מעקב אחרי הפרות בתיקיית Assured Workloads

השירות Assured Workloads עוקב באופן פעיל אחרי תיקיות Assured Workloads כדי לזהות הפרות של דרישות התאימות. הוא עושה זאת על ידי השוואה בין הדרישות של חבילת אמצעי הבקרה של התיקייה לבין הפרטים הבאים:

• מדיניות הארגון: כל תיקייה ב-Assured Workloads מוגדרת עם הגבלות ספציפיות של מדיניות הארגון, שעוזרות להבטיח תאימות. כשמשנים את ההגדרות האלה באופן שלא עומד בדרישות, מתרחשת הפרה. מידע נוסף זמין בקטע הפרות מדיניות בארגונים בפיקוח.
• משאבים: בהתאם להגדרות מדיניות הארגון של תיקיית Assured Workloads, יכול להיות שהמשאבים שמתחת לתיקייה יהיו מוגבלים, למשל הסוג והמיקום שלהם. מידע נוסף זמין בקטע הפרות של משאבים בפיקוח. אם יש משאבים שלא עומדים בדרישות, מתרחשת הפרה.

כשמתרחשת הפרה, אפשר לפתור אותה או ליצור חריגים במקרים המתאימים. להפרה יכול להיות אחד משלושת הסטטוסים הבאים:

• לא נפתרה: לא טיפלתם בהפרה, או שבעבר קיבלתם חריגה לפני שבוצעו שינויים בתיקייה או במשאב שלא עומדים בדרישות.
• הבעיה נפתרה: בוצעו השלבים לפתרון הבעיה.
• חריג: אושר חריג להפרה, וסופקה הצדקה עסקית.

המעקב אחרי Assured Workloads מופעל אוטומטית כשיוצרים תיקיית Assured Workloads.

לפני שמתחילים

התפקידים וההרשאות הנדרשים ב-IAM

כדי להציג הפרות של מדיניות הארגון או הפרות של משאבים, צריך לקבל תפקיד IAM בארגון האב של תיקיית Assured Workloads, שכולל את ההרשאות הבאות:

• assuredworkloads.violations.get
• assuredworkloads.violations.list

ההרשאות האלה כלולות בתפקידי IAM הבאים ב-Assured Workloads:

• אדמין של Assured Workloads (roles/assuredworkloads.admin)
• עורך Assured Workloads (roles/assuredworkloads.editor)
• בעל הרשאת קריאה של Assured Workloads (roles/assuredworkloads.reader)

כדי להפעיל את המעקב אחר הפרות של משאבים, צריך לקבל תפקיד ב-IAM בארגון האב של תיקיית Assured Workloads, שכולל את ההרשאות הבאות:

• ‫assuredworkloads.workload.update: ההרשאה הזו כלולה בתפקידים הבאים:

  • אדמין של Assured Workloads (roles/assuredworkloads.admin)
  • עורך Assured Workloads (roles/assuredworkloads.editor)

• ‫resourcemanager.folders.setIamPolicy: ההרשאה הזו כלולה בתפקידי אדמין, כמו:

  • אדמין ארגוני (roles/resourcemanager.organizationAdmin)
  • Security Admin (roles/iam.securityAdmin)

כדי לספק חריגים להפרות תאימות, צריך לקבל תפקיד IAM בארגון האב של תיקיית Assured Workloads שמכיל את ההרשאה הבאה:

• ‫assuredworkloads.violations.update: ההרשאה הזו כלולה בתפקידים הבאים:

  • אדמין של Assured Workloads (roles/assuredworkloads.admin)
  • עורך Assured Workloads (roles/assuredworkloads.editor)

בנוסף, כדי לפתור הפרות של מדיניות הארגון ולצפות ביומני ביקורת, צריך להקצות את תפקידי ה-IAM הבאים:

• אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin)
• צפייה ביומנים (roles/logging.viewer)

הערה: כשמעניקים תפקיד במסוף Google Cloud , התפקיד Organization Policy Administrator מופיע רק אם עוברים קודם לארגון, או אם לוחצים על Manage roles.

