Límite de datos de EE.UU. para salud y ciencias biológicas

Importante: Antes de seguir las instrucciones de esta página, te recomendamos que busques asesoramiento legal independiente sobre tus responsabilidades en virtud del límite de datos de EE.UU. para el sector de la salud y las ciencias de la vida. Ninguna disposición de este documento pretende proporcionarte asesoramiento legal ni debe usarse como sustituto de este.

En esta página, se describe el conjunto de controles que se aplican en el límite de datos de EE.UU. para las cargas de trabajo de salud y ciencias biológicas en Assured Workloads. Proporciona información detallada sobre la residencia de datos, los productos Google Cloud compatibles y sus extremos de API, y las restricciones o limitaciones aplicables a esos productos.

El límite de datos de EE.UU. para salud y ciencias biológicas te permite ejecutar cargas de trabajo que cumplen con los requisitos de la Ley de Responsabilidad y Portabilidad de Seguros Médicos (HIPAA) y la Health Information Trust Alliance (HITRUST). Cada producto compatible se incluye en la página del Acuerdo entre socios comerciales (BAA) de la HIPAA deGoogle Cloud y en la página del HITRUST Common Security Framework (CSF) deGoogle Cloud.

La siguiente información adicional se aplica al límite de datos de EE.UU. para salud y ciencias biológicas:

• Residencia de datos: El paquete de controles del límite de datos de EE.UU. para el sector de la salud y las ciencias biológicas establece controles de ubicación de datos para admitir regiones solo de EE.UU.. Consulta la sección Restricciones de las políticas de la organización enGoogle Cloud para obtener más información.
• Asistencia: Los servicios de asistencia técnica para las cargas de trabajo del límite de datos de EE.UU. para salud y ciencias biológicas están disponibles con las suscripciones a la Atención al cliente de Cloud Estándar, Mejorada o Premium. Los casos de asistencia del límite de datos de EE.UU. para las cargas de trabajo de salud y ciencias biológicas se enrutan al personal de asistencia global. Si necesitas una opción de control de personal de asistencia más restrictiva, considera el paquete de controles del Límite de datos de EE.UU. para salud y ciencias biológicas con asistencia.
• Precios: El paquete de controles del límite de datos de EE.UU. para el sector de la salud y las ciencias biológicas se incluye en el nivel gratuito de Assured Workloads, que no genera cargos adicionales. Consulta los precios de Assured Workloads para obtener más información.

Requisitos previos

Para seguir cumpliendo con los requisitos como usuario del paquete de controles del límite de datos de EE.UU. para salud y ciencias biológicas, verifica que cumplas con los siguientes requisitos previos:

• Crea una carpeta de límite de datos de EE.UU. para salud y ciencias biológicas con Assured Workloads y, luego, implementa tus cargas de trabajo relacionadas con la HIPAA o HITRUST solo en esa carpeta.

• Solo habilita y usa los servicios incluidos en el alcance para las cargas de trabajo del límite de datos de EE.UU. para el sector de la salud y las ciencias biológicas. Si habilitas servicios adicionales modificando el conjunto de restricciones de la política de la organización Restringir el uso del servicio (gcp.restrictServiceUsage) establecido en tu carpeta de Assured Workloads, aceptas los riesgos asociados como se describe en Responsabilidad compartida en Assured Workloads. Se aplican los siguientes requisitos previos adicionales:

  • Para que sigas cumpliendo con las normas, cada servicio debe aparecer en la página del BAA de la HIPAA deGoogle Cloud o en la página del HITRUST CSF deGoogle Cloud.
  • Cuando agregues a la lista de entidades permitidas cualquier servicio adicional modificando esta restricción, la supervisión de Assured Workloads informará los incumplimientos de cumplimiento. Para quitar estos incumplimientos y evitar futuras notificaciones sobre los servicios agregados a la lista de entidades permitidas, debes otorgar una excepción para cada incumplimiento.
  • Antes de agregar un servicio a la lista de entidades permitidas, verifica que admita la CMEK. Para ello, revisa la página Servicios compatibles en la documentación de Cloud KMS. Si deseas aplicar una postura de seguridad más estricta cuando usas CMEK, consulta la página Ver el uso de la clave en la documentación de Cloud KMS.
  • Antes de agregar un servicio a la lista de entidades permitidas, verifica que aparezca en la página Google Cloud Servicios con residencia de datos.
  • Antes de agregar un servicio a la lista de entidades permitidas, verifica que sea compatible con los Controles del servicio de VPC. Para ello, consulta la página Productos admitidos y limitaciones en la documentación de los Controles del servicio de VPC.
  • Antes de agregar un servicio a la lista de entidades permitidas, verifica que sea compatible con la Transparencia de acceso y la Aprobación de acceso.

