Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche

Questa pagina descrive l'insieme di controlli applicati ai workload US Data Boundary for Healthcare and Life Sciences in Assured Workloads. Fornisce informazioni dettagliate sulla residenza dei dati, sui prodotti Google Cloud supportati e sui relativi endpoint API, nonché su eventuali restrizioni o limitazioni applicabili a questi prodotti.

US Data Boundary for Healthcare and Life Sciences ti consente di eseguire workload conformi ai requisiti dell'Health Insurance Portability and Accountability Act (HIPAA) e dell'Health Information Trust Alliance (HITRUST). Ogni prodotto supportato è elencato nella pagina del Contratto di società in affari (BAA) HIPAA diGoogle Cloud e nella pagina del Common Security Framework (CSF) HITRUST diGoogle Cloud.

Le seguenti informazioni aggiuntive si applicano al Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche:

  • Residenza dei dati: il pacchetto di controlli Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche imposta i controlli della località dei dati per supportare le regioni solo degli Stati Uniti. Per saperne di più, consulta la sezione Vincoli delle policy dell'organizzazione a livello diGoogle Cloud.
  • Assistenza: i servizi di assistenza tecnica per i workload di Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche sono disponibili con gli abbonamenti all'assistenza clienti Google Cloud Standard, Avanzata o Premium. Le richieste di assistenza per i workload con Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche vengono indirizzate al personale di assistenza globale. Se hai bisogno di un'opzione di controllo del personale di assistenza più restrittiva, prendi in considerazione il pacchetto di controlli Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche con assistenza.
  • Prezzi: il pacchetto di controlli Data Boundary negli Stati Uniti per il settore sanitario e delle scienze biologiche è incluso nel Livello senza costi di Assured Workloads, che non comporta costi aggiuntivi. Per ulteriori informazioni, consulta i prezzi di Assured Workloads.

Prerequisiti

Per mantenere la conformità come utente del pacchetto di controlli Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche, verifica di soddisfare e rispettare i seguenti prerequisiti:

  • Crea una cartella Confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche utilizzando Assured Workloads ed esegui il deployment dei workload HIPAA o HITRUST solo in quella cartella.

  • Attiva e utilizza solo i servizi inclusi nell'ambito per i workload di US Data Boundary for Healthcare and Life Sciences. Se attivi servizi aggiuntivi modificando il vincolo della policy dell'organizzazione Limita utilizzo servizi (gcp.restrictServiceUsage) impostato sulla cartella Assured Workloads, scegli di accettare i rischi associati, come descritto in Responsabilità condivisa in Assured Workloads. Si applicano i seguenti prerequisiti aggiuntivi:

    • Per mantenere la conformità, ogni servizio deve essere elencato nella pagina BAA HIPAA diGoogle Cloud o nella pagina HITRUST CSF diGoogle Cloud.
    • Quando inserisci nella lista consentita altri servizi modificando questo vincolo, il monitoraggio di Assured Workloads segnalerà violazioni della conformità. Per rimuovere queste violazioni e impedire notifiche future per i servizi aggiunti alla lista consentita, devi concedere un'eccezione per ogni violazione.
    • Prima di aggiungere un servizio alla lista consentita, verifica che supporti CMEK consultando la pagina Servizi compatibili nella documentazione di Cloud KMS. Se vuoi applicare una security posture più rigorosa quando utilizzi CMEK, consulta la pagina Visualizza l'utilizzo delle chiavi nella documentazione di Cloud KMS.
    • Prima di aggiungere un servizio alla lista consentita, verifica che sia elencato nella pagina Servizi con residenza dei datiGoogle Cloud .
    • Prima di aggiungere un servizio alla lista consentita, verifica che sia supportato dai Controlli di servizio VPC consultando la pagina Prodotti supportati e limitazioni nella documentazione dei Controlli di servizio VPC.
    • Prima di aggiungere un servizio alla lista consentita, verifica che sia supportato da Access Transparency e Access Approval.

