גבולות נתונים בשווייץ עם הצדקות גישה

בדף הזה מתואר מערך האמצעים להגנה על נתונים שמוחל על עומסי עבודה של הצדקת גישה ב-Data Boundary בשווייץ ב-Assured Workloads. הוא כולל מידע מפורט על מיקום אחסון הנתונים, על מוצרים נתמכים Google Cloud ונקודות קצה ל-API שלהם, ועל הגבלות או מגבלות שחלות על המוצרים האלה. המידע הנוסף הבא רלוונטי לגבי גבולות נתונים בשווייץ עם הצדקות לגישה:

  • מיקום אחסון הנתונים: חבילת אמצעי הבקרה 'Data Boundary בשווייץ עם הצדקות לגישה' מגדירה אמצעי בקרה למיקום הנתונים כדי לתמוך באזורים בשווייץ בלבד. מידע נוסף זמין בקטע Google Cloud-wide organization policy constraints.
  • תמיכה: שירותי תמיכה טכנית לגבי עומסי עבודה של הצדקות גישה בגבולות הנתונים בשווייץ זמינים עם מינויים ל-Cloud Customer Care ברמה Enhanced או Premium. פניות לתמיכה בנושא עומסי עבודה של Data Boundary בשווייץ עם הצדקות לגישה מועברות לאנשי צוות באיחוד האירופי שנמצאים באיחוד האירופי. מידע נוסף זמין במאמר בנושא קבלת תמיכה.
  • תמחור: חבילת הבקרה 'Data Boundary בשווייץ עם הצדקות לגישה' כלולה במסלול פרימיום של Assured Workloads, שכוללת חיוב נוסף של 5%. מידע נוסף זמין במאמר בנושא תמחור של Assured Workloads.

דרישות מוקדמות

ודאו שאתם עומדים בדרישות המוקדמות הבאות והשלמתם אותן לפני פריסת עומסי עבודה ל-Data Boundary של שווייץ עם הצדקות לגישה:

  • יוצרים תיקייה עם Data Boundary בשווייץ והצדקות לגישה באמצעות Assured Workloads, ומציבים את עומסי העבודה רק בתיקייה הזו.
  • אל תשנו את ערכי ברירת המחדל של האילוצים במדיניות הארגון, אלא אם אתם מבינים את הסיכונים של מיקום אחסון הנתונים שעלולים להתרחש ומוכנים לקבל אותם.
  • אל תשתמשו בשרתי Google Cloud MCP אלא אם צוין אחרת. הגדרת גבולות נתונים בשווייץ עם הצדקות לגישה לא מספקת אמצעי בקרה למיקום נתונים שנמצאים בשימוש ולנתונים בתנועה בשרתי Google Cloud MCP. כדי לחסום גישה לא רצויה לשרתי Google Cloud MCP, אפשר לעיין במאמר שליטה בשימוש בשרתי Google Cloud MCP באמצעות IAM.
  • כשניגשים ל Google Cloud מסוף של גבולות הנתונים בשווייץ עם עומסי עבודה של הצדקות לגישה, צריך להשתמש באחת מכתובות ה-URL הבאות של המסוף Google Cloud שספציפיות לשווייץ:
  • מומלץ לפעול לפי השיטות המומלצות הכלליות לאבטחה שמפורטות בGoogle Cloud מרכז השיטות המומלצות לאבטחה.

מוצרים נתמכים ונקודות קצה של API

אלא אם צוין אחרת, המשתמשים יכולים לגשת לכל המוצרים הנתמכים דרך מסוף Google Cloud . בטבלה הבאה מפורטות הגבלות שמשפיעות על התכונות של מוצר נתמך, כולל הגבלות שנאכפות באמצעות הגדרות של אילוצי מדיניות הארגון.