• No uses servidores MCP de Google Cloud, a menos que se indique lo contrario. El límite de datos de EE.UU. para el sector de la salud y las ciencias biológicas no proporciona controles de residencia de datos para los datos en uso ni los datos en tránsito con los servidores de MCP de Google Cloud. Para bloquear el acceso no deseado a los servidores de MCP de Google Cloud, consulta la página Controla el uso de los servidores de MCP de Google Cloud con IAM.

• No cambies los valores predeterminados de la restricción de la política de la organización, a menos que comprendas y aceptes los riesgos de residencia de datos que puedan ocurrir.

• Considera adoptar las prácticas recomendadas de seguridad generales que se proporcionan en el Google Cloud Centro de prácticas recomendadas para la seguridad.

Productos y extremos de API compatibles

A menos que se indique lo contrario, los usuarios pueden acceder a todos los productos compatibles a través de la consola de Google Cloud . En la siguiente tabla, se indican las restricciones o limitaciones que afectan las funciones de un producto compatible, incluidas las que se aplican a través de la configuración de restricciones de políticas de la organización.

Si un producto no aparece en la lista, significa que no es compatible y que no cumple con los requisitos de control del límite de datos de EE.UU. para salud y ciencias biológicas. No se recomienda usar los productos no compatibles sin la diligencia debida y una comprensión exhaustiva de tus responsabilidades en el modelo de responsabilidad compartida. Antes de usar un producto no compatible, asegúrate de conocer y aceptar los riesgos asociados, como los impactos negativos en la residencia o la soberanía de los datos.

Nota: Es posible que los productos no admitidos compartan un extremo de servicio de la API con los productos admitidos, lo que los hace disponibles para todos los usuarios.

Importante: Los servidores de MCP de Google Cloud no son compatibles con ningún límite de datos de EE.UU. para los productos de ciencias biológicas y atención médica, a menos que se indique lo contrario. El límite de datos de EE.UU. para el sector de la salud y las ciencias biológicas no proporciona controles de residencia de datos para los datos en uso ni los datos en tránsito con los servidores de MCP de Google Cloud. Es tu responsabilidad garantizar que los extremos de los servidores del MCP de Google Cloud no se utilicen con ningún límite de datos de EE.UU. para los productos de ciencias biológicas y atención médica. Para bloquear el acceso no deseado a los servidores de MCP de Google Cloud, consulta la página Controla el uso de los servidores de MCP de Google Cloud con IAM.