  • Non utilizzare i server MCP di Google Cloud, se non diversamente specificato. Il confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche non fornisce controlli sulla residenza dei dati per i dati in uso e in transito con i server Google Cloud MCP. Per bloccare l'accesso indesiderato ai server MCP di Google Cloud, consulta la pagina Controlla l'utilizzo dei server MCP di Google Cloud con IAM.

  • Non modificare i valori predefiniti dei vincoli delle policy dell'organizzazione, a meno che tu non comprenda e non sia disposto ad accettare i rischi relativi alla residenza dei dati che potrebbero verificarsi.

  • Valuta la possibilità di adottare le best practice generali per la sicurezza fornite nel Centro best practice per la sicurezza diGoogle Cloud .

Prodotti ed endpoint API supportati

Se non diversamente specificato, gli utenti possono accedere a tutti i prodotti supportati tramite la console Google Cloud . Le restrizioni o le limitazioni che influiscono sulle funzionalità di un prodotto supportato, incluse quelle applicate tramite le impostazioni dei vincoli delle policy dell'organizzazione, sono elencate nella tabella seguente.

Se un prodotto non è elencato, non è supportato e non soddisfa i requisiti di controllo per il confine per i dati negli Stati Uniti per il settore sanitario e delle scienze biologiche. L'utilizzo dei prodotti non supportati non è consigliato senza la dovuta diligenza e una conoscenza approfondita delle tue responsabilità nel modello di responsabilità condivisa. Prima di utilizzare un prodotto non supportato, assicurati di essere a conoscenza e di accettare tutti i rischi associati, come gli impatti negativi sulla residenza dei dati o sulla sovranità dei dati.

