Limite de dados da Suíça

Nesta página, descrevemos o conjunto de controles aplicados às cargas de trabalho do Limite de Dados da Suíça no Assured Workloads. Ele fornece informações detalhadas sobre residência de dados, produtos Google Cloud compatíveis e os endpoints de API deles, além de todas as restrições ou limitações aplicáveis a esses produtos. As seguintes informações adicionais se aplicam ao Limite de Dados da Suíça:

• Residência de dados: o pacote de controle de limite de dados da Suíça define controles de localização de dados para oferecer suporte a regiões exclusivas da Suíça. Consulte a seção Restrições da política da organização em todo oGoogle Cloud para mais informações.
• Suporte: os serviços de suporte técnico para cargas de trabalho do limite de dados da Suíça estão disponíveis com as assinaturas Standard, Enhanced ou Premium do Cloud Customer Care. Os casos de suporte das cargas de trabalho do limite de dados da Suíça são encaminhados para a equipe de suporte global.
• Preços: o pacote de controle de limite de dados da Suíça está incluído no nível sem custo financeiro do Assured Workloads, que não gera cobranças adicionais. Consulte os preços do Assured Workloads para mais informações.

Produtos e endpoints de API compatíveis

Salvo indicação em contrário, os usuários podem acessar todos os produtos compatíveis pelo console do Google Cloud . As restrições ou limitações que afetam os recursos de um produto compatível, incluindo aquelas aplicadas por meio de configurações de restrição da política da organização, estão listadas na tabela a seguir.

Se um produto não estiver listado, ele não será compatível e não atenderá aos requisitos de controle do limite de dados da Suíça. Não recomendamos o uso de produtos sem suporte sem auditoria e uma compreensão completa das suas responsabilidades no modelo de responsabilidade compartilhada. Antes de usar um produto sem suporte, verifique se você está ciente e disposto a aceitar os riscos envolvidos, como impactos negativos na residência de dados ou soberania de dados.

Observação: os produtos sem suporte podem compartilhar um endpoint de serviço de API com produtos compatíveis, disponibilizando-os para todos os usuários.

Importante: os servidores MCP do Google Cloud não são compatíveis com nenhum produto do limite de dados da Suíça, a menos que indicado de outra forma. O limite de dados da Suíça não oferece controles de residência de dados para dados em uso e em trânsito com servidores MCP do Google Cloud. É sua responsabilidade garantir que os endpoints dos servidores MCP do Google Cloud não sejam usados com nenhum produto do limite de dados da Suíça. Para bloquear o acesso indesejado aos servidores MCP do Google Cloud, consulte a página Controlar o uso de servidores MCP do Google Cloud com o IAM.

