Assured Workloads 總覽

Assured Workloads 可讓私營和公營機構設定主權資料和存取權邊界，並針對雲端中的機密工作負載，控管資料落地、存取權和人員。您可以使用 Assured Workloads，藉由將預先定義的控制套件套用至資料夾，簡化受監管工作負載的管理和設定。Assured Workloads 可讓您執行符合規定的工作負載，同時享有商用雲端基礎架構的規模、成本和服務可用性優勢。

Assured Workloads 的用途

如果貴機構必須確保符合特定法規、區域或主權要求，請使用 Assured Workloads。舉例來說，Assured Workloads 可協助下列機構履行法規遵循義務：

  • 對於資料儲存、金鑰管理和存取有嚴格法規的機構 (例如金融服務、醫療保健和政府機構)。
  • 必須將資料儲存在特定區域或國家/地區的機構。
  • 必須控管人員資料存取權的機構。 Google Cloud

Assured Workloads 功能

Assured Workloads 提供各種功能，協助您滿足法規遵循和監管要求，包括：

  • 區域資料邊界和法規資料邊界，以利法規遵循執法
  • 員工資料存取權控管
  • 加密金鑰管理控制項
  • 法規遵循最新動態
  • 監控違規事項

以下各節將說明這些功能。

控管方案

控制套件是強制執行 Assured Workloads 法規遵循的基礎。Assured Workloads 控制項套件適用於下列控制項類型：區域資料邊界、法規資料邊界和Sovereign Controls by Partners。為特定控管機制套件建立 Assured Workloads 資料夾時，控管機制套件中的控管機制會為資料夾中的所有專案和資源定義安全防護機制。這些控制項會透過機構政策限制和其他功能強制執行。

支援的 Google Cloud 產品和服務因控制項套件而異。 詳情請參閱「控制套件支援的產品」。

區域資料邊界

區域資料邊界控制套件可限制資源的儲存地理位置，以支援資料落地規定。您也可以透過某些資料邊界，獨立控管 Google 的資料存取權，例如只允許 Google 進行您認為適當且必要的特定作業。

您可以透過這些資料邊界指定 Google Cloud 資料必須存放的區域，並防止資料儲存在該區域以外的位置。舉例來說，如果套用歐盟資料邊界控制套件，系統會實作資料落地控制項，將資源使用限制在歐盟區域。Assured Workloads 提供各種區域資料邊界，可強制執行資料落地限制，以及 Google 人員支援存取權控管。

如要進一步瞭解 Assured Workloads 和資料落地，請參閱「資料落地」。

法規資料邊界

法規資料邊界控制項套件可讓您部署一組控制項，以符合特定法規或法規遵循要求。 Google Cloud 包括下列法規的資料邊界：

如需完整清單，請參閱「法規資料邊界」。

Sovereign Controls by Partners

此外，Assured Workloads 也提供由合作夥伴透過「Sovereign Controls by Partners」操作及管理的控制項套件。透過 Sovereign Controls by Partners，您可以使用當地值得信賴的合作夥伴，管理加密金鑰、存取依據和稽核。這些控管套件可協助強制執行資料落地規定，並提供涵蓋雲端基礎架構重要層面的安全設定，例如加密和金鑰管理。

控管 Google 員工對您資料的存取權

您可以控管哪些 Google 員工可在執行支援工作時存取您的資料。Assured Workloads 適用的安全支援服務是額外的 Google Cloud Customer Care 功能，適用於 Enhanced 支援服務或 Premium 支援服務。使用時，Google 支援人員必須遵守特定地理位置和人員屬性要求。視控制措施套件而定，人員控管措施會根據區域或是否符合特定背景調查規定等條件實施。舉例來說，支援 FedRAMP 高等風險的存取控管機制，要求所有第一級和第二級 Google 支援人員和次處理者都必須位於美國境內，並符合進階背景調查規定。

如要進一步瞭解 Assured Workloads 的 Assured Support，請參閱「取得支援」。

金鑰管理

視控管套件而定，您可以使用各種金鑰管理控制項，確保符合法規遵循。舉例來說，ITAR 控制套件的資料邊界要求使用客戶自行管理的加密金鑰 (CMEK)。為確保職責分離，ITAR 控制套件的資料邊界會使用與其他已部署資源不同的金鑰管理專案，並為法規遵循位置內的儲存空間建立專屬金鑰環。此外，Assured Workloads 也支援其他控管套件的Google-owned and Google-managed encryption keys (符合 FIPS-140-2 規範)、CMEK、Cloud External Key Manager (Cloud EKM) 和金鑰匯入。