Prodotto supportato Endpoint API Restrizioni o limitazioni
Access Approval accessapproval.googleapis.com
 Nessuno
Gestore contesto accesso accesscontextmanager.googleapis.com
 Nessuno
Access Transparency accessapproval.googleapis.com
 Nessuno
Agent Assist dialogflow.googleapis.com
 Nessuno
AlloyDB per PostgreSQL alloydb.googleapis.com
 Nessuno
Apigee apigee.googleapis.com
 Nessuno
Application Integration integrations.googleapis.com
 Nessuno
Artifact Registry artifactregistry.googleapis.com
 Nessuno
AutoML Tables aiplatform.googleapis.com
 Nessuno
Servizio di Backup e DR backupdr.googleapis.com
 Nessuno
Backup per Google Kubernetes Engine (GKE) gkebackup.googleapis.com
 Nessuno
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerydatatransfer.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 Funzionalità interessate
BigQuery Data Transfer Service bigquerydatatransfer.googleapis.com
 Nessuno
Bigtable bigtable.googleapis.com
bigtableadmin.googleapis.com
 Funzionalità interessate
Autorizzazione binaria binaryauthorization.googleapis.com
 Nessuno
Certificate Authority Service privateca.googleapis.com
 Nessuno
Certificate Manager certificatemanager.googleapis.com
 Nessuno
Cloud Asset Inventory cloudasset.googleapis.com
 Nessuno
Cloud Build cloudbuild.googleapis.com
 Nessuno
Cloud DNS dns.googleapis.com
 Nessuno
Cloud Data Fusion datafusion.googleapis.com
 Nessuno
Cloud Deploy clouddeploy.googleapis.com
 Nessuno
Cloud HSM cloudkms.googleapis.com
 Nessuno
API Cloud Healthcare healthcare.googleapis.com
 Nessuno
Cloud Interconnect compute.googleapis.com
 Funzionalità interessate
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 Nessuno
Cloud Logging logging.googleapis.com
 Funzionalità interessate
Cloud Monitoring monitoring.googleapis.com
stackdriver.googleapis.com
 Funzionalità interessate
Router Cloud compute.googleapis.com
 Nessuno
Cloud Run run.googleapis.com
 Funzionalità interessate
Cloud Run Functions cloudfunctions.googleapis.com
run.googleapis.com
 Nessuno
Cloud SQL sqladmin.googleapis.com
 Nessuno
Cloud Scheduler cloudscheduler.googleapis.com
 Nessuno
Cloud Service Mesh connectgateway.googleapis.com
mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
networkservices.googleapis.com
opsconfigmonitoring.googleapis.com
osconfig.googleapis.com
trafficdirector.googleapis.com
 Nessuno
Cloud Storage storage.googleapis.com
 Nessuno
Cloud Tasks cloudtasks.googleapis.com
 Nessuno
Cloud VPN compute.googleapis.com
 Funzionalità interessate
API Cloud Vision vision.googleapis.com
 Funzionalità interessate
Cloud Workstations workstations.googleapis.com
 Nessuno
Compute Engine compute.googleapis.com
 Funzionalità interessate e vincoli delle policy dell'organizzazione
Dialogflow CX dialogflow.googleapis.com
 Nessuno
Insight sulla customer experience contactcenterinsights.googleapis.com
 Nessuno
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 Nessuno
Dataform dataform.googleapis.com
 Nessuno
Document AI documentai.googleapis.com
 Nessuno
Eventarc eventarc.googleapis.com
 Nessuno
Bilanciatore del carico di rete passthrough esterno compute.googleapis.com
 Nessuno
Filestore file.googleapis.com
 Nessuno
Firestore datastore.googleapis.com
firestore.googleapis.com
 Nessuno
Flow Analyzer networkmanagement.googleapis.com
 Nessuno
Hub di Google Kubernetes Engine (GKE) gkehub.googleapis.com
 Nessuno
AI generativa su Vertex AI aiplatform.googleapis.com
 Nessuno
Google Cloud Armor compute.googleapis.com
networksecurity.googleapis.com
 Funzionalità interessate
Google Kubernetes Engine (GKE) container.googleapis.com
containersecurity.googleapis.com
 Nessuno
Google Security Operations SIEM chronicle.googleapis.com
chronicleservicemanager.googleapis.com
 Nessuno
Google Security Operations SOAR Not applicable
 Nessuno
Identity and Access Management (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 Nessuno
Identity-Aware Proxy (IAP) iap.googleapis.com
 Nessuno
Infrastructure Manager config.googleapis.com
 Nessuno
Bilanciatore del carico di rete passthrough interno compute.googleapis.com
 Nessuno
Key Access Justifications cloudekm.googleapis.com
cloudkms.googleapis.com
 Nessuno
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 Funzionalità interessate
Looker (Google Cloud core) looker.googleapis.com
 Nessuno
Managed Service for Apache Airflow composer.googleapis.com
 Nessuno
Managed Service for Apache Spark dataproc-control.googleapis.com
dataproc.googleapis.com
 Nessuno
Memorystore for Redis redis.googleapis.com
 Nessuno
Model Armor modelarmor.googleapis.com
 Nessuno
Network Connectivity Center networkconnectivity.googleapis.com
 Funzionalità interessate
Persistent Disk compute.googleapis.com
 Nessuno
Pub/Sub pubsub.googleapis.com
 Vincoli delle policy dell'organizzazione
Bilanciatore del carico delle applicazioni esterno regionale compute.googleapis.com
 Nessuno
Bilanciatore del carico di rete proxy esterno regionale compute.googleapis.com
 Nessuno
Bilanciatore del carico delle applicazioni interno regionale compute.googleapis.com
 Nessuno
Bilanciatore del carico di rete proxy interno regionale compute.googleapis.com
 Nessuno
Secret Manager secretmanager.googleapis.com
 Nessuno
Secure Source Manager securesourcemanager.googleapis.com
 Nessuno
Security Command Center Premium containerthreatdetection.googleapis.com
securitycenter.googleapis.com
securitycentermanagement.googleapis.com
securityposture.googleapis.com
websecurityscanner.googleapis.com
 Nessuno
Sensitive Data Protection dlp.googleapis.com
 Nessuno
Service Directory servicedirectory.googleapis.com
 Nessuno
Spanner spanner.googleapis.com
 Funzionalità interessate e vincoli delle policy dell'organizzazione
Speech-to-Text speech.googleapis.com
 Nessuno
Storage Transfer Service storagetransfer.googleapis.com
 Nessuno
Text-to-Speech texttospeech.googleapis.com
 Nessuno
Controlli di servizio VPC accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 Nessuno
Previsioni in batch di Vertex AI aiplatform.googleapis.com
 Vincoli delle policy dell'organizzazione
Previsione online di Vertex AI aiplatform.googleapis.com
 Vincoli delle policy dell'organizzazione
Ricerca di agenti discoveryengine.googleapis.com
 Vincoli delle policy dell'organizzazione
Vertex AI Training aiplatform.googleapis.com
 Vincoli delle policy dell'organizzazione
Vertex AI Workbench notebooks.googleapis.com
 Vincoli delle policy dell'organizzazione
Virtual Private Cloud (VPC) compute.googleapis.com
 Nessuno
Workflows workflows.googleapis.com
 Nessuno