Produto compatível	Endpoints de API	Restrições ou limitações
Aprovação de acesso	accessapproval.googleapis.com	Nenhum
Access Context Manager	accesscontextmanager.googleapis.com	Nenhum
Transparência no acesso	accessapproval.googleapis.com	Nenhum
AlloyDB para PostgreSQL	alloydb.googleapis.com	Nenhum
Cloud Service Mesh	mesh.googleapis.com meshca.googleapis.com meshconfig.googleapis.com opsconfigmonitoring.googleapis.com	Nenhum
Apigee	apigee.googleapis.com	Nenhum
App Hub	apphub.googleapis.com	Nenhum
Artifact Registry	artifactregistry.googleapis.com	Nenhum
Audit Manager	auditmanager.googleapis.com	Nenhum
AutoML Tables	aiplatform.googleapis.com	Nenhum
Serviço de backup e DR	backupdr.googleapis.com	Nenhum
Backup para Google Kubernetes Engine (GKE)	gkebackup.googleapis.com	Nenhum
BigQuery	bigquery.googleapis.com bigqueryconnection.googleapis.com bigquerydatapolicy.googleapis.com bigquerymigration.googleapis.com bigqueryreservation.googleapis.com bigquerystorage.googleapis.com	Recursos afetados
Serviço de transferência de dados do BigQuery	bigquerydatatransfer.googleapis.com	Nenhum
Bigtable	bigtable.googleapis.com bigtableadmin.googleapis.com	Nenhum
Autorização binária	binaryauthorization.googleapis.com	Nenhum
Certificate Authority Service	privateca.googleapis.com	Nenhum
Certificate Manager	certificatemanager.googleapis.com	Nenhum
Inventário de recursos do Cloud	cloudasset.googleapis.com	Nenhum
Cloud Build	cloudbuild.googleapis.com	Nenhum
Cloud DNS	dns.googleapis.com	Nenhum
Cloud Data Fusion	datafusion.googleapis.com	Nenhum
Cloud Deploy	clouddeploy.googleapis.com	Nenhum
Cloud Domains	domains.googleapis.com	Nenhum
Cloud External Key Manager (Cloud EKM)	cloudkms.googleapis.com	Nenhum
Cloud HSM	cloudkms.googleapis.com	Nenhum
Cloud Interconnect	compute.googleapis.com	Nenhum
Cloud Key Management Service (Cloud KMS)	cloudkms.googleapis.com	Nenhum
Cloud Load Balancing	compute.googleapis.com	Nenhum
Cloud Logging	logging.googleapis.com	Recursos afetados
Cloud Monitoring	monitoring.googleapis.com stackdriver.googleapis.com	Nenhum
Cloud NAT	compute.googleapis.com	Nenhum
Cloud Next Generation Firewall Standard	compute.googleapis.com networksecurity.googleapis.com	Nenhum
API Login do SO do Cloud	oslogin.googleapis.com	Nenhum
Cloud Router	compute.googleapis.com	Nenhum
Cloud Run	run.googleapis.com	Recursos afetados
Cloud Run functions	cloudfunctions.googleapis.com run.googleapis.com	Nenhum
Cloud SQL	sqladmin.googleapis.com	Nenhum
Cloud SQL para PostgreSQL	sqladmin.googleapis.com	Nenhum
Cloud Scheduler	cloudscheduler.googleapis.com	Nenhum
Cloud Storage	storage.googleapis.com	Nenhum
Cloud Tasks	cloudtasks.googleapis.com	Nenhum
Cloud Trace	cloudtrace.googleapis.com	Nenhum
Cloud VPN	compute.googleapis.com	Nenhum
API Cloud Vision	vision.googleapis.com	Nenhum
Cloud Workstations	workstations.googleapis.com	Nenhum
Compliance Manager	cloudsecuritycompliance.googleapis.com	Nenhum
Compute Engine	compute.googleapis.com	Recursos afetados e restrições da política da organização
Config Sync	anthosconfigmanagement.googleapis.com	Nenhum
Google Kubernetes Engine (GKE) Connect	connectgateway.googleapis.com gkeconnect.googleapis.com	Nenhum
Acesso baseado no contexto	accesscontextmanager.googleapis.com	Nenhum
Dialogflow CX	dialogflow.googleapis.com	Nenhum
Data Studio Pro	datastudio.googleapis.com	Nenhum
Database Center	databasecenter.googleapis.com	Nenhum
Dataflow	dataflow.googleapis.com datapipelines.googleapis.com	Nenhum
Dataform	dataform.googleapis.com	Nenhum
Document AI	documentai.googleapis.com	Nenhum
Contatos essenciais	essentialcontacts.googleapis.com	Nenhum
Eventarc	eventarc.googleapis.com	Nenhum
Filestore	file.googleapis.com	Nenhum
Regras de segurança do Firebase	firebaserules.googleapis.com	Nenhum
Firestore	datastore.googleapis.com firestore.googleapis.com	Restrições das políticas da organização
Flow Analyzer	compute.googleapis.com logging.googleapis.com	Nenhum
