los productos compatibles a través de la consola de Google Cloud . Las restricciones o limitaciones que afectan las funciones de un producto compatible, incluidas las que se aplican a través de la configuración de restricciones de las políticas de la organización, se indican en la siguiente tabla.

Si un producto no aparece en la lista, significa que no es compatible y que no cumple con los requisitos de control de la ITAR. No se recomienda el uso de productos no compatibles sin la diligencia debida y una comprensión profunda de tus responsabilidades en el modelo de responsabilidad compartida. Antes de usar un producto no compatible, asegúrate de conocer y aceptar los riesgos asociados, como los impactos negativos en la residencia de los datos o la soberanía de los datos.

Nota: Es posible que los productos no admitidos compartan un extremo de servicio de la API con los productos admitidos, lo que los hace disponibles para todos los usuarios.

Importante: Los servidores de MCP de Google Cloud no son compatibles con ningún producto de ITAR, a menos que se indique lo contrario. El ITAR no proporciona controles de residencia de datos para los datos en uso y en tránsito con los servidores de MCP de Google Cloud. Es tu responsabilidad asegurarte de que los extremos de los servidores de MCP de Google Cloud no se usen con ningún producto de ITAR. Para bloquear el acceso no deseado a los servidores de MCP de Google Cloud, consulta la página Controla el uso de los servidores de MCP de Google Cloud con IAM.

Los servicios que interactúan con los Datos del Cliente en sus operaciones de API proporcionan endpoints de API regionales. Usa estos endpoints en lugar del endpoint de API global del servicio para mantener el cumplimiento de ITAR. Para los servicios cuyas operaciones de API no están diseñadas para interactuar con los Datos del Cliente, hay endpoints de API globales disponibles. Es tu responsabilidad asegurarte de no transmitir datos técnicos regulados por ITAR a través de estos endpoints de API globales. Consulta Residencia de datos para obtener más información sobre los Datos del Cliente y los Datos del Servicio.

Productos compatibles con extremos de API regionales

En la siguiente tabla, se proporciona una lista de los productos compatibles y sus endpoints de API regionales. Estos endpoints de API están diseñados para procesar y transmitir datos de clientes. Para respaldar tus requisitos de cumplimiento de ITAR cuando uses estos productos, debes usar un extremo de API regional disponible en lugar de un extremo de API global.