הגדרת התראות באימייל על הפרות

הערה: אי אפשר לקבל התראות באימייל על הפרות של כללי השימוש במשאבים.

כשמתרחשת הפרה של דרישות התאימות של הארגון, כשמטפלים בה או כשניתן חריג, חברי הקטגוריה Legal בEssential Contacts מקבלים על כך אימייל כברירת מחדל. התנהגות זו נדרשת כי הצוות המשפטי שלכם צריך להתעדכן בכל בעיה שקשורה לעמידה בתקנות.

כדאי להוסיף את הצוות שאחראי על ניהול ההפרות כאיש קשר בקטגוריה 'משפטי'. זה יכול להיות צוות אבטחה או צוות אחר. כך הם יקבלו התראות באימייל כשיבוצעו שינויים.

הפעלה או השבתה של התראות

כדי להפעיל או להשבית את ההתראות בתיקייה ספציפית של Assured Workloads:

1. נכנסים לדף Assured Workloads במסוף Google Cloud :

   כניסה אל Assured Workloads

2. בעמודה Name (שם), לוחצים על השם של תיקיית Assured Workloads שרוצים לשנות את הגדרות ההתראות שלה.

3. בכרטיס Assured Workloads Monitoring (מעקב אחרי עומסי עבודה מאובטחים), מבטלים את הסימון של התיבה Enable notifications (הפעלת התראות) כדי להשבית את ההתראות, או מסמנים אותה כדי להפעיל את ההתראות עבור התיקייה.

בדף Assured Workloads folders (תיקיות של עומסי עבודה מאובטחים), בתיקיות שההתראות מושבתות בהן מופיע הכיתוב Monitoring email notifications disabled (ההתראות באימייל של Monitoring מושבתות).

הצגת הפרות בארגון

אפשר לראות את ההפרות בארגון גם במסוףGoogle Cloud וגם ב-CLI של gcloud.

המסוף

בדף Assured Workloads שבקטע תאימות במסוףGoogle Cloud , או בדף Monitoring שבקטע תאימות, אפשר לראות כמה הפרות יש בארגון.

הדף Assured Workloads

כדי לראות את ההפרות במבט חטוף, עוברים לדף Assured Workloads:

כניסה אל Assured Workloads

בחלק העליון של הדף מוצג סיכום של הפרות המדיניות של הארגון והפרות של משאבים. לוחצים על הקישור הצגה כדי לעבור לדף מעקב.

בכל תיקייה של Assured Workloads ברשימה, כל ההפרות מוצגות בעמודות הפרות של מדיניות הארגון והפרות של משאבים. הסמל פעיל לגבי הפרות שלא נפתרו, והסמל פעיל לגבי חריגים. כדי לראות פרטים נוספים, אפשר לבחור הפרה או חריגה.

אם לא מופעלת בתיקייה מעקב אחרי הפרות של כללי המשאבים, הסמל פעיל בעמודה Updates עם הקישור Enable Resource violation monitoring. לוחצים על הקישור כדי להפעיל את התכונה. אפשר גם להפעיל את התכונה בלחיצה על הלחצן הפעלה בדף הפרטים של תיקיית Assured Workloads.

הערה: אם אין לכם את ההרשאות הנדרשות להפעלת המעקב אחרי הפרות של מדיניות השימוש במשאבים, תופיע הודעת שגיאה. צריך להקצות תפקיד שמכיל את ההרשאות הנדרשות ולנסות שוב.

דף המעקב

כדי לראות פרטים נוספים על ההפרות, עוברים לדף מעקב:

מעבר למעקב

מוצגות שתי כרטיסיות: הפרות של מדיניות הארגון והפרות של משאבים. אם יש יותר מהפרה אחת שלא נפתרה, הסמל פעיל בכרטיסייה.

בכל אחת מהכרטיסיות, ההפרות שלא נפתרו מוצגות כברירת מחדל. מידע נוסף זמין בקטע הצגת פרטי ההפרה שבהמשך.

