ヘルスケアとライフ サイエンス用の米国のデータ境界

このページでは、Assured Workloads のヘルスケアとライフサイエンスのワークロードの米国 Data Boundary に適用されるコントロールのセットについて説明します。データ所在地、サポートされている Google Cloud プロダクトとその API エンドポイント、それらのプロダクトに適用される制限事項に関する詳細情報が提供されます。

ヘルスケアとライフ サイエンス用の米国の Data Boundary を使用すると、医療保険の相互運用性と説明責任に関する法律（HIPAA）と Health Information Trust Alliance（HITRUST）の要件に準拠したワークロードを実行できます。サポートされている各プロダクトは、Google Cloudの HIPAA 業務提携契約（BAA）ページと Google Cloudの HITRUST Common Security Framework（CSF）ページに記載されています。

ヘルスケアとライフ サイエンス用の米国の Data Boundary には、次の追加情報が適用されます。

  • データ所在地: ヘルスケアとライフサイエンス用の米国の Data Boundary のコントロール パッケージは、米国のみのリージョンをサポートするデータ ロケーション コントロールを設定します。詳細については、Google Cloud全体の組織のポリシーの制約をご覧ください。
  • サポート: ヘルスケアとライフ サイエンス用の米国の Data Boundary ワークロードの技術サポート サービスは、スタンダード、エンハンスト、またはプレミアムの Cloud カスタマーケア サブスクリプションでご利用いただけます。ヘルスケアとライフ サイエンスのワークロードの米国の Data Boundary のサポートケースは、グローバル サポート担当者に転送されます。サポート担当者の制御オプションをより厳しく制限する必要がある場合は、代わりにヘルスケアとライフサイエンス用の米国の Data Boundary とサポートのコントロール パッケージをご検討ください。
  • 料金: ヘルスケアとライフ サイエンス用の米国の Data Boundary コントロール パッケージは、Assured Workloads の無料枠に含まれており、追加料金は発生しません。詳細については、Assured Workloads の料金をご覧ください。

前提条件

ヘルスケアとライフ サイエンス用の米国の Data Boundary コントロール パッケージのユーザーとしてコンプライアンスを維持するには、次の前提条件を満たし、遵守していることを確認してください。

  • Assured Workloads を使用してヘルスケアとライフ サイエンスの米国 Data Boundary フォルダを作成し、HIPAA または HITRUST ワークロードをそのフォルダにのみデプロイします。

  • ヘルスケアとライフ サイエンスのワークロード用の米国の Data Boundary では、対象サービスのみを有効にして使用します。Assured Workloads フォルダに設定されている [サービス使用量の制限]（gcp.restrictServiceUsage）組織のポリシー制約を変更して追加のサービスを有効にすると、Assured Workloads における責任の共有で説明されているように、関連するリスクを受け入れることになります。次の追加の前提条件が適用されます。

    • コンプライアンスを維持するには、各サービスが Google Cloudの HIPAA BAA ページまたは Google Cloudの HITRUST CSF ページに記載されている必要があります。
    • この制約を変更して追加サービスを許可リストに登録すると、Assured Workloads モニタリングでコンプライアンス違反が報告されます。これらの違反を削除し、許可リストに登録されたサービスの今後の通知を防ぐには、違反ごとに例外を適用する必要があります。
    • サービスを許可リストに登録する前に、Cloud KMS ドキュメントの互換性のあるサービスページを参照して、CMEK がサポートされていることを確認します。CMEK の使用時により厳格なセキュリティ体制を適用する場合は、Cloud KMS ドキュメントの鍵の使用状況を表示するをご覧ください。
    • サービスを許可リストに追加する前に、データ所在地があるGoogle Cloud サービスページにサービスが記載されていることを確認します。
    • サービスを許可リストに追加する前に、VPC Service Controls のドキュメントのサポートされているプロダクトと制限事項ページを参照して、VPC Service Controls でサポートされていることを確認してください。
    • サービスを許可リストに追加する前に、アクセスの透明性とアクセス承認でサポートされていることを確認します。