Producto compatible	Endpoints de APIs regionales	Restricciones o limitaciones
AlloyDB para PostgreSQL	alloydb.us-central1.rep.googleapis.com alloydb.us-central2.rep.googleapis.com alloydb.us-east1.rep.googleapis.com alloydb.us-east4.rep.googleapis.com alloydb.us-east5.rep.googleapis.com alloydb.us-east7.rep.googleapis.com alloydb.us-south1.rep.googleapis.com alloydb.us-west1.rep.googleapis.com alloydb.us-west2.rep.googleapis.com alloydb.us-west3.rep.googleapis.com alloydb.us-west4.rep.googleapis.com	Ninguno
Apigee	apigee.us.rep.googleapis.com	Ninguno
Artifact Analysis	containeranalysis.us.rep.googleapis.com containeranalysis.us-central1.rep.googleapis.com containeranalysis.us-central2.rep.googleapis.com containeranalysis.us-east1.rep.googleapis.com containeranalysis.us-east4.rep.googleapis.com containeranalysis.us-east5.rep.googleapis.com containeranalysis.us-east7.rep.googleapis.com containeranalysis.us-south1.rep.googleapis.com containeranalysis.us-west1.rep.googleapis.com containeranalysis.us-west2.rep.googleapis.com containeranalysis.us-west3.rep.googleapis.com containeranalysis.us-west4.rep.googleapis.com	Ninguno
Artifact Registry	artifactregistry.us.rep.googleapis.com artifactregistry.us-central1.rep.googleapis.com artifactregistry.us-central2.rep.googleapis.com artifactregistry.us-east1.rep.googleapis.com artifactregistry.us-east4.rep.googleapis.com artifactregistry.us-east5.rep.googleapis.com artifactregistry.us-east7.rep.googleapis.com artifactregistry.us-south1.rep.googleapis.com artifactregistry.us-west1.rep.googleapis.com artifactregistry.us-west2.rep.googleapis.com artifactregistry.us-west3.rep.googleapis.com artifactregistry.us-west4.rep.googleapis.com artifactregistry.us-west8.rep.googleapis.com	Ninguno
Servicio Backup and DR	backupdr.us.rep.googleapis.com backupdr.us-central1.rep.googleapis.com backupdr.us-central2.rep.googleapis.com backupdr.us-east1.rep.googleapis.com backupdr.us-east4.rep.googleapis.com backupdr.us-east5.rep.googleapis.com backupdr.us-east7.rep.googleapis.com backupdr.us-south1.rep.googleapis.com backupdr.us-west1.rep.googleapis.com backupdr.us-west2.rep.googleapis.com backupdr.us-west3.rep.googleapis.com backupdr.us-west4.rep.googleapis.com backupdr.us-west8.rep.googleapis.com	Ninguno
Copia de seguridad para Google Kubernetes Engine (GKE)	gkebackup.us-central1.rep.googleapis.com gkebackup.us-east1.rep.googleapis.com gkebackup.us-east4.rep.googleapis.com gkebackup.us-east5.rep.googleapis.com gkebackup.us-east7.rep.googleapis.com gkebackup.us-south1.rep.googleapis.com gkebackup.us-west1.rep.googleapis.com gkebackup.us-west2.rep.googleapis.com gkebackup.us-west3.rep.googleapis.com gkebackup.us-west4.rep.googleapis.com gkebackup.us-west8.rep.googleapis.com	Ninguno
BigQuery	bigquery.us-central1.rep.googleapis.com bigquery.us-central2.rep.googleapis.com bigquery.us-east1.rep.googleapis.com bigquery.us-east4.rep.googleapis.com bigquery.us-east5.rep.googleapis.com bigquery.us-east7.rep.googleapis.com bigquery.us-south1.rep.googleapis.com bigquery.us-west1.rep.googleapis.com bigquery.us-west2.rep.googleapis.com bigquery.us-west3.rep.googleapis.com bigquery.us-west4.rep.googleapis.com bigquery.us-west8.rep.googleapis.com bigquerymigration.us-central1.rep.googleapis.com bigquerymigration.us-central2.rep.googleapis.com bigquerymigration.us-east1.rep.googleapis.com bigquerymigration.us-east4.rep.googleapis.com bigquerymigration.us-east5.rep.googleapis.com bigquerymigration.us-east7.rep.googleapis.com bigquerymigration.us-south1.rep.googleapis.com bigquerymigration.us-west1.rep.googleapis.com bigquerymigration.us-west2.rep.googleapis.com bigquerymigration.us-west3.rep.googleapis.com bigquerymigration.us-west4.rep.googleapis.com bigquerymigration.us-west8.rep.googleapis.com bigqueryreservation.us-central1.rep.googleapis.com bigqueryreservation.us-central2.rep.googleapis.com bigqueryreservation.us-east1.rep.googleapis.com bigqueryreservation.us-east4.rep.googleapis.com bigqueryreservation.us-east5.rep.googleapis.com bigqueryreservation.us-east7.rep.googleapis.com bigqueryreservation.us-south1.rep.googleapis.com bigqueryreservation.us-west1.rep.googleapis.com bigqueryreservation.us-west2.rep.googleapis.com bigqueryreservation.us-west3.rep.googleapis.com bigqueryreservation.us-west4.rep.googleapis.com bigqueryreservation.us-west8.rep.googleapis.com bigquerystorage.us-central1.rep.googleapis.com bigquerystorage.us-central2.rep.googleapis.com bigquerystorage.us-east1.rep.googleapis.com bigquerystorage.us-east4.rep.googleapis.com bigquerystorage.us-east5.rep.googleapis.com bigquerystorage.us-east7.rep.googleapis.com bigquerystorage.us-south1.rep.googleapis.com bigquerystorage.us-west1.rep.googleapis.com bigquerystorage.us-west2.rep.googleapis.com bigquerystorage.us-west3.rep.googleapis.com bigquerystorage.us-west4.rep.googleapis.com bigquerystorage.us-west8.rep.googleapis.com	Funciones afectadas
Servicio de transferencia de datos de BigQuery	bigquerydatatransfer.us-central1.rep.googleapis.com bigquerydatatransfer.us-central2.rep.googleapis.com bigquerydatatransfer.us-east1.rep.googleapis.com bigquerydatatransfer.us-east4.rep.googleapis.com bigquerydatatransfer.us-east5.rep.googleapis.com bigquerydatatransfer.us-east7.rep.googleapis.com bigquerydatatransfer.us-south1.rep.googleapis.com bigquerydatatransfer.us-west1.rep.googleapis.com bigquerydatatransfer.us-west2.rep.googleapis.com bigquerydatatransfer.us-west3.rep.googleapis.com bigquerydatatransfer.us-west4.rep.googleapis.com bigquerydatatransfer.us-west8.rep.googleapis.com	Ninguno
Bigtable	bigtable.us-central1.rep.googleapis.com bigtable.us-central2.rep.googleapis.com bigtable.us-east1.rep.googleapis.com bigtable.us-east4.rep.googleapis.com bigtable.us-east5.rep.googleapis.com bigtable.us-east7.rep.googleapis.com bigtable.us-south1.rep.googleapis.com bigtable.us-west1.rep.googleapis.com bigtable.us-west2.rep.googleapis.com bigtable.us-west3.rep.googleapis.com bigtable.us-west4.rep.googleapis.com bigtable.us-west8.rep.googleapis.com	Ninguno
Cloud Build	cloudbuild.us-central1.rep.googleapis.com cloudbuild.us-central2.rep.googleapis.com cloudbuild.us-east1.rep.googleapis.com cloudbuild.us-east4.rep.googleapis.com cloudbuild.us-east5.rep.googleapis.com cloudbuild.us-east7.rep.googleapis.com cloudbuild.us-south1.rep.googleapis.com cloudbuild.us-west1.rep.googleapis.com cloudbuild.us-west2.rep.googleapis.com cloudbuild.us-west3.rep.googleapis.com cloudbuild.us-west4.rep.googleapis.com cloudbuild.us-west8.rep.googleapis.com	Ninguno
Cloud Deploy	clouddeploy.us-central1.rep.googleapis.com clouddeploy.us-east1.rep.googleapis.com clouddeploy.us-east4.rep.googleapis.com clouddeploy.us-east5.rep.googleapis.com clouddeploy.us-east7.rep.googleapis.com clouddeploy.us-south1.rep.googleapis.com clouddeploy.us-west1.rep.googleapis.com clouddeploy.us-west2.rep.googleapis.com clouddeploy.us-west3.rep.googleapis.com clouddeploy.us-west4.rep.googleapis.com	Ninguno
Cloud External Key Manager (Cloud EKM)	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Ninguno
Cloud HSM	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Ninguno
Cloud Interconnect	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas
Cloud Key Management Service (Cloud KMS)	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Ninguno
Cloud Load Balancing	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas
Cloud Logging	logging.us.rep.googleapis.com logging.us-central1.rep.googleapis.com logging.us-central2.rep.googleapis.com logging.us-east1.rep.googleapis.com logging.us-east4.rep.googleapis.com logging.us-east5.rep.googleapis.com logging.us-east7.rep.googleapis.com logging.us-south1.rep.googleapis.com logging.us-west1.rep.googleapis.com logging.us-west2.rep.googleapis.com logging.us-west3.rep.googleapis.com logging.us-west4.rep.googleapis.com logging.us-west8.rep.googleapis.com	Funciones afectadas
Cloud NAT	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas
Cloud Router	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas
Cloud Run	run.us-central1.rep.googleapis.com run.us-central2.rep.googleapis.com run.us-east1.rep.googleapis.com run.us-east4.rep.googleapis.com run.us-east5.rep.googleapis.com run.us-east7.rep.googleapis.com run.us-south1.rep.googleapis.com run.us-west1.rep.googleapis.com run.us-west2.rep.googleapis.com run.us-west3.rep.googleapis.com run.us-west4.rep.googleapis.com run.us-west8.rep.googleapis.com	Funciones afectadas
Cloud SQL	sqladmin.us-central1.rep.googleapis.com sqladmin.us-central2.rep.googleapis.com sqladmin.us-east1.rep.googleapis.com sqladmin.us-east4.rep.googleapis.com sqladmin.us-east5.rep.googleapis.com sqladmin.us-east7.rep.googleapis.com sqladmin.us-south1.rep.googleapis.com sqladmin.us-west1.rep.googleapis.com sqladmin.us-west2.rep.googleapis.com sqladmin.us-west3.rep.googleapis.com sqladmin.us-west4.rep.googleapis.com sqladmin.us-west8.rep.googleapis.com	Funciones afectadas
Cloud Service Mesh	trafficdirector.us-central1.rep.googleapis.com trafficdirector.us-central2.rep.googleapis.com trafficdirector.us-east1.rep.googleapis.com trafficdirector.us-east4.rep.googleapis.com trafficdirector.us-east5.rep.googleapis.com trafficdirector.us-east7.rep.googleapis.com trafficdirector.us-south1.rep.googleapis.com trafficdirector.us-west1.rep.googleapis.com trafficdirector.us-west2.rep.googleapis.com trafficdirector.us-west3.rep.googleapis.com trafficdirector.us-west4.rep.googleapis.com trafficdirector.us-west8.rep.googleapis.com	Ninguno
Spanner	spanner.us.rep.googleapis.com spanner.us-central1.rep.googleapis.com spanner.us-central2.rep.googleapis.com spanner.us-east1.rep.googleapis.com spanner.us-east4.rep.googleapis.com spanner.us-east5.rep.googleapis.com spanner.us-east7.rep.googleapis.com spanner.us-south1.rep.googleapis.com spanner.us-west1.rep.googleapis.com spanner.us-west2.rep.googleapis.com spanner.us-west3.rep.googleapis.com spanner.us-west4.rep.googleapis.com spanner.us-west8.rep.googleapis.com	Funciones afectadas y restricciones de las políticas de la organización
Cloud Storage	storage.us.rep.googleapis.com storage.us-central1.rep.googleapis.com storage.us-central2.rep.googleapis.com storage.us-east1.rep.googleapis.com storage.us-east4.rep.googleapis.com storage.us-east5.rep.googleapis.com storage.us-east7.rep.googleapis.com storage.us-south1.rep.googleapis.com storage.us-west1.rep.googleapis.com storage.us-west2.rep.googleapis.com storage.us-west3.rep.googleapis.com storage.us-west4.rep.googleapis.com storage.us-west8.rep.googleapis.com	Funciones afectadas
Cloud VPN	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas
Compute Engine	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas y restricciones de las políticas de la organización
Dataflow	dataflow.us-central1.rep.googleapis.com dataflow.us-central2.rep.googleapis.com dataflow.us-east1.rep.googleapis.com dataflow.us-east4.rep.googleapis.com dataflow.us-east5.rep.googleapis.com dataflow.us-east7.rep.googleapis.com dataflow.us-south1.rep.googleapis.com dataflow.us-west1.rep.googleapis.com dataflow.us-west2.rep.googleapis.com dataflow.us-west3.rep.googleapis.com dataflow.us-west4.rep.googleapis.com dataflow.us-west8.rep.googleapis.com	Ninguno
Eventarc	eventarc.us.rep.googleapis.com eventarc.us-central1.rep.googleapis.com eventarc.us-central2.rep.googleapis.com eventarc.us-east1.rep.googleapis.com eventarc.us-east4.rep.googleapis.com eventarc.us-east5.rep.googleapis.com eventarc.us-east7.rep.googleapis.com eventarc.us-south1.rep.googleapis.com eventarc.us-west1.rep.googleapis.com eventarc.us-west2.rep.googleapis.com eventarc.us-west3.rep.googleapis.com eventarc.us-west4.rep.googleapis.com eventarc.us-west8.rep.googleapis.com	Ninguno
Balanceador de cargas de red de transferencia externo	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Ninguno
Filestore	file.us-central1.rep.googleapis.com file.us-central2.rep.googleapis.com file.us-east1.rep.googleapis.com file.us-east4.rep.googleapis.com file.us-east5.rep.googleapis.com file.us-east7.rep.googleapis.com file.us-south1.rep.googleapis.com file.us-west1.rep.googleapis.com file.us-west2.rep.googleapis.com file.us-west3.rep.googleapis.com file.us-west4.rep.googleapis.com file.us-west8.rep.googleapis.com	Ninguno
Firestore	datastore.us.rep.googleapis.com datastore.us-central1.rep.googleapis.com datastore.us-east1.rep.googleapis.com datastore.us-east4.rep.googleapis.com datastore.us-east5.rep.googleapis.com datastore.us-east7.rep.googleapis.com datastore.us-south1.rep.googleapis.com datastore.us-west1.rep.googleapis.com datastore.us-west2.rep.googleapis.com datastore.us-west3.rep.googleapis.com datastore.us-west4.rep.googleapis.com datastore.us-west8.rep.googleapis.com firestore.us.rep.googleapis.com firestore.us-central1.rep.googleapis.com firestore.us-east1.rep.googleapis.com firestore.us-east4.rep.googleapis.com firestore.us-east5.rep.googleapis.com firestore.us-east7.rep.googleapis.com firestore.us-south1.rep.googleapis.com firestore.us-west1.rep.googleapis.com firestore.us-west2.rep.googleapis.com firestore.us-west3.rep.googleapis.com firestore.us-west4.rep.googleapis.com firestore.us-west8.rep.googleapis.com	Restricciones de las políticas de la organización
Google Kubernetes Engine (GKE) Hub (flotas)	gkehub.us-central1.rep.googleapis.com gkehub.us-central2.rep.googleapis.com gkehub.us-east1.rep.googleapis.com gkehub.us-east4.rep.googleapis.com gkehub.us-east5.rep.googleapis.com gkehub.us-east7.rep.googleapis.com gkehub.us-south1.rep.googleapis.com gkehub.us-west1.rep.googleapis.com gkehub.us-west2.rep.googleapis.com gkehub.us-west3.rep.googleapis.com gkehub.us-west4.rep.googleapis.com gkehub.us-west8.rep.googleapis.com	Ninguno
IA generativa en Vertex AI	aiplatform.us.rep.googleapis.com	Restricciones de las políticas de la organización
Google Cloud Armor	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas
Google Cloud Managed Service para Apache Kafka	managedkafka.us-central1.rep.googleapis.com managedkafka.us-east1.rep.googleapis.com managedkafka.us-east4.rep.googleapis.com managedkafka.us-east5.rep.googleapis.com managedkafka.us-east7.rep.googleapis.com managedkafka.us-south1.rep.googleapis.com managedkafka.us-west1.rep.googleapis.com managedkafka.us-west2.rep.googleapis.com managedkafka.us-west3.rep.googleapis.com managedkafka.us-west4.rep.googleapis.com	Ninguno
Balanceador de cargas de red de transferencia interno	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Ninguno
Key Access Justifications	cloudkms.us.rep.googleapis.com cloudkms.us-central1.rep.googleapis.com cloudkms.us-central2.rep.googleapis.com cloudkms.us-east1.rep.googleapis.com cloudkms.us-east4.rep.googleapis.com cloudkms.us-east5.rep.googleapis.com cloudkms.us-east7.rep.googleapis.com cloudkms.us-south1.rep.googleapis.com cloudkms.us-west1.rep.googleapis.com cloudkms.us-west2.rep.googleapis.com cloudkms.us-west3.rep.googleapis.com cloudkms.us-west4.rep.googleapis.com cloudkms.us-west8.rep.googleapis.com	Ninguno