‫CLI של gcloud

כדי להציג את ההפרות הנוכחיות של דרישות התאימות בארגון, מריצים את הפקודה הבאה:

gcloud assured workloads violations list --location=LOCATION --organization=ORGANIZATION_ID --workload=WORKLOAD_ID

כאשר:

• ‫LOCATION הוא המיקום של תיקיית Assured Workloads.

• ‫ORGANIZATION_ID הוא מזהה הארגון שאותו רוצים לשלוח בשאילתה.

• ‫WORKLOAD_ID הוא מזהה עומס העבודה הראשי, שאפשר למצוא אותו על ידי הצגת רשימה של עומסי העבודה.

התשובה כוללת את הפרטים הבאים לגבי כל הפרה:

• קישור ליומן ביקורת שבו מפורטת ההפרה.
• המועד שבו התרחשה ההפרה בפעם הראשונה.
• סוג ההפרה.
• תיאור של ההפרה.
• שם ההפרה, שאפשר להשתמש בו כדי לאחזר פרטים נוספים.
• מדיניות הארגון שהושפעה והמגבלה שקשורה למדיניות.
• המצב הנוכחי של ההפרה. הערכים החוקיים הם unresolved,‏ resolved או exception.

מידע על דגלים אופציונליים מופיע במאמרי העזרה בנושא Cloud SDK.

הצגת פרטי ההפרה

כדי לראות הפרות ספציפיות של דרישות התאימות ואת הפרטים שלהן, צריך לבצע את השלבים הבאים:

המסוף

1. נכנסים לדף Monitoring במסוף Google Cloud .

   מעבר למעקב

   בדף Monitoring, הכרטיסייה Organization Policy Violations מסומנת כברירת מחדל. בכרטיסייה הזו מוצגים כל ההפרות של מדיניות הארגון שלא נפתרו בתיקיות של Assured Workloads בארגון.

   בכרטיסייה Resource Violations מוצגות כל ההפרות שלא נפתרו שמשויכות למשאב בכל התיקיות של Assured Workloads בארגון.

2. בכל אחד מהכרטיסים האלה, אפשר להשתמש באפשרויות של מסננים מהירים כדי לסנן לפי סטטוס ההפרה, סוג ההפרה, סוג חבילת הבקרה, סוג ההפרה, תיקיות ספציפיות, אילוצים ספציפיים של מדיניות הארגון או סוגי משאבים ספציפיים.

3. בכל אחת מהכרטיסיות, אם יש הפרות קיימות, לוחצים על מזהה ההפרה כדי לראות מידע מפורט יותר.

בדף פרטי ההפרה אפשר לבצע את המשימות הבאות:

• מעתיקים את מזהה ההפרה.

• לראות את תיקיית Assured Workloads שבה התרחשה ההפרה, ואת השעה שבה היא התרחשה לראשונה.

• צפייה ביומן הביקורת, שכולל:

  • מתי ההפרה התרחשה.

  • איזו מדיניות שונתה וגרמה להפרה, ואיזה משתמש ביצע את השינוי הזה.

  • אם אושרה חריגה, מי המשתמש שאשר אותה.

  • במקרים הרלוונטיים, אפשר לראות את המשאב הספציפי שבו התרחשה ההפרה.

• צפייה במדיניות הארגון שהושפעה.

• צפייה בחריגים להפרות של דרישות התאימות והוספה של חריגים. מוצגת רשימה של חריגים קודמים לתיקייה או למשאב, כולל המשתמש שהעניק את החריג וההצדקה שסופקה על ידו.

הערה: אם יבוצעו שינויים נוספים שלא עומדים בדרישות מעבר להיקף של החריגה המקורית, תתרחש הפרה חדשה שלא נפתרה. בדף הזה יוצג מידע על ההפרה החדשה שלא נפתרה ועל הסיבה להפרה.

• פועלים לפי השלבים לפתרון הבעיה כדי לפתור את החריגה.