Producto compatible	extremos de API	Restricciones o limitaciones
Aprobación de acceso	accessapproval.googleapis.com	Ninguno
Access Context Manager	accesscontextmanager.googleapis.com	Ninguno
Transparencia de acceso	accessapproval.googleapis.com	Ninguno
Agent Assist	dialogflow.googleapis.com	Ninguno
AlloyDB para PostgreSQL	alloydb.googleapis.com	Ninguno
Apigee	apigee.googleapis.com	Ninguno
Application Integration	integrations.googleapis.com	Ninguno
Artifact Registry	artifactregistry.googleapis.com	Ninguno
AutoML Tables	aiplatform.googleapis.com	Ninguno
Servicio de copia de seguridad y DR	backupdr.googleapis.com	Ninguno
Copia de seguridad para GKE	gkebackup.googleapis.com	Ninguno
BigQuery	bigquery.googleapis.com bigqueryconnection.googleapis.com bigquerydatapolicy.googleapis.com bigquerydatatransfer.googleapis.com bigqueryreservation.googleapis.com bigquerystorage.googleapis.com	Funciones afectadas
Servicio de transferencia de datos de BigQuery	bigquerydatatransfer.googleapis.com	Ninguno
Bigtable	bigtable.googleapis.com bigtableadmin.googleapis.com	Funciones afectadas
Autorización binaria	binaryauthorization.googleapis.com	Ninguno
Certificate Authority Service	privateca.googleapis.com	Ninguno
Administrador de certificados	certificatemanager.googleapis.com	Ninguno
Cloud Asset Inventory	cloudasset.googleapis.com	Ninguno
Cloud Build	cloudbuild.googleapis.com	Ninguno
Cloud DNS	dns.googleapis.com	Ninguno
Cloud Data Fusion	datafusion.googleapis.com	Ninguno
Cloud Deploy	clouddeploy.googleapis.com	Ninguno
Cloud HSM	cloudkms.googleapis.com	Ninguno
API de Cloud Healthcare	healthcare.googleapis.com	Ninguno
Cloud Interconnect	compute.googleapis.com	Funciones afectadas
Cloud Key Management Service (Cloud KMS)	cloudkms.googleapis.com	Ninguno
Cloud Logging	logging.googleapis.com	Funciones afectadas
Cloud Monitoring	monitoring.googleapis.com	Funciones afectadas
Cloud Router	compute.googleapis.com	Ninguno
Cloud Run	run.googleapis.com	Funciones afectadas
Cloud Run Functions	run.googleapis.com	Ninguno
Cloud SQL	sqladmin.googleapis.com	Ninguno
Cloud Service Mesh	mesh.googleapis.com meshca.googleapis.com meshconfig.googleapis.com trafficdirector.googleapis.com networkservices.googleapis.com	Ninguno
Cloud Storage	storage.googleapis.com	Ninguno
Cloud Tasks	cloudtasks.googleapis.com	Ninguno
Cloud VPN	compute.googleapis.com	Funciones afectadas
API de Cloud Vision	vision.googleapis.com	Funciones afectadas
Compute Engine	compute.googleapis.com	Funciones afectadas y restricciones de las políticas de la organización
Dialogflow CX	dialogflow.googleapis.com	Ninguno
Customer Experience Insights	contactcenterinsights.googleapis.com	Ninguno
Dataflow	dataflow.googleapis.com datapipelines.googleapis.com	Ninguno
Dataform	dataform.googleapis.com	Ninguno
Document AI	documentai.googleapis.com	Ninguno
Eventarc	eventarc.googleapis.com	Ninguno
Balanceador de cargas de red de transferencia externo	compute.googleapis.com	Ninguno
Filestore	file.googleapis.com	Ninguno
Firestore	firestore.googleapis.com	Ninguno
GKE Hub	gkehub.googleapis.com	Ninguno
IA generativa en Vertex AI	aiplatform.googleapis.com	Ninguno
Google Cloud Armor	compute.googleapis.com networksecurity.googleapis.com	Funciones afectadas
Google Kubernetes Engine (GKE)	container.googleapis.com containersecurity.googleapis.com	Ninguno
Administración de identidades y accesos (IAM)	iam.googleapis.com policytroubleshooter.googleapis.com	Ninguno
Identity-Aware Proxy (IAP)	iap.googleapis.com	Ninguno
Balanceador de cargas de red de transferencia interno	compute.googleapis.com	Ninguno
Key Access Justifications	cloudekm.googleapis.com cloudkms.googleapis.com	Ninguno
Knowledge Catalog	dataplex.googleapis.com datalineage.googleapis.com	Funciones afectadas
Looker (Google Cloud Core)	looker.googleapis.com	Ninguno
Managed Service para Apache Airflow	composer.googleapis.com	Ninguno
Managed Service para Apache Spark	dataproc-control.googleapis.com dataproc.googleapis.com	Ninguno
Memorystore para Redis	redis.googleapis.com	Ninguno
Model Armor	modelarmor.googleapis.com	Ninguno
Network Connectivity Center	networkconnectivity.googleapis.com	Funciones afectadas
Persistent Disk	compute.googleapis.com	Ninguno
Pub/Sub	pubsub.googleapis.com	Restricciones de las políticas de la organización
Balanceador de cargas de aplicaciones externo regional	compute.googleapis.com	Ninguno
Balanceador de cargas de red del proxy externo regional	compute.googleapis.com	Ninguno
Balanceador de cargas de aplicaciones interno regional	compute.googleapis.com	Ninguno
Balanceador de cargas de red del proxy interno regional	compute.googleapis.com	Ninguno
Secret Manager	secretmanager.googleapis.com	Ninguno
Secure Source Manager	securesourcemanager.googleapis.com	Ninguno
Security Command Center Premium	securitycenter.googleapis.com securitycentermanagement.googleapis.com securityposture.googleapis.com websecurityscanner.googleapis.com	Ninguno
Sensitive Data Protection	dlp.googleapis.com	Ninguno
Spanner	spanner.googleapis.com	Funciones afectadas y restricciones de las políticas de la organización
Speech-to-Text	speech.googleapis.com	Ninguno
Servicio de transferencia de almacenamiento	storagetransfer.googleapis.com	Ninguno
Text-to-Speech	texttospeech.googleapis.com	Ninguno
Controles del servicio de VPC	accesscontextmanager.googleapis.com	Ninguno
Predicción por lotes de Vertex AI	aiplatform.googleapis.com	Ninguno
Predicción en línea de Vertex AI	aiplatform.googleapis.com	Ninguno
Vertex AI Search	discoveryengine.googleapis.com	Ninguno
Vertex AI Training	aiplatform.googleapis.com	Ninguno
Vertex AI Workbench	notebooks.googleapis.com	Ninguno
Nube privada virtual (VPC)	compute.googleapis.com	Ninguno