אם מוצר לא מופיע ברשימה, הוא לא נתמך ולא עומד בדרישות הבקרה של Data Boundary של שווייץ עם הצדקות לגישה. לא מומלץ להשתמש במוצרים לא נתמכים בלי לבצע בדיקת נאותות ולהבין היטב את האחריות שלכם במסגרת מודל האחריות המשותפת. לפני שמשתמשים במוצר שלא נתמך, חשוב לוודא שאתם מודעים לסיכונים הכרוכים בכך ומוכנים לקבל אותם, כמו השפעות שליליות על מיקום הנתונים או על ריבונות הנתונים.

מוצר נתמך נקודות קצה של API הגבלות
ניהול זהויות והרשאות גישה (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 ללא
מנהל המשאבים cloudresourcemanager.googleapis.com
 ללא

הגבלות ומגבלות

בקטעים הבאים מתוארות מגבלות או הגבלות ספציפיות למוצרים או ל- Google Cloud, כולל אילוצים של מדיניות הארגון שמוגדרים כברירת מחדל בתיקיות של גבולות נתונים בשווייץ עם הצדקות לגישה. אילוצים אחרים של מדיניות הארגון שחלים על המשאבים – גם אם הם לא מוגדרים כברירת מחדל – יכולים לספק הגנה נוספת כדי להגן על המשאבים של הארגון Google Cloud .

Google Cloud-wide

תכונות שמושפעות Google Cloudבכל הארגון

תכונה תיאור
מסוףGoogle Cloud כדי לגשת למסוף Google Cloud כשמשתמשים בחבילת הבקרה של הצדקות לגישה עם Data Boundary בשווייץ, צריך להשתמש באחת מכתובות ה-URL הבאות:

Google Cloudאילוצים של מדיניות הארגון

האילוצים הבאים של מדיניות הארגון חלים על כל Google Cloud.

מגבלה של מדיניות הארגון תיאור
gcp.resourceLocations מגדירים את המיקומים הבאים ברשימה allowedValues:
  • europe-west6
הערך הזה מגביל את יצירת המשאבים החדשים לערכים שנבחרו. אם המדיניות מוגדרת, אי אפשר ליצור משאבים באזורים אחרים, באזורים שכוללים מספר אזורים או במיקומים מחוץ לבחירה. במאמר בנושא שירותים שנתמכים על ידי מיקומי משאבים תוכלו למצוא רשימה של משאבים שאפשר להגביל באמצעות המגבלה של מדיניות הארגון בנושא מיקומי משאבים. יכול להיות שחלק מהמשאבים לא ייכללו בהיקף ולא ניתן יהיה להגביל אותם.

שינוי הערך הזה כך שיהיה פחות מגביל עלול לפגוע במיקום אחסון הנתונים, כי הוא מאפשר ליצור או לאחסן נתונים מחוץ לגבולות נתונים תואמים.
gcp.restrictCmekCryptoKeyProjects ההגדרה היא under:organizations/your-organization-name, שהוא הארגון שלכם ב-Assured Workloads. אפשר להגביל עוד יותר את הערך הזה על ידי ציון פרויקט או תיקייה.

מגביל את היקף התיקיות או הפרויקטים שאושרו ויכולים לספק מפתחות Cloud KMS להצפנת נתונים במנוחה באמצעות CMEK. האילוץ הזה מונע מתיקיות או מפרויקטים לא מאושרים לספק מפתחות הצפנה, וכך עוזר להבטיח ריבונות הנתונים בשירותים שכלולים בהיקף, עבור נתונים במנוחה.
gcp.restrictServiceUsage ההגדרה צריכה להיות 'אפשרות שמאפשרת שימוש בכל נקודות הקצה של מוצרי API נתמכים'.

הגבלת הגישה בזמן הריצה למשאבים של שירותים מסוימים, כדי לקבוע באילו שירותים אפשר להשתמש. מידע נוסף זמין במאמר בנושא הגבלת השימוש במשאבים.
gcp.restrictTLSVersion הגדרה לדחיית גרסאות ה-TLS הבאות:
  • TLS_1_0
  • TLS_1_1
מידע נוסף זמין במאמר בנושא הגבלת גרסאות TLS.

המאמרים הבאים