Restrizioni e limitazioni

Le sezioni seguenti descrivono le restrizioni o le limitazioni a livello di Google Cloudo specifiche per i prodotti per le funzionalità, inclusi i vincoli delle policy dell'organizzazione impostati per impostazione predefinita sulle cartelle US Data Boundary for Healthcare and Life Sciences. Altri vincoli delle policy dell'organizzazione applicabili, anche se non impostati per impostazione predefinita, possono fornire un'ulteriore difesa in profondità per proteggere ulteriormente le risorse Google Cloud della tua organizzazione.

Google Cloud-wide

Vincoli delle policy dell'organizzazione a livello diGoogle Cloud

I seguenti vincoli delle policy dell'organizzazione si applicano a Google Cloud.

Vincolo delle policy dell'organizzazione Descrizione
gcp.resourceLocations Imposta le seguenti località nell'elenco allowedValues:
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
Questo valore limita la creazione di nuove risorse ai valori selezionati. Se impostata, non è possibile creare risorse in altre regioni, multi-regioni o località al di fuori della selezione. Consulta Servizi supportati per le località delle risorse per un elenco delle risorse che possono essere limitate dal vincolo della policy dell'organizzazione per le località delle risorse, poiché alcune risorse potrebbero non rientrare nell'ambito e non possono essere limitate.

La modifica di questo valore per renderlo meno restrittivo potrebbe compromettere la residenza dei dati consentendo la creazione o l'archiviazione dei dati al di fuori di un confine dei dati conforme.
gcp.restrictNonCmekServices Imposta un elenco di tutti i nomi dei servizi API inclusi nell'ambito, tra cui:
  • bigquerydatatransfer.googleapis.com
Alcune funzionalità potrebbero essere interessate per ciascuno dei servizi elencati sopra.

Ogni servizio elencato richiede chiavi di crittografia gestite dal cliente (CMEK). CMEK cripta i dati at-rest con una chiave gestita da te, non con i meccanismi di crittografia predefiniti di Google.

La modifica di questo valore tramite la rimozione di uno o più servizi inclusi nell'ambito dall'elenco potrebbe compromettere la sovranità dei dati, perché i nuovi dati at-rest verranno criptati automaticamente utilizzando le chiavi di Google anziché le tue. I dati at-rest esistenti rimarranno criptati con la chiave che hai fornito.
gcp.restrictServiceUsage Impostato per consentire tutti i prodotti e gli endpoint API supportati.

Determina quali servizi possono essere utilizzati limitando l'accesso in fase di runtime alle relative risorse. Per saperne di più, consulta Limitazione dell'utilizzo delle risorse.
gcp.restrictTLSVersion Impostata per negare le seguenti versioni TLS:
  • TLS_1_0
  • TLS_1_1
Per saperne di più, consulta Limita le versioni TLS.

BigQuery

Funzionalità di BigQuery interessate

Funzionalità Descrizione
Abilitazione di BigQuery su una nuova cartella BigQuery è supportato, ma non viene attivato automaticamente quando crei una nuova cartella Assured Workloads a causa di un processo di configurazione interno. In genere, questa procedura richiede dieci minuti, ma in alcune circostanze può richiedere molto più tempo. Per verificare se il processo è terminato e per abilitare BigQuery, completa i seguenti passaggi:
  1. Nella console Google Cloud , vai alla pagina Assured Workloads.