Restricciones y limitaciones

En las siguientes secciones, se describen las restricciones o limitaciones de las funciones que se aplican a Google Clouden general o a productos específicos, incluidas las restricciones de las políticas de la organización que se establecen de forma predeterminada en las carpetas del límite de datos de EE.UU. para el sector de la salud y las ciencias biológicas. Otras restricciones de políticas de la organización aplicables, incluso si no se establecen de forma predeterminada, pueden proporcionar una defensa en profundidad adicional para proteger aún más los recursos de tu organización Google Cloud .

Recomendamos no cambiar los valores de las restricciones de la política de la organización obligatorias que se enumeran en las siguientes secciones. Esto puede socavar la residencia de los datos. Cuando se realiza este cambio, los efectos de este cambio son difíciles o imposibles de revertir. Antes de continuar, asegúrate de comprender las ramificaciones de cambiar el valor de una restricción de la política de la organización.

Además, asegúrate de que se actualicen los mecanismos automatizados que usa tu organización para administrar las políticas de la organización a fin de evitar que estos valores se modifiquen de manera involuntaria.

Google Cloudde ancho

Restricciones de las políticas de la organización en toda laGoogle Cloud

Las siguientes restricciones de políticas de la organización se aplican en Google Cloud.

Restricción de las políticas de la organización	Descripción
gcp.resourceLocations	Establece las siguientes ubicaciones en la lista allowedValues: us us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Este valor restringe la creación de recursos nuevos a los valores seleccionados. Cuando se establece, no se pueden crear recursos en ninguna otra región, multirregión ni ubicaciones fuera de la selección. Consulta Servicios compatibles con las ubicaciones de recursos para obtener una lista de los recursos que se pueden restringir con la restricción de la política de la organización de ubicaciones de recursos, ya que algunos recursos pueden estar fuera del alcance y no se pueden restringir. Si cambias este valor y lo haces menos restrictivo, podrías socavar la residencia de datos, ya que permitirá que se creen o almacenen datos fuera de un límite de datos que cumpla con los requisitos.
gcp.restrictNonCmekServices	Se configura como una lista de todos los nombres de servicios de API dentro del alcance, incluidos los siguientes: bigquerydatatransfer.googleapis.com Algunas funciones pueden verse afectadas por cada uno de los servicios mencionados anteriormente. Cada servicio enumerado requiere claves de encriptación administradas por el cliente (CMEK). La CMEK encripta los datos en reposo con una clave administrada por ti, no con los mecanismos de encriptación predeterminados de Google. Si cambias este valor mediante la eliminación de uno o más servicios dentro del alcance de la lista, es posible que socaves la soberanía de los datos, ya que los datos nuevos en reposo se encriptarán automáticamente con las claves de Google en lugar de las tuyas. Los datos en reposo existentes permanecerán encriptados con la clave que proporcionaste.
gcp.restrictServiceUsage	Se configura para permitir todos los productos y extremos de API compatibles. Determina qué servicios se pueden usar restringiendo el acceso en el tiempo de ejecución a sus recursos. Para obtener más información, consulta Cómo restringir el uso de recursos.
gcp.restrictTLSVersion	Se establece para rechazar las siguientes versiones de TLS: TLS_1_0 TLS_1_1 Para obtener más información, consulta Restringe las versiones de TLS.