במקרה של הפרות של מדיניות הארגון, אפשר לראות גם את הפרטים הבאים:

• מדיניות הארגון שהושפעה: כדי לראות את המדיניות הספציפית שמשויכת להפרת התאימות, לוחצים על הצגת המדיניות.
• הפרות של משאבי צאצא: הפרות של מדיניות הארגון שמבוססת על משאבים יכולות לגרום להפרות של משאבי צאצא. כדי לראות או לפתור הפרות של משאבי צאצא, לוחצים על מזהה ההפרה.

במקרה של הפרות שקשורות למשאבים, אפשר לראות גם את הפרטים הבאים:

• הפרות של מדיניות הארגון ברמת ההורה: אם הפרות של מדיניות הארגון ברמת ההורה הן הגורם להפרה של משאב צאצא, צריך לטפל בהן ברמת ההורה. כדי לראות את פרטי ההפרה ברמת ההורה, לוחצים על הצגת ההפרה.
• מוצגות גם הפרות אחרות במשאב הספציפי שגורמות להפרת המדיניות.

‫CLI של gcloud

כדי לראות את הפרטים של הפרת תאימות, מריצים את הפקודה הבאה:

gcloud assured workloads violations describe VIOLATION_PATH

כאשר VIOLATION_PATH הוא בפורמט הבא:

ORGANIZATION_ID/locations/LOCATION/workloads/WORKLOAD_ID/violations/VIOLATION_ID

הערך VIOLATION_PATH מוחזר בשדה name של התגובה list לכל הפרה.

התשובה כוללת את הפרטים הבאים:

• קישור ליומן ביקורת שבו מפורטת ההפרה.

• המועד שבו התרחשה ההפרה בפעם הראשונה.

• סוג ההפרה.

• תיאור של ההפרה.

• מדיניות הארגון שהושפעה והמגבלה שקשורה למדיניות.

• שלבים לפתרון הבעיה.

• המצב הנוכחי של ההפרה. הערכים התקפים הם unresolved,‏ resolved או exception.

מידע על דגלים אופציונליים מופיע במאמרי העזרה בנושא Cloud SDK.

פתרון בעיות שקשורות להפרות

כדי לפתור הפרה, מבצעים את השלבים הבאים:

המסוף

1. נכנסים לדף Monitoring במסוף Google Cloud .

   מעבר למעקב

2. כדי לראות מידע מפורט יותר, לוחצים על מזהה ההפרה.

3. בקטע Remediation, פועלים לפי ההוראות לשימוש ב-Google Cloud console או ב-CLI כדי לפתור את הבעיה.

‫CLI של gcloud

1. הצגת פרטי ההפרה באמצעות ה-CLI של gcloud

2. פועלים לפי השלבים לתיקון שמופיעים בתגובה כדי לפתור את ההפרה.

הוספת חריגים להפרות

לפעמים הפרה מסוימת עשויה להיות תקפה בסיטואציה מסוימת. כדי להוסיף חריגה אחת או יותר להפרה, פועלים לפי השלבים הבאים.

הערה: אם הענקתם בעבר חריגה בנוגע להפרה, הסטטוס שלה עשוי להשתנות בחזרה ללא נפתרה אם יבוצעו שינויים נוספים שלא עומדים בדרישות.

המסוף

1. נכנסים לדף Monitoring במסוף Google Cloud .

   מעבר למעקב

2. בעמודה מספר הפרה, לוחצים על ההפרה שרוצים להוסיף לה את החריג.

3. בקטע חריגים, לוחצים על הוספת חריג חדש.

4. מזינים הצדקה עסקית לחריגה. אם רוצים שהחריג יחול על כל משאבי הצאצא הקיימים, מסמנים את התיבה החלת החריג על כל ההפרות הקיימות של משאבי צאצא ולוחצים על שליחה.

5. אפשר להוסיף חריגים נוספים לפי הצורך. לשם כך, חוזרים על השלבים האלה ולוחצים על הוספת חריג חדש.

סטטוס ההפרה משתנה לחריגה.