Knowledge Catalog	dataplex.us.rep.googleapis.com dataplex.us-central1.rep.googleapis.com dataplex.us-central2.rep.googleapis.com dataplex.us-east1.rep.googleapis.com dataplex.us-east4.rep.googleapis.com dataplex.us-east5.rep.googleapis.com dataplex.us-east7.rep.googleapis.com dataplex.us-south1.rep.googleapis.com dataplex.us-west1.rep.googleapis.com dataplex.us-west2.rep.googleapis.com dataplex.us-west3.rep.googleapis.com dataplex.us-west4.rep.googleapis.com dataplex.us-west8.rep.googleapis.com datalineage.us.rep.googleapis.com datalineage.us-central1.rep.googleapis.com datalineage.us-central2.rep.googleapis.com datalineage.us-east1.rep.googleapis.com datalineage.us-east4.rep.googleapis.com datalineage.us-east5.rep.googleapis.com datalineage.us-east7.rep.googleapis.com datalineage.us-south1.rep.googleapis.com datalineage.us-west1.rep.googleapis.com datalineage.us-west2.rep.googleapis.com datalineage.us-west3.rep.googleapis.com datalineage.us-west4.rep.googleapis.com	Funciones afectadas
Looker (Google Cloud Core)	looker.us-central1.rep.googleapis.com looker.us-east1.rep.googleapis.com looker.us-east4.rep.googleapis.com looker.us-east5.rep.googleapis.com looker.us-east7.rep.googleapis.com looker.us-south1.rep.googleapis.com looker.us-west1.rep.googleapis.com looker.us-west2.rep.googleapis.com looker.us-west3.rep.googleapis.com looker.us-west4.rep.googleapis.com	Ninguno
Managed Service para Apache Airflow	composer.us-central1.rep.googleapis.com composer.us-east1.rep.googleapis.com composer.us-east4.rep.googleapis.com composer.us-east5.rep.googleapis.com composer.us-east7.rep.googleapis.com composer.us-south1.rep.googleapis.com composer.us-west1.rep.googleapis.com composer.us-west2.rep.googleapis.com composer.us-west3.rep.googleapis.com composer.us-west4.rep.googleapis.com	Ninguno
Managed Service para Apache Spark	dataproc-control.us-central1.rep.googleapis.com dataproc-control.us-central2.rep.googleapis.com dataproc-control.us-east1.rep.googleapis.com dataproc-control.us-east4.rep.googleapis.com dataproc-control.us-east5.rep.googleapis.com dataproc-control.us-east7.rep.googleapis.com dataproc-control.us-south1.rep.googleapis.com dataproc-control.us-west1.rep.googleapis.com dataproc-control.us-west2.rep.googleapis.com dataproc-control.us-west3.rep.googleapis.com dataproc-control.us-west4.rep.googleapis.com dataproc-control.us-west8.rep.googleapis.com dataproc.us-central1.rep.googleapis.com dataproc.us-central2.rep.googleapis.com dataproc.us-east1.rep.googleapis.com dataproc.us-east4.rep.googleapis.com dataproc.us-east5.rep.googleapis.com dataproc.us-east7.rep.googleapis.com dataproc.us-south1.rep.googleapis.com dataproc.us-west1.rep.googleapis.com dataproc.us-west2.rep.googleapis.com dataproc.us-west3.rep.googleapis.com dataproc.us-west4.rep.googleapis.com dataproc.us-west8.rep.googleapis.com	Ninguno
Memorystore for Redis	redis.us-central1.rep.googleapis.com redis.us-central2.rep.googleapis.com redis.us-east1.rep.googleapis.com redis.us-east4.rep.googleapis.com redis.us-east5.rep.googleapis.com redis.us-east7.rep.googleapis.com redis.us-south1.rep.googleapis.com redis.us-west1.rep.googleapis.com redis.us-west2.rep.googleapis.com redis.us-west3.rep.googleapis.com redis.us-west4.rep.googleapis.com redis.us-west8.rep.googleapis.com	Ninguno
Persistent Disk	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Ninguno
Pub/Sub	pubsub.us-central1.rep.googleapis.com pubsub.us-central2.rep.googleapis.com pubsub.us-east1.rep.googleapis.com pubsub.us-east4.rep.googleapis.com pubsub.us-east5.rep.googleapis.com pubsub.us-east7.rep.googleapis.com pubsub.us-south1.rep.googleapis.com pubsub.us-west1.rep.googleapis.com pubsub.us-west2.rep.googleapis.com pubsub.us-west3.rep.googleapis.com pubsub.us-west4.rep.googleapis.com pubsub.us-west8.rep.googleapis.com	Restricciones de las políticas de la organización
Balanceador de cargas de aplicaciones externo regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Ninguno
Balanceador de cargas de red del proxy externo regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Ninguno
Balanceador de cargas de aplicaciones interno regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Ninguno
Balanceador de cargas de red del proxy interno regional	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Ninguno
Secret Manager	secretmanager.us.rep.googleapis.com secretmanager.us-central1.rep.googleapis.com secretmanager.us-central2.rep.googleapis.com secretmanager.us-east1.rep.googleapis.com secretmanager.us-east4.rep.googleapis.com secretmanager.us-east5.rep.googleapis.com secretmanager.us-east7.rep.googleapis.com secretmanager.us-south1.rep.googleapis.com secretmanager.us-west1.rep.googleapis.com secretmanager.us-west2.rep.googleapis.com secretmanager.us-west3.rep.googleapis.com secretmanager.us-west4.rep.googleapis.com	Ninguno
Secure Source Manager	securesourcemanager.us-central1.rep.googleapis.com securesourcemanager.us-east1.rep.googleapis.com securesourcemanager.us-east4.rep.googleapis.com securesourcemanager.us-east7.rep.googleapis.com securesourcemanager.us-west2.rep.googleapis.com	Ninguno
Security Command Center Premium	securitycenter.us.rep.googleapis.com	Funciones afectadas
Sensitive Data Protection	dlp.us.rep.googleapis.com dlp.us-central1.rep.googleapis.com dlp.us-central2.rep.googleapis.com dlp.us-east1.rep.googleapis.com dlp.us-east4.rep.googleapis.com dlp.us-east5.rep.googleapis.com dlp.us-south1.rep.googleapis.com dlp.us-west1.rep.googleapis.com dlp.us-west2.rep.googleapis.com dlp.us-west3.rep.googleapis.com dlp.us-west4.rep.googleapis.com dlp.us-west8.rep.googleapis.com	Ninguno
Directorio de servicios	servicedirectory.us-central1.rep.googleapis.com servicedirectory.us-central2.rep.googleapis.com servicedirectory.us-east1.rep.googleapis.com servicedirectory.us-east4.rep.googleapis.com servicedirectory.us-east5.rep.googleapis.com servicedirectory.us-east7.rep.googleapis.com servicedirectory.us-south1.rep.googleapis.com servicedirectory.us-west1.rep.googleapis.com servicedirectory.us-west2.rep.googleapis.com servicedirectory.us-west3.rep.googleapis.com servicedirectory.us-west4.rep.googleapis.com servicedirectory.us-west8.rep.googleapis.com	Ninguno
Predicción en línea de Vertex AI	aiplatform.us.rep.googleapis.com	Restricciones de las políticas de la organización
VM Manager	osconfig.us-central1.rep.googleapis.com osconfig.us-central2.rep.googleapis.com osconfig.us-east1.rep.googleapis.com osconfig.us-east4.rep.googleapis.com osconfig.us-east5.rep.googleapis.com osconfig.us-east7.rep.googleapis.com osconfig.us-south1.rep.googleapis.com osconfig.us-west1.rep.googleapis.com osconfig.us-west2.rep.googleapis.com osconfig.us-west3.rep.googleapis.com osconfig.us-west4.rep.googleapis.com osconfig.us-west8.rep.googleapis.com	Ninguno
Nube privada virtual (VPC)	compute.us-central1.rep.googleapis.com compute.us-central2.rep.googleapis.com compute.us-east1.rep.googleapis.com compute.us-east4.rep.googleapis.com compute.us-east5.rep.googleapis.com compute.us-east7.rep.googleapis.com compute.us-south1.rep.googleapis.com compute.us-west1.rep.googleapis.com compute.us-west2.rep.googleapis.com compute.us-west3.rep.googleapis.com compute.us-west4.rep.googleapis.com compute.us-west8.rep.googleapis.com	Funciones afectadas