BigQuery

Funciones de BigQuery afectadas

Función	Descripción
Cómo habilitar BigQuery en una carpeta nueva	BigQuery es compatible, pero no se habilita automáticamente cuando creas una carpeta nueva de Assured Workloads debido a un proceso de configuración interno. Este proceso suele finalizar en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si el proceso finalizó y habilitar BigQuery, completa los siguientes pasos: En la consola de Google Cloud , ve a la página Assured Workloads. Ir a Assured Workloads Selecciona tu nueva carpeta de Assured Workloads en la lista. En la página Folder Details (Detalles de la carpeta), en la sección Allowed services (Servicios permitidos), haz clic en Review Available Updates (Revisar las actualizaciones disponibles). En el panel Servicios permitidos, revisa los servicios que se agregarán a la política de la organización de Restricción del uso de recursos de la carpeta. Si se enumeran los servicios de BigQuery, haz clic en Allow Services para agregarlos. Si no se muestran los servicios de BigQuery, espera a que se complete el proceso interno. Si los servicios no aparecen en un plazo de 12 horas después de la creación de la carpeta, comunícate con Atención al cliente de Cloud. Una vez que se complete el proceso de habilitación, podrás usar BigQuery en tu carpeta de Assured Workloads. Assured Workloads no admite Gemini en BigQuery.
Características no compatibles	Las siguientes funciones de BigQuery no son compatibles y no se deben usar en la CLI de BigQuery. Es tu responsabilidad no usarlos en BigQuery para Assured Workloads. Interacción con fuentes de datos remotas No se admiten los modelos de BQML entrenados de forma externa. Se admiten los modelos de BQML entrenados de forma interna. No se admite el enmascaramiento de datos con etiquetas de política. Se admite el enmascaramiento de datos a través de la aplicación directa de políticas de datos a las columnas. Exportación a Google Drive Funciones remotas Consultas guardadas Programación del flujo de trabajo En BigQuery Studio, los notebooks no son compatibles. Gemini en BigQuery no es compatible.
CLI de BigQuery	Se admite la CLI de BigQuery.
SDK de Google Cloud	Debes usar la versión 403.0.0 o posterior del SDK de Google Cloud para mantener las garantías de regionalización de datos técnicos. Para verificar tu versión actual del SDK de Google Cloud, ejecuta gcloud --version y, luego, gcloud components update para actualizar a la versión más reciente.
Controles del administrador	BigQuery inhabilitará las APIs no admitidas, pero los administradores con permisos suficientes para crear carpetas de Assured Workloads pueden habilitar una API no admitida. Si esto ocurre, recibirás una notificación sobre el posible incumplimiento a través del panel de supervisión de Assured Workloads.
Carga datos	No se admiten los conectores del Servicio de transferencia de datos de BigQuery para las aplicaciones de software como servicio (SaaS) de Google, los proveedores externos de almacenamiento en la nube ni los almacenes de datos. Es tu responsabilidad no utilizar los conectores del Servicio de transferencia de datos de BigQuery para el límite de datos de EE.UU. para las cargas de trabajo de atención médica y ciencias de la vida.
Transferencias de terceros	BigQuery no verifica la compatibilidad con las transferencias de terceros para el Servicio de transferencia de datos de BigQuery. Es tu responsabilidad verificar la compatibilidad cuando uses cualquier transferencia de terceros para el Servicio de transferencia de datos de BigQuery.
Modelos de BQML que no cumplen con los requisitos	Los modelos de BQML entrenados de forma externa no son compatibles.
Trabajos de consulta	Los trabajos de consulta solo se deben crear dentro de las carpetas de Assured Workloads.
Consultas sobre conjuntos de datos en otros proyectos	BigQuery no impide que se consulten los conjuntos de datos de Assured Workloads desde proyectos que no son de Assured Workloads. Debes asegurarte de que cualquier consulta que tenga una lectura o una unión en datos de Assured Workloads se coloque en carpetas de Assured Workloads. Puedes especificar un nombre de tabla completo para el resultado de la consulta con projectname.dataset.table en la CLI de BigQuery.
Cloud Logging	BigQuery utiliza Cloud Logging para algunos de tus datos de registro. Debes inhabilitar tus buckets de registros de _default o restringir los buckets de _default a las regiones dentro del alcance para mantener el cumplimiento con el siguiente comando: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Para obtener más información, consulta Regionaliza tus registros.