  • 特に記載がない限り、Google Cloud MCP サーバーは使用しないでください。ヘルスケアとライフ サイエンスの米国 Data Boundary は、Google Cloud MCP サーバーで使用中のデータと転送中のデータのデータ所在地制御を提供しません。不要な Google Cloud MCP サーバーへのアクセスをブロックするには、IAM による Google Cloud MCP サーバーの使用の制御をご覧ください。

  • 発生する可能性のあるデータ所在地のリスクを理解し、それを受け入れる意思がある場合を除き、デフォルトの組織のポリシーの制約値を変更しないでください。

  • Google Cloud セキュリティ ベスト プラクティス センターで提供されている一般的なセキュリティ ベスト プラクティスの採用を検討してください。

サポートされているプロダクトと API エンドポイント

特に明記されている場合を除き、ユーザーは Google Cloud コンソールからすべてのサポート対象プロダクトにアクセスできます。サポートされているプロダクトの機能に影響する制限事項は、次の表に記載されています。これには、組織のポリシーの制約の設定によって適用される制限事項も含まれます。

プロダクトが一覧にない場合、そのプロダクトはサポートされておらず、ヘルスケアとライフサイエンス用の米国の Data Boundary の制御要件を満たしていません。デュー デリジェンスを実施し、責任の共有モデルにおけるお客様の責任を十分に理解していない場合は、サポート対象外のプロダクトを使用することをおすすめしません。サポートされていない製品を使用する前に、データ所在地やデータ主権への悪影響など、関連するリスクを認識し、受け入れることを確認してください。