Productos compatibles con extremos de API globales

En la siguiente tabla, se proporciona una lista de los productos compatibles y sus endpoints de API globales. Estos endpoints de API globales están diseñados para procesar Datos del Servicio, como datos de configuración, metadatos o identificadores de recursos, y no están destinados a controlar Datos del Cliente. Es tu responsabilidad asegurarte de no transmitir datos técnicos regulados por la ITAR a través de estos endpoints de API globales.

Producto compatible	Endpoints de API globales	Restricciones o limitaciones
Aprobación de acceso	accessapproval.googleapis.com	Ninguno
Access Context Manager	accesscontextmanager.googleapis.com	Ninguno
Certificate Authority Service	privateca.googleapis.com	Ninguno
Administrador de certificados	certificatemanager.googleapis.com	Ninguno
API de Cloud Billing	billingbudgets.googleapis.com cloudbilling.googleapis.com	Ninguno
Cloud DNS	dns.googleapis.com	Funciones afectadas
Cloud Monitoring	monitoring.googleapis.com	Funciones afectadas
API de Acceso al SO de Cloud	oslogin.googleapis.com	Ninguno
Contactos esenciales	essentialcontacts.googleapis.com	Ninguno
Reglas de seguridad de Firebase	firebaserules.googleapis.com	Ninguno
Servicio de identidad de Google Kubernetes Engine (GKE)	anthosidentityservice.googleapis.com	Ninguno
Transmisión de imágenes de GKE	containerfilesystem.googleapis.com	Ninguno
Google Kubernetes Engine (GKE)	container.googleapis.com containersecurity.googleapis.com	Funciones afectadas y restricciones de las políticas de la organización
Administración de identidades y accesos (IAM)	iam.googleapis.com policytroubleshooter.googleapis.com	Ninguno
Identity-Aware Proxy (IAP)	iap.googleapis.com	Ninguno
Consola de Google Cloud jurisdiccional	Not applicable	Ninguno
Network Connectivity Center	networkconnectivity.googleapis.com	Funciones afectadas
Servicio de políticas de la organización	orgpolicy.googleapis.com	Ninguno
Resource Manager	cloudresourcemanager.googleapis.com	Ninguno
Controles del servicio de VPC	accesscontextmanager.googleapis.com accesscontextintelligence.googleapis.com	Ninguno

Restricciones y limitaciones

En las siguientes secciones, se describen las restricciones o limitaciones de las funciones para todo Google Cloudo específicas de un producto, incluidas las restricciones de las políticas de la organización que se establecen de forma predeterminada en las carpetas de ITAR. Otras restricciones de políticas de la organización aplicables, incluso si no se establecen de forma predeterminada, pueden proporcionar una defensa en profundidad adicional para proteger aún más los recursos de Google Cloud de tu organización.

Recomendamos no cambiar los valores de las restricciones de la política de la organización obligatorias que se enumeran en las siguientes secciones. Si lo haces, se puede socavar la residencia de los datos. Cuando se realiza este cambio, los efectos de este cambio son difíciles o imposibles de revertir. Asegúrate de comprender las ramificaciones del cambio de valor de una restricción de la política de la organización antes de continuar.

Además, asegúrate de que se actualicen los mecanismos automatizados que usa tu organización para administrar las políticas de la organización a fin de evitar que estos valores se modifiquen de manera involuntaria.

Google Cloud-wide

Funciones afectadas en todo el Google Cloud

Función	Descripción
Consola deGoogle Cloud	Para acceder a la consola de Google Cloud cuando usas el paquete de control de ITAR, debes usar una de las siguientes URLs: console.us.cloud.google.com console.us.cloud.google para usuarios de identidad federada

Restricciones de las políticas de la organización en toda laGoogle Cloud

Las siguientes restricciones de política de la organización se aplican a Google Cloud.

Restricción de las políticas de la organización	Descripción
gcp.resourceLocations	Establece las siguientes ubicaciones en la lista allowedValues: us us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Este valor restringe la creación de recursos nuevos a los valores seleccionados. Cuando se establece, no se pueden crear recursos en ninguna otra región, multirregión ni ubicaciones fuera de la selección. Consulta Servicios compatibles con las ubicaciones de recursos para obtener una lista de los recursos que se pueden restringir con la restricción de la política de la organización de ubicaciones de recursos, ya que algunos recursos pueden estar fuera del alcance y no se pueden restringir. Si cambias este valor y lo haces menos restrictivo, podrías socavar la residencia de datos, ya que permitirá que se creen o almacenen datos fuera de un límite de datos que cumpla con los requisitos.
gcp.restrictCmekCryptoKeyProjects	Se establece en under:organizations/your-organization-name, que es tu organización de Assured Workloads. Puedes restringir aún más este valor si especificas un proyecto o una carpeta. Limita el alcance de las carpetas o los proyectos aprobados que pueden proporcionar claves de Cloud KMS para encriptar datos en reposo con CMEK. Esta restricción evita que las carpetas o los proyectos no aprobados proporcionen claves de encriptación, lo que ayuda a garantizar la soberanía de los datos para los datos en reposo de los servicios dentro del alcance.
gcp.restrictNonCmekServices	Se configura como una lista de todos los nombres de servicios de API dentro del alcance, incluidos los siguientes: aiplatform.googleapis.com alloydb.googleapis.com apigee.googleapis.com artifactregistry.googleapis.com backupdr.googleapis.com bigquery.googleapis.com bigquerydatatransfer.googleapis.com bigtable.googleapis.com cloudfunctions.googleapis.com cloudtasks.googleapis.com composer.googleapis.com compute.googleapis.com contactcenterinsights.googleapis.com container.googleapis.com dataflow.googleapis.com dataform.googleapis.com datafusion.googleapis.com dataplex.googleapis.com dataproc.googleapis.com dialogflow.googleapis.com discoveryengine.googleapis.com documentai.googleapis.com eventarc.googleapis.com Algunas funciones pueden verse afectadas por cada uno de los servicios mencionados anteriormente. Cada servicio enumerado requiere claves de encriptación administradas por el cliente (CMEK). Las CMEK encriptan los datos en reposo con una clave administrada por ti, no con los mecanismos de encriptación predeterminados de Google. Si cambias este valor quitando uno o más servicios dentro del alcance de la lista, es posible que socaves la soberanía de los datos, ya que los datos nuevos en reposo se encriptarán automáticamente con las propias claves de Google en lugar de las tuyas. Los datos en reposo existentes permanecerán encriptados con la clave que proporcionaste.
gcp.restrictServiceUsage	Configura para permitir todos los productos y endpoints de API compatibles. Determina qué servicios se pueden usar restringiendo el acceso en el tiempo de ejecución a sus recursos. Para obtener más información, consulta Restringe el uso de recursos.
gcp.restrictTLSVersion	Se configuró para rechazar las siguientes versiones de TLS: TLS_1_0 TLS_1_1 Para obtener más información, consulta Cómo restringir las versiones de TLS.