Bigtable

Funciones de Bigtable afectadas

Función	Descripción
Data Boost	Se inhabilitó esta función.
Límites de división	Bigtable usa un pequeño subconjunto de claves de fila para definir los límites de división, que pueden incluir datos y metadatos del cliente. Un límite de división en Bigtable indica la ubicación en la que los rangos contiguos de filas en una tabla se dividen en tablets. El personal de Google puede acceder a estos límites de división con fines de asistencia técnica y depuración, y no están sujetos a los controles de datos de acceso administrativo en Assured Workloads.

Cloud Interconnect

Funciones de Cloud Interconnect afectadas

Función	Descripción
VPN con alta disponibilidad (HA)	Debes habilitar la funcionalidad de VPN con alta disponibilidad (HA) cuando uses Cloud Interconnect con Cloud VPN. Además, debes cumplir con los requisitos de encriptación y regionalización que se indican en la sección Funciones afectadas de Cloud VPN.

Cloud Logging

Funciones de Cloud Logging afectadas

Para usar Cloud Logging con claves de encriptación administradas por el cliente (CMEK), debes completar los pasos de la página Habilita CMEK para una organización en la documentación de Cloud Logging.

Función	Descripción
Receptores de registros	Los filtros no deben contener datos del cliente. Los receptores de registros incluyen filtros que se almacenan como configuración. No crees filtros que contengan datos del cliente.
Entradas de registro de transmisión de registros en tiempo real	Los filtros no deben contener datos del cliente. Una sesión de transmisión de registros en tiempo real incluye un filtro que se almacena como configuración. Los registros de cola no almacenan ningún dato de entrada de registro, pero pueden consultar y transmitir datos entre regiones. No crees filtros que contengan datos del cliente.
Políticas de alertas basadas en SQL	Se inhabilitó esta función. No puedes usar la función de políticas de alertas basadas en SQL.

Cloud Monitoring

Funciones de Cloud Monitoring afectadas

Función	Descripción
Monitor sintético	Se inhabilitó esta función.
Verificaciones de tiempo de actividad	Se inhabilitó esta función.

Cloud Run

Funciones de Cloud Run afectadas

Función	Descripción
Características no compatibles	No se admiten las siguientes funciones de Cloud Run: Integración de Cloud Trace Cloud Run Functions Activadores de Eventarc

API de Cloud Vision

Funciones afectadas de la API de Cloud Vision

Función	Descripción
Extremos de la API de Cloud Vision que cumplen con los HCLS	Es tu responsabilidad usar solo el extremo de API de la región de EE.UU. (us-vision.googleapis.com) para la API de Cloud Vision. El extremo global (vision.googleapis.com) no cumple con los requisitos de HCLS, y su uso puede socavar la residencia de datos de tu carga de trabajo.

Cloud VPN

Funciones de Cloud VPN afectadas

Función	Descripción
Extremos de VPN	Solo debes usar extremos de Cloud VPN que se encuentren en una región dentro del alcance. Asegúrate de que tu puerta de enlace de VPN esté configurada para usarse solo en una región dentro del alcance.

Compute Engine

Funciones de Compute Engine afectadas

Función	Descripción
Entorno huésped	Es posible que las secuencias de comandos, los daemons y los objetos binarios incluidos en el entorno invitado accedan a datos en reposo y en uso no encriptados. Según la configuración de tu VM, es posible que se instalen actualizaciones de este software de forma predeterminada. Consulta Entorno invitado para obtener información específica sobre el contenido de cada paquete, el código fuente y mucho más. Estos componentes te ayudan a cumplir con la soberanía de los datos a través de procesos y controles de seguridad internos. Sin embargo, si deseas un control adicional, también puedes seleccionar tus propias imágenes o agentes y, de forma opcional, usar la restricción de la política de la organización compute.trustedImageProjects. Para obtener más información, consulta Compila una imagen personalizada.
Políticas del SO en VM Manager	Los archivos de salida binarios y las secuencias de comandos intercaladas dentro de los archivos de políticas del SO no se encriptan con claves de encriptación administradas por el cliente (CMEK). No incluyas información sensible en estos archivos. Considera almacenar estos archivos de resultado y secuencias de comandos en buckets de Cloud Storage. Para obtener más información, consulta Ejemplos de políticas del SO. Si deseas restringir la creación o modificación de recursos de políticas del SO que usan secuencias de comandos intercaladas o archivos de salida binarios, habilita la restricción de la política de la organización constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Para obtener más información, consulta Restricciones para OS Config.