サポートされているサービス API エンドポイント 制限事項
アクセス承認 accessapproval.googleapis.com
 なし
Access Context Manager accesscontextmanager.googleapis.com
 なし
アクセスの透明性 accessapproval.googleapis.com
 なし
Agent Assist dialogflow.googleapis.com
 なし
AlloyDB for PostgreSQL alloydb.googleapis.com
 なし
Apigee apigee.googleapis.com
 なし
Application Integration integrations.googleapis.com
 なし
Artifact Registry artifactregistry.googleapis.com
 なし
AutoML Tables aiplatform.googleapis.com
 なし
Backup and DR サービス backupdr.googleapis.com
 なし
Backup for GKE gkebackup.googleapis.com
 なし
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerydatatransfer.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 影響を受ける機能
BigQuery Data Transfer Service bigquerydatatransfer.googleapis.com
 なし
Bigtable bigtable.googleapis.com
bigtableadmin.googleapis.com
 影響を受ける機能
Binary Authorization binaryauthorization.googleapis.com
 なし
Certificate Authority Service privateca.googleapis.com
 なし
Certificate Manager certificatemanager.googleapis.com
 なし
Cloud Asset Inventory cloudasset.googleapis.com
 なし
Cloud Build cloudbuild.googleapis.com
 なし
Cloud DNS dns.googleapis.com
 なし
Cloud Data Fusion datafusion.googleapis.com
 なし
Cloud Deploy clouddeploy.googleapis.com
 なし
Cloud HSM cloudkms.googleapis.com
 なし
Cloud Healthcare API healthcare.googleapis.com
 なし
Cloud Interconnect compute.googleapis.com
 影響を受ける機能
Cloud Key Management Service（Cloud KMS） cloudkms.googleapis.com
 なし
Cloud Logging logging.googleapis.com
 影響を受ける機能
Cloud Monitoring monitoring.googleapis.com
 影響を受ける機能
Cloud Router compute.googleapis.com
 なし
Cloud Run run.googleapis.com
 影響を受ける機能
Cloud Run 関数 run.googleapis.com
 なし
Cloud SQL sqladmin.googleapis.com
 なし
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
trafficdirector.googleapis.com
networkservices.googleapis.com
 なし
Cloud Storage storage.googleapis.com
 なし
Cloud Tasks cloudtasks.googleapis.com
 なし
Cloud VPN compute.googleapis.com
 影響を受ける機能
Cloud Vision API vision.googleapis.com
 影響を受ける機能
Compute Engine compute.googleapis.com
 影響を受ける機能と組織のポリシーの制約
Dialogflow CX dialogflow.googleapis.com
 なし
Customer Experience Insights contactcenterinsights.googleapis.com
 なし
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 なし
Dataform dataform.googleapis.com
 なし
Document AI documentai.googleapis.com
 なし
Eventarc eventarc.googleapis.com
 なし
外部パススルー ネットワーク ロードバランサ compute.googleapis.com
 なし
Filestore file.googleapis.com
 なし
Firestore firestore.googleapis.com
 なし
GKE Hub gkehub.googleapis.com
 なし
Vertex AI の生成 AI aiplatform.googleapis.com
 なし
Google Cloud Armor compute.googleapis.com
networksecurity.googleapis.com
 影響を受ける機能
Google Kubernetes Engine（GKE） container.googleapis.com
containersecurity.googleapis.com
 なし
Identity and Access Management（IAM） iam.googleapis.com
policytroubleshooter.googleapis.com
 なし
Identity-Aware Proxy（IAP） iap.googleapis.com
 なし
内部パススルー ネットワーク ロードバランサ compute.googleapis.com
 なし
Key Access Justifications cloudekm.googleapis.com
cloudkms.googleapis.com
 なし
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 影響を受ける機能
Looker（Google Cloud コア） looker.googleapis.com
 なし
Managed Service for Apache Airflow composer.googleapis.com
 なし
Managed Service for Apache Spark dataproc-control.googleapis.com
dataproc.googleapis.com
 なし
Memorystore for Redis redis.googleapis.com
 なし
Model Armor modelarmor.googleapis.com
 なし
Network Connectivity Center networkconnectivity.googleapis.com
 影響を受ける機能
Persistent Disk compute.googleapis.com
 なし
Pub/Sub pubsub.googleapis.com
 組織ポリシーの制約
リージョン外部アプリケーション ロードバランサ compute.googleapis.com
 なし
リージョン外部プロキシ ネットワーク ロードバランサ compute.googleapis.com
 なし
リージョン内部アプリケーション ロードバランサ compute.googleapis.com
 なし
リージョン内部プロキシ ネットワーク ロードバランサ compute.googleapis.com
 なし
Secret Manager secretmanager.googleapis.com
 なし
Secure Source Manager securesourcemanager.googleapis.com
 なし
Security Command Center Premium securitycenter.googleapis.com
securitycentermanagement.googleapis.com
securityposture.googleapis.com
websecurityscanner.googleapis.com
 なし
Sensitive Data Protection dlp.googleapis.com
 なし
Spanner spanner.googleapis.com
 影響を受ける機能と組織のポリシーの制約
Speech-to-Text speech.googleapis.com
 なし
Storage Transfer Service storagetransfer.googleapis.com
 なし
Text-to-Speech texttospeech.googleapis.com
 なし
VPC Service Controls accesscontextmanager.googleapis.com
 なし
Vertex AI Batch prediction aiplatform.googleapis.com
 なし
Vertex AI オンライン予測 aiplatform.googleapis.com
 なし
Vertex AI Search discoveryengine.googleapis.com
 なし
Vertex AI Training aiplatform.googleapis.com
 なし
Vertex AI Workbench notebooks.googleapis.com
 なし
Virtual Private Cloud（VPC） compute.googleapis.com
 なし

制限事項

以下のセクションでは、 Google Cloud全体またはプロダクト固有の制限、または機能の制限について説明します。これには、ヘルスケアとライフ サイエンス用の米国の Data Boundary のフォルダにデフォルトで設定されている組織ポリシーの制約も含まれます。デフォルトで設定されていない場合でも、その他の適用可能な組織のポリシーの制約により、組織の Google Cloud リソースをさらに保護するための多層防御を追加できます。

Google Cloud-wide

Google Cloud全体の組織ポリシー制約

次の組織のポリシーの制約は、 Google Cloud全体に適用されます。

組織のポリシーの制約 説明
gcp.resourceLocations allowedValues リストの次の場所に設定します。
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
この値は、新しいリソースの作成を選択した値に制限します。設定すると、選択したリージョン、マルチリージョン、ロケーションの外部にあるリージョン、マルチリージョン、ロケーションにリソースを作成できなくなります。リソース ロケーションの組織のポリシーの制約によって制限できるリソースの一覧については、リソース ロケーションのサポート対象サービスをご覧ください。一部のリソースは範囲外で、制限できない場合があります。