    Vai ad Assured Workloads

  2. Seleziona la nuova cartella Assured Workloads dall'elenco.
  3. Nella pagina Dettagli cartella, nella sezione Servizi consentiti, fai clic su Esamina gli aggiornamenti disponibili.
  4. Nel riquadro Servizi consentiti, esamina i servizi da aggiungere alla policy dell'organizzazione Limita utilizzo risorse per la cartella. Se sono elencati i servizi BigQuery, fai clic su Consenti servizi per aggiungerli.

    Se i servizi BigQuery non sono elencati, attendi il completamento del processo interno. Se i servizi non sono elencati entro 12 ore dalla creazione della cartella, contatta l'assistenza clienti Google Cloud.

Una volta completato il processo di abilitazione, puoi utilizzare BigQuery nella cartella Assured Workloads.

Gemini in BigQuery non è supportato da Assured Workloads.
Funzionalità non supportate Le seguenti funzionalità di BigQuery non sono supportate e non devono essere utilizzate nell'interfaccia a riga di comando di BigQuery. È tua responsabilità non utilizzarli in BigQuery per Assured Workloads.
Interfaccia a riga di comando di BigQuery L'interfaccia a riga di comando di BigQuery è supportata.

Google Cloud SDK Devi utilizzare Google Cloud SDK versione 403.0.0 o successive per mantenere le garanzie di regionalizzazione dei dati per i dati tecnici. Per verificare la versione attuale di Google Cloud SDK, esegui gcloud --version, quindi gcloud components update per eseguire l'aggiornamento alla versione più recente.
Controlli per gli amministratori BigQuery disabiliterà le API non supportate, ma gli amministratori con autorizzazioni sufficienti per creare cartelle Assured Workloads possono abilitare un'API non supportata. In questo caso, riceverai una notifica di potenziale non conformità tramite la dashboard di monitoraggio di Assured Workloads.
Caricamento di dati I connettori di BigQuery Data Transfer Service per le app Google Software as a Service (SaaS), i provider di spazio di archiviazione sul cloud esterni e i data warehouse non sono supportati. È tua responsabilità non utilizzare i connettori di BigQuery Data Transfer Service per i workload di US Data Boundary for Healthcare and Life Sciences.
Trasferimenti di terze parti BigQuery non verifica il supporto dei trasferimenti di terze parti per BigQuery Data Transfer Service. È tua responsabilità verificare l'assistenza quando utilizzi un trasferimento di terze parti per BigQuery Data Transfer Service.
Modelli BQML non conformi I modelli BQML addestrati esternamente non sono supportati.
Job di query I job di query devono essere creati solo all'interno delle cartelle Assured Workloads.
Query su set di dati in altri progetti BigQuery non impedisce l'esecuzione di query sui set di dati Assured Workloads da progetti non Assured Workloads. Devi assicurarti che qualsiasi query che abbia una lettura o un join sui dati di Assured Workloads venga inserita nelle cartelle di Assured Workloads. Puoi specificare un nome tabella completo per il risultato della query utilizzando projectname.dataset.table nell'interfaccia a riga di comando di BigQuery.
Cloud Logging BigQuery utilizza Cloud Logging per alcuni dei tuoi dati di log. Devi disattivare i bucket di logging _default o limitare i bucket _default alle regioni incluse nell'ambito per mantenere la conformità utilizzando il seguente comando:

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

Per ulteriori informazioni, consulta Regionalizza i log.

Bigtable

Funzionalità di Bigtable interessate

Funzionalità Descrizione
Data Boost Questa funzionalità è disattivata.
Confini della suddivisione Bigtable utilizza un piccolo sottoinsieme di chiavi di riga per definire i confini della suddivisione, che possono includere dati e metadati dei clienti. Un confine della suddivisione in Bigtable indica la posizione in cui gli intervalli contigui di righe di una tabella vengono suddivisi in tablet.

Questi confini della suddivisione sono accessibili al personale di Google per l'assistenza tecnica e il debug e non sono soggetti ai controlli relativi ai dati di accesso amministrativo in Assured Workloads.

Cloud Interconnect

Funzionalità di Cloud Interconnect interessate

Funzionalità Descrizione
VPN ad alta disponibilità Devi attivare la funzionalità VPN ad alta disponibilità (HA) quando utilizzi Cloud Interconnect con Cloud VPN. Inoltre, devi rispettare i requisiti di crittografia e regionalizzazione elencati nella sezione Funzionalità di Cloud VPN interessate.