‫CLI של gcloud

כדי להוסיף חריגה להפרה, מריצים את הפקודה הבאה:

gcloud assured workloads violations acknowledge VIOLATION_PATH --comment="BUSINESS_JUSTIFICATION"

כאשר BUSINESS_JUSTIFICATION היא הסיבה לחריגה, ו-VIOLATION_PATH הוא בפורמט הבא:

ORGANIZATION_ID/locations/LOCATION/workloads/WORKLOAD_ID/violations/VIOLATION_ID

הערך VIOLATION_PATH מוחזר בשדה name של התגובה list לכל הפרה.

אחרי שהפקודה נשלחת בהצלחה, סטטוס ההפרה משתנה לחריגה.

הפרות של מדיניות הארגון שנמצאות במעקב

הכלי Assured Workloads עוקב אחרי הפרות שונות של הגבלות במדיניות הארגון, בהתאם לחבילת הבקרה שמוחלת על תיקיית Assured Workloads. אפשר להשתמש ברשימה הבאה כדי לסנן את ההפרות לפי חבילת אמצעי הבקרה שהושפעה.

Data Boundary for CJIS Data Boundary ל-FedRAMP Moderate Data Boundary for FedRAMP High גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים עם תמיכה Data Boundary for Data Boundary for Impact Level 2 (IL2) Data Boundary לרמת השפעה 4 (IL4) Data Boundary for Impact Level 5 (IL5) Data Boundary for International Traffic in Arms Regulations (ITAR) Australia Data Boundary גבולות הנתונים באוסטרליה ותמיכה Brazil Data Boundary Canada Data Boundary גבולות הנתונים בקנדה ותמיכה Data Boundary for Canada Protected B Data Boundary בצ'ילה EU Data Boundary גבולות נתונים ותמיכה באיחוד האירופי גבולות נתונים באיחוד האירופי עם הצדקות גישה הגבלת נתונים בהונג קונג India Data Boundary Data Boundary באינדונזיה Israel Data Boundary גבולות נתונים ותמיכה בישראל Japan Data Boundary Qatar Data Boundary Singapore Data Boundary Data Boundary בדרום אפריקה גבולות הנתונים בדרום קוריאה Data Boundary בשווייץ Taiwan Data Boundary UK Data Boundary US Data Boundary גבולות נתונים ותמיכה בארה"ב Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות) הצגת כל חבילות הבקרה