BigQuery

Funciones de BigQuery afectadas

Función	Descripción
Habilita BigQuery en una carpeta nueva	BigQuery es compatible, pero no se habilita automáticamente cuando creas una carpeta nueva de Assured Workloads debido a un proceso de configuración interno. Este proceso suele finalizar en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si el proceso finalizó y habilitar BigQuery, completa los siguientes pasos: En la consola de Google Cloud , ve a la página Assured Workloads. Ir a Assured Workloads Selecciona tu nueva carpeta de Assured Workloads en la lista. En la página Detalles de la carpeta, en la sección Servicios permitidos, haz clic en Revisar las actualizaciones disponibles. En el panel Servicios permitidos, revisa los servicios que se agregarán a la política de la organización de restricción del uso de recursos para la carpeta. Si se enumeran los servicios de BigQuery, haz clic en Allow Services para agregarlos. Si no aparecen los servicios de BigQuery, espera a que se complete el proceso interno. Si los servicios no aparecen en un plazo de 12 horas después de la creación de la carpeta, comunícate con Atención al cliente de Cloud. Una vez que se complete el proceso de habilitación, podrás usar BigQuery en tu carpeta de Assured Workloads. Assured Workloads no admite Gemini en BigQuery.
APIs de BigQuery que cumplen con los requisitos	Las siguientes APIs de BigQuery cumplen con el ITAR: bigquery.googleapis.com bigquerydatapolicy.googleapis.com bigqueryconnection.googleapis.com bigquerymigration.googleapis.com bigquerystorage.googleapis.com bigqueryreservation.googleapis.com bigquerydatatransfer.googleapis.com La API de Reservations no está habilitada de forma predeterminada. Para obtener más información, consulta Cómo habilitar una API en tu proyecto de Google Cloud .
Regiones	BigQuery cumple con las ITAR en todas las regiones de EE.UU. de BigQuery, excepto en la multirregión de EE.UU. No se puede garantizar el cumplimiento de ITAR si se crea un conjunto de datos en una multirregión de EE.UU., una región fuera de EE.UU. o una multirregión fuera de EE.UU. Es tu responsabilidad especificar una región que cumpla con las ITAR cuando crees conjuntos de datos de BigQuery.
Consultas en conjuntos de datos de ITAR desde proyectos que no son de ITAR	BigQuery no impide que se realicen consultas en conjuntos de datos de la ITAR desde proyectos que no son de la ITAR. Asegúrate de que cualquier consulta que use una operación de lectura o unión en datos técnicos del ITAR se encuentre en una carpeta que cumpla con el ITAR.
Conexiones a fuentes de datos externas	La responsabilidad de Google en cuanto al cumplimiento se limita a la capacidad de la API de BigQuery Connection. Es tu responsabilidad garantizar el cumplimiento de los productos de origen que se usan con la API de BigQuery Connection.
Características no compatibles	Las siguientes funciones de BigQuery no son compatibles y no se deben usar en la CLI de BigQuery. Es tu responsabilidad no usarlos en BigQuery para Assured Workloads. Interacción con fuentes de datos remotas No se admiten los modelos de BQML entrenados de forma externa. Se admiten los modelos de BQML entrenados de forma interna. No se admite el enmascaramiento de datos con etiquetas de política. Se admite el enmascaramiento de datos aplicando políticas de datos directamente a las columnas. Exportación a GDrive Funciones remotas Consultas guardadas Programación del flujo de trabajo En BigQuery Studio, los notebooks no son compatibles. No se admite Gemini en BigQuery.
CLI de BigQuery	Se admite la CLI de BigQuery.
SDK de Google Cloud	Debes usar la versión 403.0.0 o posterior del SDK de Google Cloud para mantener las garantías de regionalización de datos para los datos técnicos. Para verificar tu versión actual del SDK de Google Cloud, ejecuta gcloud --version y, luego, gcloud components update para actualizar a la versión más reciente.
Controles del administrador	BigQuery inhabilitará las APIs no compatibles, pero los administradores con permisos suficientes para crear carpetas de Assured Workloads pueden habilitar una API no compatible. Si esto ocurre, se te notificará sobre un posible incumplimiento a través del panel de supervisión de Assured Workloads.
Cargando datos	No se admiten los conectores del Servicio de transferencia de datos de BigQuery para las aplicaciones de software como servicio (SaaS) de Google, los proveedores externos de almacenamiento en la nube ni los almacenes de datos. Es tu responsabilidad no usar los conectores del Servicio de transferencia de datos de BigQuery para las cargas de trabajo de ITAR.
Transferencias de terceros	BigQuery no verifica la compatibilidad con las transferencias de terceros para el Servicio de transferencia de datos de BigQuery. Es tu responsabilidad verificar la compatibilidad cuando uses cualquier transferencia de terceros para el Servicio de transferencia de datos de BigQuery.
Modelos de BQML que no cumplen con los requisitos	No se admiten los modelos de BQML entrenados de forma externa.
Trabajos de consulta	Los trabajos de consulta solo se deben crear dentro de las carpetas de Assured Workloads.
Consultas en conjuntos de datos de otros proyectos	BigQuery no impide que se consulten los conjuntos de datos de Assured Workloads desde proyectos que no son de Assured Workloads. Debes asegurarte de que cualquier consulta que tenga una lectura o una unión en los datos de Assured Workloads se coloque en las carpetas de Assured Workloads. Puedes especificar un nombre de tabla completamente calificado para el resultado de la consulta con projectname.dataset.table en la CLI de BigQuery.
Cloud Logging	BigQuery usa Cloud Logging para algunos de tus datos de registro. Debes inhabilitar tus buckets de registro de _default o restringir los buckets de _default a las regiones dentro del alcance para mantener el cumplimiento con el siguiente comando: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Para obtener más información, consulta Regionaliza los registros.

Cloud DNS

Funciones de Cloud DNS afectadas

Función	Descripción
Consola deGoogle Cloud	Las funciones de Cloud DNS no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.

Cloud Interconnect

Funciones de Cloud Interconnect afectadas

Función	Descripción
Consola deGoogle Cloud	Las funciones de Cloud Interconnect no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.
VPN con alta disponibilidad (HA)	Debes habilitar la funcionalidad de VPN con alta disponibilidad (HA) cuando uses Cloud Interconnect con Cloud VPN. Además, debes cumplir con los requisitos de encriptación y regionalización que se indican en la sección Funciones afectadas de Cloud VPN.

Cloud Load Balancing

Funciones de Cloud Load Balancing afectadas

Función	Descripción
Consola deGoogle Cloud	Las funciones de Cloud Load Balancing no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.
Balanceadores de cargas regionales	Con ITAR, solo debes usar balanceadores de cargas regionales. Para obtener más información sobre la configuración de los balanceadores de cargas regionales, consulta las siguientes páginas: Balanceador de cargas de aplicaciones interno Balanceador de cargas de aplicaciones externo regional Balanceador de cargas de red de transferencia interno Balanceador de cargas de red de transferencia externo regional

Cloud Logging

Funciones de Cloud Logging afectadas

Para usar Cloud Logging con claves de encriptación administradas por el cliente (CMEK), debes completar los pasos de la página Habilita CMEK para una organización en la documentación de Cloud Logging.

Función	Descripción
Receptores de registros	Los filtros no deben contener datos de clientes. Los receptores de registros incluyen filtros que se almacenan como configuración. No crees filtros que contengan datos de clientes.
Entradas de registro de transmisión de registros en tiempo real	Los filtros no deben contener datos del cliente. Una sesión de transmisión de registros en tiempo real incluye un filtro que se almacena como configuración. Los registros de cola no almacenan ningún dato de entrada de registro, pero pueden consultar y transmitir datos entre regiones. No crees filtros que contengan datos del cliente.
Alertas basadas en registros	Se inhabilitó esta función. No puedes crear alertas basadas en registros en la consola de Google Cloud .
URLs reducidas para las consultas del Explorador de registros	Se inhabilitó esta función. No puedes crear URLs acortadas de consultas en la consola de Google Cloud .
Guarda consultas en el Explorador de registros	Se inhabilitó esta función. No puedes guardar ninguna consulta en la consola de Google Cloud .
Políticas de alertas basadas en SQL	Se inhabilitó esta función. No puedes usar la función de políticas de alertas basadas en SQL.