Cloud Logging

Funzionalità di Cloud Logging interessate

Funzionalità Descrizione
Sink di log I filtri non devono contenere dati dei clienti.

I sink di log includono filtri archiviati come configurazione. Non creare filtri che contengono dati dei clienti.
Voci di log di tailing in tempo reale I filtri non devono contenere dati dei clienti.

Una sessione di tailing in tempo reale include un filtro che viene archiviato come configurazione. Il tailing dei log non archivia i dati voce di log, ma può eseguire query e trasmettere dati tra regioni. Non creare filtri che contengono dati dei clienti.
Policy di avviso basate su SQL Questa funzionalità è disattivata.

Non puoi utilizzare la funzionalità delle policy di avviso basate su SQL.

Cloud Monitoring

Funzionalità di Cloud Monitoring interessate

Funzionalità Descrizione
Monitor sintetico Questa funzionalità è disattivata.
Controlli di uptime Questa funzionalità è disattivata.

Cloud Run

Funzionalità di Cloud Run interessate

Funzionalità Descrizione
Funzionalità non supportate Le seguenti funzionalità di Cloud Run non sono supportate:

API Cloud Vision

Funzionalità dell'API Cloud Vision interessate

Funzionalità Descrizione
Endpoint API Cloud Vision conformi a HCLS È tua responsabilità utilizzare solo l'endpoint API della regione degli Stati Uniti (us-vision.googleapis.com) per l'API Cloud Vision. L'endpoint globale (vision.googleapis.com) non è conforme a HCLS e il suo utilizzo potrebbe compromettere la residenza dei dati del workload.

Cloud VPN

Funzionalità di Cloud VPN interessate

Funzionalità Descrizione
Endpoint VPN Devi utilizzare solo endpoint Cloud VPN che si trovano in una regione inclusa nell'ambito. Assicurati che il gateway VPN sia configurato per l'utilizzo solo in una regione inclusa nell'ambito.

Compute Engine

Funzionalità di Compute Engine interessate

Funzionalità Descrizione
Ambiente guest È possibile che script, daemon e programmi binari inclusi nell'ambiente guest accedano a dati non criptati at-rest e in uso. A seconda della configurazione della VM, gli aggiornamenti di questo software potrebbero essere installati per impostazione predefinita. Consulta Ambiente guest per informazioni specifiche sui contenuti, sul codice sorgente e su altri aspetti di ogni pacchetto.

Questi componenti ti aiutano a soddisfare la sovranità dei dati tramite controlli e processi di sicurezza interni. Tuttavia, se vuoi un controllo aggiuntivo, puoi anche selezionare le tue immagini o i tuoi agenti e, facoltativamente, utilizzare il vincolo della policy dell'organizzazione compute.trustedImageProjects.

Per saperne di più, consulta Creazione di un'immagine personalizzata.
Policy del sistema operativo in VM Manager Gli script in linea e i file binari di output all'interno dei file delle policy del sistema operativo non vengono criptati utilizzando chiavi di crittografia gestite dal cliente (CMEK). Non includere informazioni sensibili in questi file. Valuta la possibilità di archiviare questi script e file di output nei bucket Cloud Storage. Per saperne di più, consulta Esempi di policy del sistema operativo.

Se vuoi limitare la creazione o la modifica delle risorse delle policy del sistema operativo che utilizzano script in linea o file di output binari, attiva il vincolo della policy dell'organizzazione constraints/osconfig.restrictInlineScriptAndOutputFileUsage.

Per saperne di più, consulta Vincoli per OS Config.

Vincoli delle policy dell'organizzazione di Compute Engine

Vincolo delle policy dell'organizzazione Descrizione
compute.disableGlobalCloudArmorPolicy Impostala su True.