אילוץ של מדיניות הארגון	סוג ההפרה	תיאור	חבילות הבקרה שהושפעו
גישה לנתוני Cloud SQL שלא עומדת בדרישות התאימות	גישה	השגיאה מתרחשת כשמאפשרים גישה לא תואמת לנתונים אבחוניים לא תואמים של Cloud SQL. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת אמצעי הבקרה עבור האילוץ sql.restrictNoncompliantDiagnosticDataAccess .	גבולות נתונים באיחוד האירופי עם הצדקות גישה Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
גישה לנתונים ב-Compute Engine שלא עומדת בדרישות התאימות	גישה	האירוע מתרחש כשמאפשרים גישה לנתונים של מופע Compute Engine שלא עומדת בדרישות. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ compute.disableInstanceDataAccessApis.	Data Boundary for Criminal Justice Information Systems (CJIS) גבולות נתונים באיחוד האירופי עם הצדקות גישה Data Boundary for International Traffic in Arms Regulations (ITAR) Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
סוגי אימות ב-Cloud Storage שלא עומדים בדרישות	גישה	מתרחש כשסוגי אימות שלא עומדים בדרישות מורשים לשימוש ב-Cloud Storage. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ storage.restrictAuthTypes.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
גישה לקטגוריות של Cloud Storage שלא עומדת בדרישות התאימות	גישה	הבעיה מתרחשת כשמאפשרים גישה לא אחידה ברמת הקטגוריה ב-Cloud Storage שלא עומדת בדרישות. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ storage.uniformBucketLevelAccess.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
גישה לנתוני GKE שלא עומדת בדרישות התאימות	גישה	השגיאה מתרחשת כשמאפשרים גישה לנתונים אבחוניים של GKE שלא עומדת בדרישות. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ container.restrictNoncompliantDiagnosticDataAccess.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Data Boundary לרמת השפעה 4 (IL4) רמת השפעה 5 (IL5) Data Boundary for International Traffic in Arms Regulations (ITAR) Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
תכונות אבחון לא תואמות של Compute Engine	הגדרות אישיות	מתרחש כשתכונות אבחון לא תואמות של Compute Engine מופעלות. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ compute.enableComplianceMemoryProtection.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Data Boundary for International Traffic in Arms Regulations (ITAR) Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
הגדרה של איזון עומסים גלובלי ב-Compute Engine שלא עומדת בדרישות	הגדרות אישיות	השגיאה מתרחשת כשמוגדר ערך לא תואם להגדרת איזון העומסים הגלובלי ב-Compute Engine. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ compute.disableGlobalLoadBalancing.	Data Boundary for International Traffic in Arms Regulations (ITAR)
הגדרת FIPS ב-Compute Engine שלא עומדת בדרישות	הגדרות אישיות	השגיאה מתרחשת כשערך לא תואם מוגדר להגדרת FIPS ב-Compute Engine. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ compute.disableNonFIPSMachineTypes.	Data Boundary for International Traffic in Arms Regulations (ITAR)
הגדרת SSL ב-Compute Engine שלא עומדת בדרישות	הגדרות אישיות	השגיאה הזו מתרחשת כשמוגדר ערך לא תואם לאישורים גלובליים בניהול עצמי. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ compute.disableGlobalSelfManagedSslCertificate.	Data Boundary for International Traffic in Arms Regulations (ITAR)
הגדרת SSH בדפדפן של Compute Engine שלא עומדת בדרישות	הגדרות אישיות	האירוע הזה מתרחש כשמוגדר ערך לא תואם לתכונה SSH בדפדפן ב-Compute Engine. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ compute.disableSshInBrowser.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
יצירת משאב ב-Cloud SQL שלא עומד בדרישות התאימות	הגדרות אישיות	השגיאה מתרחשת כשמאפשרים יצירה של משאב Cloud SQL שלא עומד בדרישות. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ sql.restrictNoncompliantResourceCreation.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
הגבלה חסרה של מפתח Cloud KMS	הצפנה	השגיאה מתרחשת כשלא מציינים פרויקטים שיספקו מפתחות הצפנה ל- CMEK . ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של האילוץ gcp.restrictCmekCryptoKeyProjects בחבילת הבקרה, שעוזר למנוע מתיקיות או מפרויקטים לא מאושרים לספק מפתחות הצפנה.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Data Boundary for International Traffic in Arms Regulations (ITAR) Data Boundary for Criminal Justice Information Systems (CJIS) Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
שירות שלא עומד בדרישות ולא מופעל בו CMEK	הצפנה	השגיאה מתרחשת כשעומס העבודה מופעל בשירות שלא תומך ב- CMEK . ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ gcp.restrictNonCmekServices.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Data Boundary for International Traffic in Arms Regulations (ITAR) Data Boundary for Criminal Justice Information Systems (CJIS) Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
רמות הגנה ב-Cloud KMS שלא עומדות בדרישות	הצפנה	השגיאה מתרחשת כשמציינים רמות הגנה שלא עומדות בדרישות לשימוש ב-Cloud Key Management Service‏ (Cloud KMS). מידע נוסף זמין במאמר בנושא Cloud KMS reference . ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ cloudkms.allowedProtectionLevels.	גבולות נתונים באיחוד האירופי עם הצדקות גישה Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
מיקומי משאבים שלא עומדים בדרישות	מיקום המשאב	הבעיה מתרחשת כשמשאבים של שירותים נתמכים בחבילת אמצעי בקרה של Assured Workloads נוצרים מחוץ לאזור המותר לעומס העבודה, או מועברים ממיקום מותר למיקום אסור. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת אמצעי הבקרה עבור האילוץ gcp.resourceLocations .	Data Boundary for Criminal Justice Information Systems (CJIS) Data Boundary ל-FedRAMP Moderate Data Boundary for FedRAMP High גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים עם תמיכה Data Boundary לרמת השפעה 2 (IL2) Data Boundary לרמת השפעה 4 (IL4) Data Boundary for Impact Level 5 (IL5) Data Boundary for International Traffic in Arms Regulations (ITAR) Australia Data Boundary גבולות הנתונים באוסטרליה ותמיכה Brazil Data Boundary Canada Data Boundary גבולות הנתונים בקנדה ותמיכה Data Boundary for Canada Protected B Data Boundary בצ'ילה EU Data Boundary גבולות נתונים ותמיכה באיחוד האירופי גבולות נתונים באיחוד האירופי עם הצדקות גישה הגבלת נתונים בהונג קונג India Data Boundary Data Boundary באינדונזיה Israel Data Boundary גבולות נתונים ותמיכה בישראל Japan Data Boundary Qatar Data Boundary Singapore Data Boundary Data Boundary בדרום אפריקה גבולות הנתונים בדרום קוריאה Data Boundary בשווייץ Taiwan Data Boundary UK Data Boundary US Data Boundary גבולות נתונים ותמיכה בארה"ב Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
שירותים שלא עומדים בדרישות	שימוש בשירות	השגיאה מתרחשת כשמשתמש מפעיל שירות שלא נתמך על ידי חבילת בקרה מסוימת של Assured Workloads בתיקייה של Assured Workloads. ההפרה הזו נגרמת כתוצאה משינוי הערך התואם של חבילת הבקרה עבור האילוץ gcp.restrictServiceUsage.	Data Boundary for Criminal Justice Information Systems (CJIS) Data Boundary ל-FedRAMP Moderate Data Boundary for FedRAMP High גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים עם תמיכה Data Boundary לרמת השפעה 2 (IL2) Data Boundary לרמת השפעה 4 (IL4) Data Boundary for Impact Level 5 (IL5) Data Boundary for International Traffic in Arms Regulations (ITAR) Australia Data Boundary גבולות הנתונים באוסטרליה ותמיכה Brazil Data Boundary Canada Data Boundary גבולות הנתונים בקנדה ותמיכה Data Boundary for Canada Protected B Data Boundary בצ'ילה EU Data Boundary גבולות נתונים ותמיכה באיחוד האירופי גבולות נתונים באיחוד האירופי עם הצדקות גישה הגבלת נתונים בהונג קונג India Data Boundary Data Boundary באינדונזיה Israel Data Boundary גבולות נתונים ותמיכה בישראל Japan Data Boundary Qatar Data Boundary Singapore Data Boundary Data Boundary בדרום אפריקה גבולות הנתונים בדרום קוריאה Data Boundary בשווייץ Taiwan Data Boundary UK Data Boundary US Data Boundary גבולות נתונים ותמיכה בארה"ב Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)