Hub do Google Kubernetes Engine (GKE)	gkehub.googleapis.com	Nenhum
Serviço de Identidade do Google Kubernetes Engine (GKE)	anthosidentityservice.googleapis.com	Nenhum
Streaming de imagens do Google Kubernetes Engine (GKE)	containerfilesystem.googleapis.com	Nenhum
Gemini Enterprise	discoveryengine.googleapis.com	Nenhum
Workbench da Gemini Enterprise Agent Platform	aiplatform.googleapis.com notebooks.googleapis.com	Nenhum
IA generativa na Vertex AI	aiplatform.googleapis.com	Nenhum
Google Cloud Armor	compute.googleapis.com networksecurity.googleapis.com	Recursos afetados
Serviço gerenciado do Google Cloud para Apache Kafka	managedkafka.googleapis.com	Nenhum
Google Cloud NetApp Volumes	netapp.googleapis.com	Recursos afetados
Google Kubernetes Engine (GKE)	container.googleapis.com containersecurity.googleapis.com	Nenhum
Google Security Operations SIEM	chronicle.googleapis.com chronicleservicemanager.googleapis.com	Nenhum
Google Security Operations SOAR	Not applicable	Nenhum
Gerenciamento de identidade e acesso (IAM)	iam.googleapis.com policytroubleshooter.googleapis.com	Nenhum
Identity-Aware Proxy (IAP)	iap.googleapis.com	Nenhum
Infrastructure Manager	config.googleapis.com	Nenhum
Integration Connectors	connectors.googleapis.com	Nenhum
Knowledge Catalog	dataplex.googleapis.com datalineage.googleapis.com	Recursos afetados
Looker (Google Cloud Core)	looker.googleapis.com	Nenhum
Serviço Gerenciado para Apache Airflow	composer.googleapis.com	Nenhum
Serviço Gerenciado para Apache Spark	dataproc-control.googleapis.com dataproc.googleapis.com	Nenhum
Memorystore for Redis	redis.googleapis.com	Nenhum
Migrate to Containers	Not applicable	Nenhum
Network Connectivity Center	networkconnectivity.googleapis.com	Nenhum
NotebookLM Enterprise	discoveryengine.googleapis.com	Nenhum
Serviço de Políticas da Organização	orgpolicy.googleapis.com	Nenhum
Persistent Disk	compute.googleapis.com	Nenhum
Personalized Service Health	servicehealth.googleapis.com	Nenhum
Privileged Access Manager	privilegedaccessmanager.googleapis.com	Nenhum
Pub/Sub	pubsub.googleapis.com	Restrições das políticas da organização
Resource Manager	cloudresourcemanager.googleapis.com	Nenhum
Configurações de recursos	resourcesettings.googleapis.com	Nenhum
Secret Manager	secretmanager.googleapis.com	Nenhum
Secure Source Manager	securesourcemanager.googleapis.com	Nenhum
Secure Web Proxy	networkservices.googleapis.com networksecurity.googleapis.com	Nenhum
Proteção de Dados Sensíveis	dlp.googleapis.com	Nenhum
Acesso VPC sem servidor	vpcaccess.googleapis.com	Nenhum
Service Management	servicemanagement.googleapis.com	Nenhum
Spanner	spanner.googleapis.com	Recursos afetados e restrições da política da organização
Speech-to-Text	speech.googleapis.com	Nenhum
Serviço de transferência do Cloud Storage	storagetransfer.googleapis.com	Nenhum
Text-to-Speech	texttospeech.googleapis.com	Nenhum
Cloud Service Mesh	trafficdirector.googleapis.com	Nenhum
VM Manager	osconfig.googleapis.com	Nenhum
VPC Service Controls	accesscontextmanager.googleapis.com accesscontextintelligence.googleapis.com	Nenhum
Predição em lote da Vertex AI	aiplatform.googleapis.com	Nenhum
Vertex AI Model Monitoring	aiplatform.googleapis.com	Nenhum
Vertex AI Model Registry	aiplatform.googleapis.com	Nenhum
Vertex AI Online Prediction	aiplatform.googleapis.com	Nenhum
Vertex AI Pipelines	aiplatform.googleapis.com	Nenhum
Agent Search	discoveryengine.googleapis.com	Nenhum
Vertex AI Training	aiplatform.googleapis.com	Nenhum
Pesquisa vetorial da Vertex AI	aiplatform.googleapis.com	Nenhum
Nuvem privada virtual (VPC)	compute.googleapis.com servicedirectory.googleapis.com servicenetworking.googleapis.com	Nenhum
Web Risk	webrisk.googleapis.com	Nenhum
Workflows	workflowexecutions.googleapis.com workflows.googleapis.com	Nenhum
Federação de identidade da carga de trabalho	iam.googleapis.com	Nenhum