制限を緩くしてこの値を変更すると、準拠したデータ境界外でデータを作成または保存できるようになるため、データ所在地が損なわれる可能性があります。
gcp.restrictNonCmekServices 対象範囲内のすべての API サービス名のリストに設定します。次に例を示します。
  • bigquerydatatransfer.googleapis.com
上記の各サービスで、一部の機能が影響を受ける場合があります。

各サービスには、顧客管理の暗号鍵（CMEK）が必要です。CMEK は、Google のデフォルトの暗号化メカニズムではなく、ユーザーが管理している鍵で保存データを暗号化します。

リストから 1 つ以上の対象サービスを削除してこの値を変更すると、データ主権が損なわれる可能性があります。新しい保管中のデータは、ユーザーではなく Google 独自の鍵を使用して自動的に暗号化されます。既存の保存データは、指定した鍵によって暗号化されます。
gcp.restrictServiceUsage すべてのサポートされているプロダクトと API エンドポイントを許可するように設定します。

リソースへのランタイム アクセスを制限することで、使用できるサービスを決定します。詳細については、リソース使用量の制限をご覧ください。
gcp.restrictTLSVersion 次の TLS バージョンを拒否するように設定します。
  • TLS_1_0
  • TLS_1_1
詳細については、TLS バージョンを制限するをご覧ください。

BigQuery

影響を受ける BigQuery の機能

機能 説明
新しいフォルダで BigQuery を有効にする BigQuery はサポートされていますが、内部構成プロセスにより、Assured Workloads フォルダ新規作成時には自動的には有効になりません。通常、このプロセスは 10 分で完了しますが、状況によってはさらに時間がかかることもあります。プロセスが完了したかどうかを確認し、BigQuery を有効にするには、次の操作を行います。
  1. Google Cloud コンソールで、[Assured Workloads] ページに移動します。

    Assured Workloads に移動

  2. リストから新しい Assured Workloads フォルダを選択します。
  3. [フォルダの詳細] ページの [許可されたサービス] セクションで、[利用可能なアップデートを確認] をクリックします。
  4. [許可されているサービス] ペインで、フォルダのリソース使用量の制限組織ポリシーに追加するサービスを確認します。BigQuery サービスが表示されている場合は、 サービスを許可するをクリックし、これを追加します。

    BigQuery サービスがリストに表示されていない場合は、内部プロセスが完了するまで待ちます。フォルダの作成から 12 時間以内にサービスが表示されない場合は、Cloud カスタマーケアにお問い合わせください。

有効化プロセスが完了すると、Assured Workloads フォルダで BigQuery を使用できるようになります。

Gemini in BigQuery は Assured Workloads ではサポートされていません。
対応していない機能 次の BigQuery 機能はサポートされていないため、BigQuery CLI では使用しないでください。Assured Workloads に対して、これらを BigQuery で使用しないようにすることはお客様の責任です。
BigQuery CLI BigQuery CLI がサポートされています。

Google Cloud SDK テクニカル データのデータリージョン指定の保証を維持するには、Google Cloud SDK バージョン 403.0.0 以降を使用する必要があります。現在の Google Cloud SDK のバージョンを確認するには、gcloud --version を実行してから gcloud components update を実行し、最新バージョンに更新します。
管理機能 BigQuery はサポートされていない API を無効にしますが、Assured Workloads フォルダを作成するのに十分な権限を持つ管理者は、サポートされていない API を有効にできます。この場合、Assured Workloads モニタリング ダッシュボードで、コンプライアンス違反の可能性がある旨が通知されます。
データの読み込み Google Software as a Service（SaaS）アプリ、外部クラウド ストレージ プロバイダ、データ ウェアハウス用の BigQuery Data Transfer Service コネクタはサポートされていません。医療とライフ サイエンスのワークロードに対して、米国 Data Boundary 用の BigQuery Data Transfer Service コネクタを使用しないようにすることは、お客様の責任です。
サードパーティ転送 BigQuery は、BigQuery Data Transfer Service のサードパーティ転送のサポートを検証しません。BigQuery Data Transfer Service のサードパーティ転送を使用する際のサポート確認は、お客様の責任です。
非準拠 BQML モデル 外部でトレーニングされた BQML モデルはサポートされていません。
クエリジョブ クエリジョブは、Assured Workloads フォルダ内でのみ作成する必要があります。
他のプロジェクトのデータセットに対するクエリ BigQuery では、Assured Workloads 以外のプロジェクトから Assured Workloads データセットへのクエリを防ぐことはできません。Assured Workloads データに対して読み取りや結合を行うクエリはすべて、Assured Workloads フォルダに配置する必要があります。ユーザーは、BigQuery CLI で projectname.dataset.table を使用して、クエリ結果の完全修飾されたテーブル名を指定できます。
Cloud Logging BigQuery は、一部のログデータに対して Cloud Logging を利用します。コンプライアンスを維持するには、_default ロギング バケットを無効にするか、次のコマンドを使用して _default バケットを対象範囲内のリージョンに制限する必要があります。

