Google Kubernetes Engine 中的法规支持

本文档介绍了 Google Kubernetes Engine 中与受支持控制包的控制措施相符的功能、配置和 API。本文档假定您使用的是 Assured Workloads。

ITAR 的数据边界

支持的服务

下表列出了符合 ITAR 数据边界要求的 Google Kubernetes Engine API 和版本。

服务 版本 状态
container.googleapis.com v1 支持
container.googleapis.com v1alpha1 支持
container.googleapis.com v1beta1 支持
containersecurity.googleapis.com v1 支持
containersecurity.googleapis.com v1beta 支持

支持合规性的区域

Google Kubernetes Engine 适用于以下 Google Cloud 区域的 ITAR 数据边界：

  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4

适用设置

下表介绍了适用于 ITAR 数据边界的组织政策限制条件和产品设置。默认情况下，这些设置由 Assured Workloads 进行设置。如果您更改这些设置，则必须首先考虑该更改对您的合规状态有何影响。如需了解如何配置组织政策，请参阅创建和管理组织政策。

设置 必填值
container.restrictNoncompliantDiagnosticDataAccess
  • True

不适用于敏感数据的字段

下表列出了不适合存储敏感信息的字段类别和特定字段。为确保合规，请避免在这些字段中放置受保护的数据。如需查看完整列表，请与您的 Google Cloud 代表联系。

类别 字段
身份验证和授权
  • audiences
  • spec.groups
  • spec.token
  • spec.user
过滤和搜索
  • filter
Kubernetes 配置
  • cluster.nodeConfig.kubeletConfig.cpuManagerPolicy
  • cluster.nodePoolDefaults.nodeConfigDefaults.nodeKubeletConfig.cpuCfsQuotaPeriod
  • cluster.nodePools.config.kubeletConfig.evictionSoft.imagefsAvailable
网络配置
  • cluster.ipAllocationPolicy.nodeIpv4CidrBlock
  • cluster.networkConfig.dnsConfig.clusterDnsDomain
  • cluster.nodePools.networkConfig.network
面向家长的资源
  • parent
资源识别
  • clusterId
  • location
  • masterProjectId
  • name
  • projectId
  • zone
资源管理和标签
  • cluster.nodeConfig.resourceManagerTags.tags.key
  • cluster.resourceLabels.key
  • cluster.resourceLabels.value
存储和磁盘配置
  • cluster.nodeConfig.bootDiskKmsKey
  • cluster.nodeConfig.diskType
  • cluster.nodePools.config.storagePools
更新参数
  • updateMask.paths
版本控制和规范
  • apiVersion
  • kind
  • version

后续步骤