Restrições e limitações

As seções a seguir descrevem as restrições ou limitações específicas do produto ou de todo o Google Cloud para recursos, incluindo as restrições da política da organização definidas por padrão nas pastas do limite de dados da Suíça. Outras restrições aplicáveis da política da organização, mesmo que não sejam definidas por padrão, podem fornecer defesa em profundidade adicional para proteger ainda mais os recursos do Google Cloud da sua organização.

É altamente recomendável não alterar os valores das restrições da política da organização obrigatórias listadas nas seções a seguir. Isso pode enfraquecer a residência de dados. Quando essa mudança é feita, os efeitos dela são difíceis ou impossíveis de reverter. É preciso entender as ramificações de alterar o valor de uma restrição da política da organização antes de continuar.

Além disso, garanta que todos os mecanismos automatizados usados pela organização para gerenciar as políticas da organização sejam atualizados para evitar que esses valores sejam alterados acidentalmente.

Google Cloud-wide

Restrições da política da organização em todo oGoogle Cloud

As restrições da política da organização a seguir se aplicam ao Google Cloud.

Restrição da política da organização	Descrição
gcp.resourceLocations	Defina os seguintes locais na lista allowedValues: europe-west6 Esse valor restringe a criação de novos recursos aos valores selecionados. Quando definido, nenhum recurso pode ser criado em nenhuma outra região, multirregião ou local fora da seleção. Consulte Serviços com suporte com locais de recursos para ver uma lista de recursos que podem ser restritos pela restrição da política da organização de locais de recursos, já que alguns recursos podem estar fora do escopo e não podem ser restritos. Alterar esse valor, tornando-o menos restritivo, pode prejudicar a residência de dados, permitindo que eles sejam criados ou armazenados fora de um limite de dados compatível.
gcp.restrictServiceUsage	Defina para permitir todos os produtos e endpoints de API compatíveis. Determina quais serviços podem ser usados ao restringir o acesso do ambiente de execução aos recursos deles. Saiba mais em Como restringir locais de recursos.
gcp.restrictTLSVersion	Defina para negar as seguintes versões de TLS: TLS_1_0 TLS_1_1 Para mais informações, consulte Restringir versões do TLS.