הפרות של משאבים במעקב

השירות Assured Workloads עוקב אחרי הפרות שונות של משאבים, בהתאם לחבילת אמצעי הבקרה שהוחלה על תיקיית Assured Workloads. כדי לראות אילו סוגי משאבים נמצאים במעקב, אפשר לעיין במאמר סוגי משאבים נתמכים במסמכי מאגר משאבי ענן. אפשר להשתמש ברשימה הבאה כדי לסנן את ההפרות לפי חבילת הבקרה שהן משפיעות עליה:

Data Boundary for Criminal Justice Information Systems (CJIS) Data Boundary ל-FedRAMP Moderate Data Boundary for FedRAMP High גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים עם תמיכה Data Boundary לרמת השפעה 2 (IL2) Data Boundary לרמת השפעה 4 (IL4) Data Boundary for Impact Level 5 (IL5) Data Boundary for International Traffic in Arms Regulations (ITAR) Australia Data Boundary גבולות הנתונים באוסטרליה ותמיכה Brazil Data Boundary Canada Data Boundary גבולות הנתונים בקנדה ותמיכה Data Boundary for Canada Protected B Data Boundary בצ'ילה EU Data Boundary גבולות נתונים ותמיכה באיחוד האירופי גבולות נתונים באיחוד האירופי עם הצדקות גישה הגבלת נתונים בהונג קונג India Data Boundary Data Boundary באינדונזיה Israel Data Boundary גבולות נתונים ותמיכה בישראל Japan Data Boundary Qatar Data Boundary Singapore Data Boundary Data Boundary בדרום אפריקה גבולות הנתונים בדרום קוריאה Data Boundary בשווייץ Taiwan Data Boundary UK Data Boundary US Data Boundary גבולות נתונים ותמיכה בארה"ב Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות) הצגת כל חבילות הבקרה