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

詳細については、ログをリージョン化するをご覧ください。

Bigtable

影響を受ける Bigtable の機能

機能 説明
Data Boost この機能は無効になっています。
スプリットの境界 Bigtable は行キーのごく一部を使用して、スプリットの境界を定義します。スプリットの境界には顧客データとメタデータが含まれる場合があります。Bigtable のスプリットの境界は、テーブル内の連続した範囲の行がタブレットに分割される場所を示します。

これらのスプリットの境界は、Google の担当者がテクニカル サポートとデバッグ目的でアクセスできますが、Assured Workloads における管理者権限データ管理の対象ではありません。

Cloud Interconnect

影響を受ける Cloud Interconnect の機能

機能 説明
高可用性（HA）VPN Cloud VPN で Cloud Interconnect を使用する場合は、高可用性（HA）VPN 機能を有効にする必要があります。また、影響を受ける Cloud VPN の機能セクションに記載されている暗号化と地域化の要件にも準拠する必要があります。

Cloud Logging

影響を受ける Cloud Logging の機能

機能 説明
ログシンク フィルタに顧客データを含めないでください。

ログシンクには、構成として格納されるフィルタが含まれます。顧客データを含むフィルタは作成しないでください。
ライブ テーリング ログエントリ フィルタに顧客データを含めないでください。

ライブ テーリング セッションには、構成として格納されたフィルタが含まれます。テーリングログによって、ログエントリのデータが保存されることはありませんが、リージョン間でデータをクエリして送信できます。顧客データを含むフィルタは作成しないでください。
SQL ベースのアラート ポリシー この機能は無効になっています。

SQL ベースのアラート ポリシー機能は使用できません。

Cloud Monitoring

影響を受ける Cloud Monitoring の機能

機能 説明
合成モニター この機能は無効になっています。
稼働時間チェック この機能は無効になっています。

Cloud Run

影響を受ける Cloud Run の機能

機能 説明
サポートされていない機能 次の Cloud Run 機能はサポートされていません。

Cloud Vision API

影響を受ける Cloud Vision API の機能

機能 説明
HCLS 準拠の Cloud Vision API エンドポイント Cloud Vision API には、米国リージョンの API エンドポイント（us-vision.googleapis.com）のみを使用する必要があります。グローバル エンドポイント（vision.googleapis.com）は HCLS に準拠していません。これを使用すると、ワークロードのデータ所在地が損なわれる可能性があります。

Cloud VPN

影響を受ける Cloud VPN の機能

機能 説明
VPN エンドポイント 対象範囲内のリージョンにある Cloud VPN エンドポイントのみを使用する必要があります。VPN ゲートウェイが対象範囲内のリージョンでのみ使用されるように構成されていることを確認します。

Compute Engine

影響を受ける Compute Engine の機能

機能 説明
ゲスト環境 ゲスト環境に含まれているスクリプト、デーモン、バイナリが、暗号化されていない保存中および使用中のデータにアクセスすることは可能です。VM の構成によっては、このソフトウェアの更新がデフォルトでインストールされることがあります。各パッケージの内容、ソースコードなどの詳細については、ゲスト環境をご覧ください。

これらのコンポーネントは、内部のセキュリティ管理とプロセスを通じてデータ主権を満たすのに役立ちます。ただし、追加の制御が必要な場合は、独自のイメージまたはエージェントを選択して、compute.trustedImageProjects 組織ポリシーの制約をオプションとして使用することもできます。