Cloud Monitoring

Funciones de Cloud Monitoring afectadas

Función	Descripción
Monitor sintético	Se inhabilitó esta función.
Verificaciones de tiempo de actividad	Se inhabilitó esta función.
Widgets del panel de registros en Paneles	Se inhabilitó esta función. No puedes agregar un panel de registros a un panel.
Widgets del panel de Error Reporting en Paneles	Se inhabilitó esta función. No puedes agregar un panel de Error Reporting a un panel.
Filtrar en EventAnnotation para Paneles	Se inhabilitó esta función. No se puede establecer el filtro de EventAnnotation en un panel.
SqlCondition en alertPolicies	Se inhabilitó esta función. No puedes agregar un SqlCondition a un alertPolicy.

Cloud NAT

Funciones de Cloud NAT afectadas

Función	Descripción
Consola deGoogle Cloud	Las funciones de Cloud NAT no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.

Cloud Router

Funciones de Cloud Router afectadas

Función	Descripción
Consola deGoogle Cloud	Las funciones de Cloud Router no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.

Cloud Run

Funciones de Cloud Run afectadas

Función	Descripción
Características no compatibles	No se admiten las siguientes funciones de Cloud Run: Integración en Cloud Trace Cloud Run Functions Activadores de Eventarc

Cloud SQL

Funciones de Cloud SQL afectadas

Función	Descripción
Exportando a CSV	No uses la función Exportar a CSV, ya que no cumple con el ITAR. Esta función está inhabilitada en la Google Cloud consola.
executeSql	No uses el método executeSql de la API de Cloud SQL, ya que no cumple con las ITAR.

Cloud Storage

Funciones de Cloud Storage afectadas

Función	Descripción
Consola deGoogle Cloud	Para mantener el cumplimiento de ITAR, es tu responsabilidad usar la consola de Google Cloud jurisdicción. La consola jurisdiccional impide subir y descargar objetos de Cloud Storage. Para subir y descargar objetos de Cloud Storage, consulta la fila endpoints de API que cumplen con los requisitos en esta sección.
Endpoints de API que cumplen con los requisitos	Debes usar uno de los extremos regionales que cumplen con ITAR con Cloud Storage. Consulta Extremos regionales de Cloud Storage y Ubicaciones de Cloud Storage para obtener más información.
Restricciones	Debes usar extremos regionales de Cloud Storage para cumplir con la ITAR. Para obtener más información sobre los extremos regionales de Cloud Storage para ITAR, consulta Extremos regionales de Cloud Storage. Los extremos regionales no admiten las siguientes operaciones. Sin embargo, estas operaciones no contienen datos del cliente, como se define en las condiciones del servicio de residencia de datos. Por lo tanto, puedes usar extremos globales para estas operaciones según sea necesario sin infringir el cumplimiento de ITAR: Operaciones de claves HMAC Operaciones de la cuenta de servicio de IAM Notificaciones de Pub/Sub Si un usuario intenta realizar una operación no compatible con extremos regionales, Cloud Storage devolverá un código de error HTTP 400 con el mensaje de error: This endpoint does not implement this operation. Please use the global endpoint.
Copiar y reescribir para objetos	Los extremos regionales admiten las operaciones de copia y reescritura de objetos si los buckets de origen y destino se encuentran en la región especificada en el extremo. Sin embargo, no puedes usar extremos regionales para copiar o reescribir un objeto de un bucket a otro si los buckets existen en ubicaciones diferentes. Es posible usar extremos globales para copiar o volver a escribir en varias ubicaciones, pero no lo recomendamos, ya que puede incumplir el ITAR.

Cloud VPN

Funciones de Cloud VPN afectadas

Función	Descripción
Consola deGoogle Cloud	Las funciones de Cloud VPN no están disponibles en la Google Cloud consola. En su lugar, usa la API o Google Cloud CLI.
Encriptación	Solo debes usar algoritmos de cifrado que cumplan con el estándar FIPS 140-2 cuando crees certificados y configures la seguridad de IP. Consulta la página Algoritmos de cifrado de IKE admitidos para obtener más información sobre los algoritmos de cifrado admitidos en Cloud VPN. Para obtener orientación sobre cómo seleccionar un algoritmo de cifrado que cumpla con los estándares FIPS 140-2, consulta la página Validación con FIPS 140-2. No puedes cambiar un algoritmo de cifrado existente en Google Cloud. Asegúrate de configurar el algoritmo de cifrado en el dispositivo de terceros que se usa con Cloud VPN.
Extremos de VPN	Solo debes usar extremos de Cloud VPN que se encuentren en una región dentro del alcance. Asegúrate de que la puerta de enlace de VPN esté configurada para usarse solo en una región dentro del alcance.

Compute Engine

Funciones de Compute Engine afectadas

Función	Descripción
Suspende y reanuda una instancia de VM	Se inhabilitó esta función. La suspensión y reanudación de una instancia de VM requiere almacenamiento en disco persistente, y el almacenamiento en disco persistente usado para almacenar el estado de la VM suspendida no se puede encriptar actualmente con CMEK. Consulta la restricción de la política de la organización gcp.restrictNonCmekServices en la sección anterior para comprender la soberanía de los datos y las implicaciones de residencia de datos de habilitar esta función.
SSD locales	Se inhabilitó esta función. No podrás crear una instancia con SSD locales porque no se pueden encriptar con CMEK. Consulta la restricción de la política de la organización gcp.restrictNonCmekServices en la sección anterior para comprender la soberanía de los datos y las implicaciones de residencia de datos de habilitar esta función.
Consola deGoogle Cloud	Las siguientes funciones de Compute Engine no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI: Verificaciones de estado Grupos de extremos de red
Consideraciones de seguridad de los metadatos de VM	Es tu responsabilidad no escribir datos sensibles en el servidor de metadatos de la VM.
VMs de la Solución Bare Metal	No puedes usar VMs de la solución Bare Metal (VMs o2) porque no cumplen con la ITAR.
VMs de Google Cloud VMware Engine	No puedes usar las VMs de Google Cloud VMware Engine, ya que no cumplen con el ITAR.
Crea una instancia de VM C3	Esta función está inhabilitada.
Usar discos persistentes o sus instantáneas sin CMEK	No puedes usar discos persistentes ni sus instantáneas, a menos que se hayan encriptado con CMEK.
Comparte un disco persistente SSD en modo de multiescritura	No puedes compartir un disco persistente SSD en modo de multiescritura entre instancias de VM.
Agrega un grupo de instancias a un balanceador de cargas global	No puedes agregar un grupo de instancias a un balanceador de cargas global. Esta función está inhabilitada por la restricción de la política de la organización compute.disableGlobalLoadBalancing.
Entorno huésped	Es posible que las secuencias de comandos, los daemons y los objetos binarios incluidos en el entorno invitado accedan a datos en reposo y en uso no encriptados. Según la configuración de la VM, es posible que se instalen actualizaciones de este software de forma predeterminada. Consulta Entorno invitado para obtener información específica sobre el contenido de cada paquete, el código fuente y mucho más. Estos componentes te ayudan a cumplir con la soberanía de los datos a través de procesos y controles de seguridad internos. Sin embargo, si deseas un control adicional, también puedes seleccionar tus propias imágenes o agentes y, de forma opcional, usar la restricción de la política de la organización compute.trustedImageProjects. Para obtener más información, consulta Compila una imagen personalizada.
Políticas del SO en VM Manager	Las secuencias de comandos intercaladas y los archivos de salida binarios dentro de los archivos de políticas del SO no se encriptan con claves de encriptación administradas por el cliente (CMEK). No incluyas información sensible en estos archivos. Considera almacenar estas secuencias de comandos y archivos de salida en buckets de Cloud Storage. Para obtener más información, consulta Ejemplos de políticas de SO. Si deseas restringir la creación o modificación de recursos de políticas del SO que usen secuencias de comandos intercaladas o archivos de salida binarios, habilita la restricción de la política de la organización constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Para obtener más información, consulta Restricciones para la configuración del SO.
instances.getSerialPortOutput()	Esta API está inhabilitada. No podrás obtener la salida del puerto en serie de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo siguiendo las instrucciones que se indican en Habilita el acceso para un proyecto.
instances.getScreenshot()	Esta API está inhabilitada. No podrás obtener una captura de pantalla de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo siguiendo las instrucciones que se indican en Habilita el acceso para un proyecto.