BigQuery

Recursos afetados do BigQuery

Recurso	Descrição
Ativar o BigQuery em uma nova pasta	O BigQuery é compatível, mas não é ativado automaticamente quando você cria uma nova pasta do Assured Workloads devido a um processo de configuração interna. Esse processo normalmente termina em dez minutos, mas pode levar muito mais tempo em algumas circunstâncias. Para verificar se o processo foi concluído e ativar o BigQuery, siga estas etapas: No console do Google Cloud , acesse a página Assured Workloads. Acesse o Assured Workloads Selecione a nova pasta do Assured Workloads na lista. Na página Detalhes da pasta, na seção Serviços permitidos, clique em Analisar atualizações disponíveis. No painel Serviços permitidos, revise os serviços que serão adicionados à política da organização Restrição de uso de recursos da pasta. Se os serviços do BigQuery estiverem listados, clique em Permitir serviços para adicioná-los. Se os serviços do BigQuery não estiverem listados, aguarde a conclusão do processo interno. Se os serviços não forem listados em até 12 horas após a criação da pasta, entre em contato com o Cloud Customer Care. Depois que o processo de ativação for concluído, será possível usar o BigQuery na pasta do Assured Workloads. O Gemini no BigQuery não é compatível com o Assured Workloads.
Recursos não suportados	Os recursos do BigQuery a seguir não são compatíveis e não devem ser usados na CLI do BigQuery. É sua responsabilidade não usá-los no BigQuery para o Assured Workloads. Interação com fontes de dados remotas Modelos do BQML treinados externamente não são compatíveis. Modelos do BQML treinados internamente são compatíveis. Não há suporte para mascaramento de dados com tags de política. O mascaramento de dados com a aplicação de políticas de dados diretamente às colunas é compatível. Exportação do GDrive Funções remotas Consultas salvas Programação do fluxo de trabalho No BigQuery Studio, os notebooks não são compatíveis. O Gemini no BigQuery não é compatível.
CLI do BigQuery	A CLI do BigQuery é compatível.
SDK do Google Cloud	Use o SDK Google Cloud versão 403.0.0 ou mais recente para manter as garantias de regionalização de dados técnicos. Para verificar a versão atual do SDK Google Cloud, execute gcloud --version e, em seguida, gcloud components update para atualizar para a versão mais recente.
Controles do administrador	O BigQuery vai desativar as APIs incompatíveis, mas os administradores com permissões suficientes para criar pastas do Assured Workloads podem ativar uma API incompatível. Se isso ocorrer, você vai receber uma notificação de possível não conformidade pelo painel de monitoramento do Assured Workloads.
Carregando dados	Os conectores do serviço de transferência de dados do BigQuery para apps de software como serviço (SaaS) do Google, provedores de armazenamento em nuvem externos e data warehouses não são compatíveis. É sua responsabilidade não usar conectores do serviço de transferência de dados do BigQuery para cargas de trabalho do limite de dados da Suíça.
Transferências de terceiros	O BigQuery não verifica o suporte para transferências de terceiros para o serviço de transferência de dados do BigQuery. É sua responsabilidade verificar o suporte ao usar qualquer transferência de terceiros para o serviço de transferência de dados do BigQuery.
Modelos do BQML não compatíveis	Modelos do BQML treinados externamente não são compatíveis.
Jobs de consulta	Os jobs de consulta só devem ser criados em pastas do Assured Workloads.
Consultas em conjuntos de dados de outros projetos	O BigQuery não impede que conjuntos de dados do Assured Workloads sejam consultados em projetos que não são do Assured Workloads. Verifique se todas as consultas que têm uma leitura ou uma mesclagem nos dados do Assured Workloads estão nas pastas do Assured Workloads. É possível especificar um nome de tabela totalmente qualificado para o resultado da consulta usando projectname.dataset.table na CLI do BigQuery.
Cloud Logging	O BigQuery usa o Cloud Logging para alguns dos seus dados de registro. Desative os buckets de geração de registros do _default ou restrinja os buckets do _default às regiões no escopo para manter a conformidade usando o seguinte comando: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Para mais informações, consulte Regionalizar seus registros.

Cloud Logging

Recursos afetados do Cloud Logging

Para usar o Cloud Logging com chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês), é preciso concluir as etapas da página Ativar CMEK para uma organização na documentação do Cloud Logging.

Recurso	Descrição
Coletores de registros	Os filtros não podem conter dados do cliente. Os coletores de registros incluem filtros de inclusão armazenados como configuração. Não crie filtros que contenham dados do cliente.
Entradas de registro de acompanhamento ao vivo	Os filtros não podem conter dados do cliente. Uma sessão de acompanhamento ao vivo inclui um filtro armazenado como configuração. Os registros de cauda não armazenam dados de entrada de registro, mas podem consultar e transmitir dados entre regiões. Não crie filtros que contenham dados de clientes.
Políticas de alertas baseadas em SQL	Este recurso está desativado. Não é possível usar o recurso de políticas de alertas baseadas em SQL.

Compute Engine

Recursos afetados do Compute Engine

Recurso	Descrição
Ambiente para convidado	Os scripts, daemons e binários incluídos no ambiente convidado podem acessar dados não criptografados em repouso e em uso. Dependendo da configuração da VM, as atualizações desse software podem ser instaladas por padrão. Consulte Ambiente convidado para ver informações específicas sobre o conteúdo de cada pacote, o código-fonte e mais. Esses componentes ajudam a atender à soberania de dados com processos e controles de segurança internos. No entanto, se você quiser mais controle, também poderá selecionar suas próprias imagens ou agentes e, opcionalmente, usar a restrição de política da organização compute.trustedImageProjects. Para mais informações, consulte Como criar uma imagem personalizada.
Políticas de SO no VM Manager	Os scripts inline e os arquivos de saída binários nos arquivos de política do SO não são criptografados usando chaves de criptografia gerenciadas pelo cliente (CMEK). Não inclua informações sensíveis nesses arquivos. Considere armazenar esses scripts e arquivos de saída em buckets do Cloud Storage. Para mais informações, consulte Exemplos de políticas de SO. Se você quiser restringir a criação ou modificação de recursos de política de SO que usam scripts inline ou arquivos de saída binários, ative a restrição de política da organização constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Para mais informações, consulte Restrições para a Configuração do SO.