אילוץ של מדיניות הארגון	תיאור	חבילות הבקרה שהושפעו
מיקום משאב שלא עומד בדרישות	השגיאה מתרחשת כשהמיקום של משאב נמצא באזור שלא עומד בדרישות. ההפרה הזו נגרמת בגלל האילוץ gcp.resourceLocations .	גבולות הנתונים באוסטרליה ותמיכה Data Boundary for Canada Protected B גבולות הנתונים בקנדה ותמיכה Data Boundary for Criminal Justice Information Systems (CJIS) גבולות נתונים ותמיכה באיחוד האירופי גבולות נתונים באיחוד האירופי עם הצדקות גישה Data Boundary ל-FedRAMP Moderate Data Boundary for FedRAMP High גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים עם תמיכה Data Boundary לרמת השפעה 4 (IL4) Data Boundary for Impact Level 5 (IL5) גבולות נתונים ותמיכה בישראל Data Boundary for International Traffic in Arms Regulations (ITAR) Japan Data Boundary גבולות נתונים ותמיכה בארה"ב Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
משאבים בתיקייה שלא עומדים בדרישות	השגיאה מתרחשת כשנוצר משאב לשירות לא נתמך בתיקיית Assured Workloads. ההפרה הזו נגרמת בגלל האילוץ gcp.restrictServiceUsage .	Data Boundary for Criminal Justice Information Systems (CJIS) Data Boundary ל-FedRAMP Moderate Data Boundary for FedRAMP High גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים גבולות נתונים בארה"ב לתחום הבריאות ומדעי החיים עם תמיכה Data Boundary לרמת השפעה 2 (IL2) Data Boundary לרמת השפעה 4 (IL4) Data Boundary for Impact Level 5 (IL5) Data Boundary for International Traffic in Arms Regulations (ITAR) Australia Data Boundary גבולות הנתונים באוסטרליה ותמיכה Brazil Data Boundary Canada Data Boundary גבולות הנתונים בקנדה ותמיכה Data Boundary for Canada Protected B Data Boundary בצ'ילה EU Data Boundary גבולות נתונים ותמיכה באיחוד האירופי גבולות נתונים באיחוד האירופי עם הצדקות גישה הגבלת נתונים בהונג קונג India Data Boundary Data Boundary באינדונזיה Israel Data Boundary גבולות נתונים ותמיכה בישראל Japan Data Boundary Qatar Data Boundary Singapore Data Boundary Data Boundary בדרום אפריקה Data Boundary בשווייץ Taiwan Data Boundary UK Data Boundary US Data Boundary גבולות נתונים ותמיכה בארה"ב Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)
מקורות מידע לא מוצפנים (שלא מוצפנים באמצעות CMEK)	השגיאה מתרחשת כשיוצרים משאב ללא הצפנה באמצעות CMEK בשירות שנדרשת בו הצפנה באמצעות CMEK. ההפרה הזו נגרמת בגלל האילוץ gcp.restrictNonCmekServices .	Data Boundary for Criminal Justice Information Systems (CJIS) גבולות נתונים באיחוד האירופי עם הצדקות גישה Data Boundary for Impact Level 5 (IL5) Data Boundary for International Traffic in Arms Regulations (ITAR) Local Controls by S3NS (Sovereign Controls by Partners) Sovereign Controls by SIA/Minsait (Sovereign Controls by Partners) T-Systems Sovereign Cloud (אמצעי בקרה של השותפים לשליטה בריבונות)

המאמרים הבאים

• הסבר על חבילות הבקרה של Assured Workloads
• אילו מוצרים נתמכים בכל חבילת אמצעי בקרה