詳細については、カスタム イメージのビルドをご覧ください。
VM Manager の OS ポリシー OS ポリシー ファイル内のインライン スクリプトとバイナリ出力ファイルは、顧客管理の暗号鍵（CMEK）を使用して暗号化されません。これらのファイルに機密情報を含めないでください。これらのスクリプトと出力ファイルを Cloud Storage バケットに保存することを検討してください。詳細については、OS ポリシーの例をご覧ください。

インライン スクリプトまたはバイナリ出力ファイルを使用する OS ポリシー リソースの作成または変更を制限する場合は、constraints/osconfig.restrictInlineScriptAndOutputFileUsage 組織のポリシー制約を有効にします。

詳細については、OS Config の制約をご覧ください。

Compute Engine の組織のポリシーの制約

組織のポリシーの制約 説明
compute.disableGlobalCloudArmorPolicy True に設定します。

新しいグローバル Google Cloud Armor セキュリティ ポリシーの作成と、既存のグローバル Google Cloud Armor セキュリティ ポリシーへのルールの追加または変更を無効にします。この制約は、ルールの削除や、グローバル Google Cloud Armor セキュリティ ポリシーの説明と一覧取得の削除または変更を制限するものではありません。リージョン Google Cloud Armor セキュリティ ポリシーは、この制約の影響を受けません。この制約の適用前から存在するグローバル セキュリティ ポリシーとリージョン セキュリティ ポリシーは引き続き有効です。
compute.restrictNonConfidentialComputing

 （省略可）値が設定されていません。多層防御を提供するには、この値を設定します。詳細については、Confidential VM のドキュメントをご覧ください。
compute.trustedImageProjects

 （省略可）値が設定されていません。多層防御を提供するには、この値を設定します。

この値を設定すると、イメージ ストレージとディスクのインスタンス化が、指定されたプロジェクトのリストに制限されます。この値は、未承認のイメージやエージェントの使用を防ぐことでデータ主権に影響を与えます。

Knowledge Catalog

Knowledge Catalog の機能

機能 説明
属性ストア この機能は非推奨となり、無効になっています。
Data Catalog この機能は非推奨となり、無効になっています。Data Catalog でメタデータを検索したり、管理したりすることはできません。
レイクとゾーン この機能は無効になっています。レイク、ゾーン、タスクを管理できません。

Google Cloud Armor

影響を受ける Google Cloud Armor の機能

機能 説明
グローバル スコープのセキュリティ ポリシー この機能は、compute.disableGlobalCloudArmorPolicy 組織のポリシーの制約によって無効になっています。

Network Connectivity Center

影響を受ける Network Connectivity Center の機能

機能 説明
Google Cloud コンソール Network Connectivity Center の機能は Google Cloud コンソールで使用できません。代わりに API または Google Cloud CLI を使用してください。

Pub/Sub

Pub/Sub 組織のポリシーの制約

組織のポリシーの制約 説明
pubsub.managed.disableSubscriptionMessageTransforms True に設定します。

Pub/Sub サブスクリプションで単一メッセージ変換（SMT）を設定できないようにします。

この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。
pubsub.managed.disableTopicMessageTransforms True に設定します。

Pub/Sub トピックで単一メッセージ変換（SMT）を設定できないようにします。

この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。

Spanner

影響を受ける Spanner の機能

機能 説明
スプリットの境界 Spanner は、主キーとインデックス付き列の小さなサブセットを使用して、顧客データとメタデータを含むスプリットの境界を定義します。Spanner のスプリットの境界は、連続する範囲の行が小さな部分に分割される場所を示します。

これらのスプリットの境界は、Google の担当者がテクニカル サポートとデバッグ目的でアクセスできますが、Assured Workloads における管理者権限データ管理の対象ではありません。

Spanner の組織のポリシーの制約

組織のポリシーの制約 説明
spanner.assuredWorkloadsAdvancedServiceControls True に設定します。

Spanner リソースに追加のデータ主権とサポート性の制御を適用します。
spanner.disableMultiRegionInstanceIfNoLocationSelected True に設定します。

マルチリージョン Spanner インスタンスを作成する機能を無効にして、データ所在地とデータ主権を適用します。

次のステップ