Restrições da política da organização do Compute Engine

Restrição da política da organização	Descrição
compute.disableGlobalCloudArmorPolicy	Definido como Verdadeiro. Desativa a criação de novas políticas de segurança globais do Google Cloud Armor e a adição ou modificação de regras para políticas de segurança globais dele. Essa restrição não afeta a remoção de regras nem a capacidade de remover ou alterar a descrição e a listagem de políticas de segurança globais do Google Cloud Armor. As políticas de segurança regionais do Google Cloud Armor não são afetadas por essa restrição. As políticas de segurança globais e regionais que existiam antes da aplicação dessa restrição continuam em vigor.
compute.restrictNonConfidentialComputing	(Opcional) O valor não está definido. Defina esse valor para fornecer uma defesa em profundidade adicional. Para mais informações, consulte a documentação sobre VMs confidenciais.
compute.trustedImageProjects	(Opcional) O valor não está definido. Defina esse valor para fornecer uma defesa em profundidade adicional. A definição desse valor restringe o armazenamento de imagens e a instanciação de disco à lista especificada de projetos. Esse valor afeta a soberania de dados, impedindo o uso de imagens ou agentes não autorizados.

Knowledge Catalog

Recursos do Knowledge Catalog

Recurso	Descrição
Attribute Store	Esse recurso foi descontinuado e desativado.
Data Catalog	Esse recurso foi descontinuado e desativado. Não é possível pesquisar nem gerenciar seus metadados no Data Catalog.
Insights de dados	Este recurso está desativado. Não é possível gerar insights de dados para seus catálogos.
Lakes e zonas	Este recurso está desativado. Não é possível gerenciar lakes, zonas e tarefas.

Firestore

Restrições da política da organização do Firestore

Restrição da política da organização	Descrição
firestore.managed.disableEnhancedTextSearch	Definido como Verdadeiro. Impede a ativação de melhorias de consulta para a pesquisa de texto completo do Firestore.

Google Cloud NetApp Volumes

Recursos afetados do Google Cloud NetApp Volumes

Recurso	Descrição
Níveis de serviço compatíveis	O Limite de Dados da Suíça é compatível com os seguintes níveis de serviço: Padrão Premium Extremo

Pub/Sub

Restrições da política da organização do Pub/Sub

Restrição da política da organização	Descrição
pubsub.managed.disableSubscriptionMessageTransforms	Definido como Verdadeiro. Desativa a configuração de assinaturas do Pub/Sub com transformações de mensagem única (SMTs, na sigla em inglês). Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.
pubsub.managed.disableTopicMessageTransforms	Definido como Verdadeiro. Desativa a configuração de tópicos do Pub/Sub com transformações de mensagem única (SMTs, na sigla em inglês). Alterar esse valor pode afetar a residência de dados ou a soberania de dados da carga de trabalho.

Spanner

Recursos afetados do Spanner

Recurso

Descrição

Limites de divisão

O Spanner usa um pequeno subconjunto de chaves primárias e colunas indexadas para definir limites de divisão, que podem incluir dados e metadados do cliente. Um limite de divisão no Spanner indica o local em que intervalos contíguos de linhas são divididos em partes menores. Esses limites de divisão podem ser acessados pela equipe do Google para fins de suporte técnico e depuração, e não estão sujeitos aos controles de dados de acesso administrativo no Assured Workloads.

Restrições da política da organização do Spanner

Restrição da política da organização	Descrição
spanner.assuredWorkloadsAdvancedServiceControls	Definido como Verdadeiro. Aplica mais controles de soberania de dados e suporte aos recursos do Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected	Definido como Verdadeiro. Desativa a capacidade de criar instâncias multirregionais do Spanner para aplicar a residência e a soberania de dados.

A seguir

• Saiba como criar uma pasta do Assured Workloads.
• Entenda os preços do Assured Workloads.