Restricciones de las políticas de la organización de Compute Engine

Restricción de las políticas de la organización	Descripción
compute.disableGlobalCloudArmorPolicy	Configurado como True. Inhabilita la creación de nuevas políticas de seguridad de Google Cloud Armor globales y la adición o modificación de reglas a las políticas de seguridad de Google Cloud Armor globales existentes. Esta restricción no limita la eliminación de reglas ni la capacidad de quitar o cambiar la descripción y la publicación de políticas de seguridad globales de Google Cloud Armor. Las políticas de seguridad regionales de Google Cloud Armor no se ven afectadas por esta restricción. Todas las políticas de seguridad globales y regionales que existían antes de la aplicación de esta restricción siguen vigentes.
compute.restrictNonConfidentialComputing	(Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Para obtener más información, consulta la documentación de Confidential VM.
compute.trustedImageProjects	(Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Si configuras este valor, se restringe el almacenamiento de imágenes y la creación de instancias de disco a la lista especificada de proyectos. Este valor afecta la soberanía de los datos, ya que se impide el uso de agentes o imágenes no autorizados.

Knowledge Catalog

Funciones de Knowledge Catalog

Función	Descripción
Attribute Store	Esta función está obsoleta y se inhabilitó.
Data Catalog	Esta función está obsoleta y se inhabilitó. No puedes buscar ni administrar tus metadatos en Data Catalog.
Lakes y zonas	Se inhabilitó esta función. No puedes administrar lakes, zonas ni tareas.

Google Cloud Armor

Funciones de Google Cloud Armor afectadas

Función	Descripción
Políticas de seguridad con alcance global	Esta función está inhabilitada por la restricción de la política de la organización compute.disableGlobalCloudArmorPolicy.

Network Connectivity Center

Funciones afectadas de Network Connectivity Center

Función	Descripción
Consola deGoogle Cloud	Las funciones de Network Connectivity Center no están disponibles en la consola de Google Cloud . En su lugar, usa la API o Google Cloud CLI.

Pub/Sub

Restricciones de las políticas de la organización de Pub/Sub

Restricción de las políticas de la organización	Descripción
pubsub.managed.disableSubscriptionMessageTransforms	Configurado como True. Inhabilita la configuración de suscripciones a Pub/Sub con transformaciones de mensaje único (SMT). Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.
pubsub.managed.disableTopicMessageTransforms	Configurado como True. Inhabilita la configuración de temas de Pub/Sub con transformaciones de mensaje único (SMT). Cambiar este valor puede afectar la residencia de los datos o la soberanía de los datos de tu carga de trabajo.

Spanner

Funciones de Spanner afectadas

Función

Descripción

Límites de división

Spanner usa un pequeño subconjunto de claves primarias y columnas indexadas para definir los límites de división, que pueden incluir datos y metadatos del cliente. Un límite de división en Spanner indica la ubicación en la que los rangos contiguos de filas se dividen en partes más pequeñas. El personal de Google puede acceder a estos límites de división con fines de asistencia técnica y depuración, y no están sujetos a los controles de datos de acceso administrativo en Assured Workloads.

Restricciones de las políticas de la organización de Spanner

Restricción de las políticas de la organización	Descripción
spanner.assuredWorkloadsAdvancedServiceControls	Configurado como True. Aplica controles adicionales de soberanía de los datos y capacidad de asistencia a los recursos de Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected	Configurado como True. Inhabilita la capacidad de crear instancias de Spanner multirregionales para aplicar la residencia y la soberanía de los datos.

¿Qué sigue?

• Aprende a crear una carpeta de Assured Workloads.
• Obtén información sobre el paquete de controles del límite de datos de EE.UU. para salud y ciencias biológicas con asistencia.
• Comprende los precios de Assured Workloads