如要進一步瞭解金鑰管理，請參閱遵循金鑰管理的法規要求。

工作負載更新

工作負載更新可讓您評估及維護控制套件設定。隨著可用的控制項套件不斷改良，您可以評估已部署的 Assured Workloads 資料夾設定，是否與最新版本相同。如有較新版本的設定，您可以將更新套用至 Assured Workloads 資料夾，升級至最新版本。

違規監控

Assured Workloads 會監控違反機構政策限制和資源規定的事項，深入瞭解已部署控制套件的法規遵循情況。您可以啟用電子郵件通知，在機構政策遭到違反或新增違規例外狀況時收到通知。這些通知包含 Assured Workloads 資料夾、稽核記錄和受影響的機構政策等資訊，方便您進行審查，並修正不符規定的原因。

如要進一步瞭解監控功能，請參閱「監控 Assured Workloads 資料夾的違規事項」。

存取控管和可見度服務

下列 Google Cloud 服務提供選項，可控管及瞭解資料存取和加密金鑰。您可以搭配使用這些服務和 Assured Workloads，滿足法規遵循需求。

Google Cloud 服務 說明

存取權核准

透過存取權核准功能，您可以控管 Google 員工對您資料的存取權。貴機構的授權客戶管理員必須先核准要求，Google 管理員才能取得存取權。核准的存取要求會記錄在與核准要求相關聯的資料存取透明化控管機制記錄中。要求獲准後，您必須先在 Google 內取得適當的存取權，才能存取資料。

與 Assured Workloads 搭配使用時，存取核准要求條件的優先順序，會低於適用的 Assured Workloads 人員存取保證。詳情請參閱「存取核准與 Assured Workloads 的搭配運作方式」。

資料存取透明化控管機制

透過資料存取透明化控管機制，您可以查看 Google 授權人員的活動記錄。這些記錄會提供與支援要求完成相關的動作詳細資料，以及與服務可用性相關的動作。

金鑰存取依據

透過金鑰存取依據，您可以在 Cloud KMS 或特定外部金鑰管理合作夥伴中，控管及核准金鑰存取要求。您可以根據理由核准或拒絕要求。視 Assured Workloads 控制項套件而定，您可以搭配使用金鑰存取依據與 Cloud EKM 金鑰、Cloud HSM 金鑰或 Cloud KMS 軟體金鑰。

控制套件重新命名通知

Assured Workloads 使用「控管機制套件」，指稱支援法規遵循架構、法規或規章基準的一系列控管機制。自 2025 年 6 月起，控制台和 API 中的控制項套件名稱已變更。 使用 Assured Workloads API 建立新工作負載時，系統也會在使用的 ComplianceRegime 列舉中反映這些新名稱。只有名稱變更，底層功能並未變更。

下表說明部分控制項套件的新舊版本。

即將推出的名稱 目前名稱

澳洲資料邊界

澳洲區域

澳洲資料邊界與支援

澳洲區域 (提供安全支援)

巴西資料邊界

巴西區域

加拿大資料邊界

加拿大區域

加拿大資料邊界與支援

加拿大區域與支援

智利資料邊界

智利區域

加拿大管制商品資料邊界

加拿大管制商品

加拿大 B 級保護資料邊界

加拿大 B 級保護

CJIS 資料邊界

刑事司法資訊系統 (CJIS)

FedRAMP 高影響等級資料邊界

FedRAMP 高度

FedRAMP 中影響等級資料邊界

FedRAMP 中度

影響等級 2 (IL2) 資料邊界

影響等級 2 (IL2)

影響等級 4 (IL4) 資料邊界

影響等級 4 (IL4)

影響等級 5 (IL5) 資料邊界

影響等級 5 (IL5)

IRS 出版品 1075 資料邊界

IRS 出版品 1075

ITAR 資料邊界

《國際武器貿易條例》(ITAR)

歐盟資料邊界

歐盟區域

歐盟資料邊界與支援

歐盟區域與支援

含存取依據的歐盟資料邊界

歐盟適用的主權控管機制

香港資料邊界

香港區域

印度資料邊界

印度區域

印尼資料邊界

印尼區域

以色列資料邊界

以色列區域

以色列資料邊界與支援

以色列區域與支援服務

日本資料邊界

日本區域

含存取依據的沙烏地阿拉伯王國資料邊界

沙烏地阿拉伯王國適用的主權控管機制

卡達資料邊界

卡達區域

新加坡資料邊界

新加坡區域

南非資料邊界

南非區域

韓國資料邊界

韓國區域

瑞士資料邊界

瑞士區域

台灣資料邊界

台灣區域

英國資料邊界

英國區域

美國資料邊界

美國區域

美國資料邊界與支援

美國區域與支援

美國醫療照護與生命科學資料邊界

醫療照護與生命科學控管機制

美國醫療照護與生命科學資料邊界與支援

醫療照護與生命科學控管機制 (美國支援人員)

後續步驟