Restricciones de las políticas de la organización de Compute Engine

Restricción de las políticas de la organización	Descripción
compute.enableComplianceMemoryProtection	Configurado como True. Inhabilita algunas funciones de diagnóstico interno para proporcionar protección adicional del contenido de la memoria cuando se produce una falla en la infraestructura. Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
compute.disableGlobalCloudArmorPolicy	Configurado como True. Inhabilita la creación de nuevas políticas de seguridad globales de Google Cloud Armor y la adición o modificación de reglas a las políticas de seguridad globales existentes de Google Cloud Armor. Esta restricción no limita la eliminación de reglas ni la capacidad de quitar o cambiar la descripción y la lista de políticas de seguridad globales de Google Cloud Armor. Las políticas de seguridad regionales de Google Cloud Armor no se ven afectadas por esta restricción. Todas las políticas de seguridad globales y regionales que existían antes de la aplicación de esta restricción siguen vigentes.
compute.disableGlobalLoadBalancing	Configurado como True. Inhabilita la creación de productos de balanceo de cargas global. Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
compute.disableGlobalSelfManagedSslCertificate	Configurado como True. Inhabilita la creación de certificados SSL autoadministrados globales. Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
compute.disableInstanceDataAccessApis	Configurado como True. Inhabilita de manera global las APIs instances.getSerialPortOutput() y instances.getScreenshot(). Si habilitas esta restricción, no podrás generar credenciales en las VMs de Windows Server. Si necesitas administrar un nombre de usuario y una contraseña en una VM de Windows, haz lo siguiente: Habilita SSH para VMs de Windows. Ejecuta el siguiente comando para cambiar la contraseña de la VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Reemplaza lo siguiente: VM_NAME: Es el nombre de la VM para la que configuras la contraseña. USERNAME: Es el nombre de usuario para el que estableces la contraseña. PASSWORD: La contraseña nueva.
compute.requireOsConfig	Configurado como True. Habilita VM Manager (Configuración del SO) en todos los proyectos nuevos. Todas las instancias de VM creadas en proyectos nuevos tendrán habilitado VM Manager.
compute.restrictNonConfidentialComputing	(Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Para obtener más información, consulta la documentación de Confidential VM.
compute.trustedImageProjects	(Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Si configuras este valor, se restringe el almacenamiento de imágenes y la creación de instancias de disco a la lista especificada de proyectos. Este valor afecta la soberanía de los datos, ya que se impide el uso de agentes o imágenes no autorizados.

Knowledge Catalog

Funciones de Knowledge Catalog

Función	Descripción
Attribute Store	Esta función dejó de estar disponible y se inhabilitó.
Data Catalog	Esta función dejó de estar disponible y se inhabilitó. No puedes buscar ni administrar tus metadatos en Data Catalog.
Lakes y zonas	Se inhabilitó esta función. No puedes administrar lakes, zonas ni tareas.

Google Cloud Armor

Funciones de Google Cloud Armor afectadas

Función	Descripción
Políticas de seguridad con alcance global	Esta función está inhabilitada por la restricción de la política de la organización compute.disableGlobalCloudArmorPolicy.

Google Kubernetes Engine

Funciones de Google Kubernetes Engine afectadas

Función	Descripción
Restricciones de recursos del clúster	Asegúrate de que la configuración de tu clúster no use recursos para servicios que no son compatibles con ITAR. Por ejemplo, la siguiente configuración no es válida porque requiere habilitar o usar un servicio no compatible: set `binaryAuthorization.evaluationMode` to `enabled`

Restricciones de las políticas de la organización de Google Kubernetes Engine

Restricción de las políticas de la organización	Descripción
container.restrictNoncompliantDiagnosticDataAccess	Configurado como True. Inhabilita el análisis agregado de los problemas del kernel, que es necesario para mantener el control soberano de una carga de trabajo. Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.

Network Connectivity Center

Funciones afectadas de Network Connectivity Center

Función	Descripción
Consola deGoogle Cloud	Las funciones de Network Connectivity Center no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.

Pub/Sub

Restricciones de las políticas de la organización de Pub/Sub

Restricción de las políticas de la organización	Descripción
pubsub.enforceInTransitRegions	Configurado como True. Garantiza que los datos del cliente solo pasen por las regiones permitidas que se especificaron en la política de almacenamiento de mensajes del tema de Pub/Sub. Cambiar este valor puede afectar la residencia de datos o la soberanía de los datos de tu carga de trabajo.
pubsub.managed.disableSubscriptionMessageTransforms	Configurado como True. Inhabilita la configuración de suscripciones a Pub/Sub con transformaciones de mensaje único (SMT). Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
pubsub.managed.disableTopicMessageTransforms	Configurado como True. Inhabilita que los temas de Pub/Sub se configuren con transformaciones de mensaje único (SMT). Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.

Security Command Center Premium

Funciones afectadas de Security Command Center Premium

Función	Descripción
Administrador de cumplimiento	Compliance Manager no es compatible y no cumple con los requisitos de control de la ITAR.
Administración de la postura de seguridad de los datos	La administración de la postura de seguridad de los datos no es compatible y no cumple con los requisitos de control de la ITAR.

Spanner

Funciones de Spanner afectadas

Función

Descripción

Límites de división

Spanner usa un pequeño subconjunto de claves principales y columnas indexadas para definir los límites de división, que pueden incluir datos y metadatos del cliente. Un límite de división en Spanner indica la ubicación en la que los rangos contiguos de filas se dividen en partes más pequeñas. El personal de Google puede acceder a estos límites de división para brindar asistencia técnica y depurar, y no están sujetos a los controles de datos de acceso de administrador en Assured Workloads.

Restricciones de las políticas de la organización de Spanner

Restricción de las políticas de la organización	Descripción
spanner.assuredWorkloadsAdvancedServiceControls	Configurado como True. Aplica controles adicionales de soberanía de los datos y compatibilidad a los recursos de Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected	Configurado como True. Inhabilita la capacidad de crear instancias de Spanner multirregionales para aplicar la residencia de datos y la soberanía de los datos.

Vertex AI

Restricciones de las políticas de la organización de Vertex AI

Restricción de las políticas de la organización	Descripción
vertexai.allowOnlyITARCompliantAPIs	Configurado como True. Permite usar solo las APIs que cumplen con ITAR en las APIs de Vertex AI. De forma predeterminada, se permiten todas las APIs.

Nube privada virtual (VPC)

Funciones de VPC afectadas

Función	Descripción
Consola deGoogle Cloud	Las funciones de redes de VPC no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.

¿Qué sigue?

• Aprende a crear una carpeta de Assured Workloads.
• Comprende los precios de Assured Workloads