Disabilita la creazione di nuove policy di sicurezza globali di Google Cloud Armor e l'aggiunta o la modifica di regole alle policy di sicurezza globali di Google Cloud Armor esistenti. Questo vincolo non limita la rimozione di regole o la possibilità di rimuovere o modificare la descrizione e l'elenco delle policy di sicurezza globali di Google Cloud Armor. Questo vincolo non influisce sulle policy di sicurezza regionali di Google Cloud Armor. Tutte le policy di sicurezza globali e regionali esistenti prima dell'applicazione di questo vincolo rimangono in vigore.
compute.restrictNonConfidentialComputing

 (Facoltativo) Il valore non è impostato. Imposta questo valore per fornire un'ulteriore difesa in profondità. Per ulteriori informazioni, consulta la documentazione di Confidential VM.
compute.trustedImageProjects

 (Facoltativo) Il valore non è impostato. Imposta questo valore per fornire un'ulteriore difesa in profondità.

L'impostazione di questo valore limita l'archiviazione delle immagini e la creazione di istanze dei dischi all'elenco di progetti specificato. Questo valore influisce sulla sovranità dei dati impedendo l'utilizzo di immagini o agenti non autorizzati.

Knowledge Catalog

Funzionalità di Knowledge Catalog

Funzionalità Descrizione
Archivio attributi Questa funzionalità è deprecata e disattivata.
Data Catalog Questa funzionalità è deprecata e disattivata. Non puoi cercare o gestire i tuoi metadati in Data Catalog.
Laghi e zone Questa funzionalità è disattivata. Non puoi gestire lake, zone e attività.

Google Cloud Armor

Funzionalità di Google Cloud Armor interessate

Funzionalità Descrizione
Policy di sicurezza con ambito globale Questa funzionalità è disattivata dal vincolo della policy dell'organizzazione compute.disableGlobalCloudArmorPolicy.

Network Connectivity Center

Funzionalità di Network Connectivity Center interessate

Funzionalità Descrizione
ConsoleGoogle Cloud Le funzionalità di Network Connectivity Center non sono disponibili nella console Google Cloud . Utilizza invece l'API o Google Cloud CLI.

Pub/Sub

Vincoli delle policy dell'organizzazione Pub/Sub

Vincolo delle policy dell'organizzazione Descrizione
pubsub.managed.disableSubscriptionMessageTransforms Impostala su True.

Disabilita l'impostazione delle sottoscrizioni Pub/Sub con Single Message Transform (SMT).

La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del workload.
pubsub.managed.disableTopicMessageTransforms Impostala su True.

Disabilita l'impostazione degli argomenti Pub/Sub con Single Message Transform (SMT).

La modifica di questo valore potrebbe influire sulla residenza dei dati o sulla sovranità dei dati del workload.

Spanner

Funzionalità di Spanner interessate

Funzionalità Descrizione
Confini della suddivisione Spanner utilizza un piccolo sottoinsieme di chiavi primarie e colonne indicizzate per definire i confini della suddivisione, che possono includere dati e metadati dei clienti. Un confine della suddivisione in Spanner indica la posizione in cui gli intervalli contigui di righe vengono suddivisi in parti più piccole.

Questi confini della suddivisione sono accessibili al personale di Google per l'assistenza tecnica e il debug e non sono soggetti ai controlli relativi ai dati di accesso amministrativo in Assured Workloads.

Vincoli delle policy dell'organizzazione di Spanner

Vincolo delle policy dell'organizzazione Descrizione
spanner.assuredWorkloadsAdvancedServiceControls Impostala su True.

Applica ulteriori controlli di sovranità dei dati e di supporto alle risorse Spanner.
spanner.disableMultiRegionInstanceIfNoLocationSelected Impostala su True.

Disabilita la possibilità di creare istanze Spanner multiregionali per applicare la residenza e la sovranità dei dati.

Vertex AI

Vincoli delle policy dell'organizzazione di Vertex AI

Vincolo delle policy dell'organizzazione Descrizione
vertexai.allowOnlyAllCompliantAPIs Impostala su True.

Limita le richieste di Vertex AI solo ai servizi e agli endpoint che soddisfano i requisiti di conformità di base e di confine dei dati per il confine dei dati negli Stati Uniti per il settore sanitario e delle scienze biologiche.

Passaggi successivi