Pub/Sub 中的监管支持

本文档介绍了 Pub/Sub 中与受支持的控制软件包的控制相符的功能、配置和 API。本文档假定您使用的是 Assured Workloads。

显示全部 FedRAMP 高风险级别的数据边界

FedRAMP 高风险级别的数据边界 支持的服务 下表列出了符合“FedRAMP 高风险级别的数据边界”要求的 Pub/Sub API 和版本。 服务 版本 状态 pubsub.googleapis.com v1 支持 支持合规性功能的区域 Pub/Sub 可在以下 Google Cloud 区域用于 FedRAMP 高风险级别的数据边界： us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 管理工具 下表介绍了管理工具如何通过 Pub/Sub 支持“FedRAMP 高风险级别的数据边界”。 工具 说明 Google Cloud SDK 您必须使用 Google Cloud SDK 403.0.0 或更高版本，以帮助确保 FedRAMP 高风险级别技术数据的数据区域化。如需验证您当前的 Google Cloud SDK 版本，请运行 gcloud --version，然后运行 gcloud components update 以更新到最新版本。 管理员控制功能 默认情况下，不合规的 API 处于停用状态。不过，拥有足够权限的管理员可以启用不合规的 API。启用不合规的 API 后，系统会在 Assured Workloads Monitoring 页面中通知您。 受影响的功能 下表介绍了哪些功能会受到 FedRAMP 高风险级别的数据边界的影响： 功能 说明 单条消息转换 (SMT) 此功能不支持 FedRAMP 高风险级别合规性，不应使用。在 Assured Workloads 文件夹下，此功能默认处于停用状态。 适用设置 下表介绍了适用于“FedRAMP 高风险级别的数据边界”的组织政策限制条件和产品设置。默认情况下，这些设置由 Assured Workloads 进行配置。如果您更改这些设置，必须先考虑相应更改对您的合规性状态有何影响。如需了解如何配置组织政策，请参阅创建和管理组织政策。 设置 必填值 pubsub.managed.disableTopicMessageTransforms True pubsub.managed.disableSubscriptionMessageTransforms True 敏感数据的 API 字段 资源：无资源 下表列出了旨在处理受“FedRAMP 高风险级别的数据边界”保护的数据的 API 资源和字段。 API 方法 受保护的字段 服务：pubsub.googleapis.com REST API：POST /v1/{project=projects/*}:testMessageTransforms 远程过程调用 (RPC) 方法： google.pubsub.v1.Transform.TestMessageTransforms message.data messageTransforms.messageTransforms.aiInference.serviceAccountEmail messageTransforms.messageTransforms.javascriptUdf.code messageTransforms.messageTransforms.javascriptUdf.functionName messageTransforms.messageTransforms.jsonRedaction.fieldPaths 服务：pubsub.googleapis.com REST API：POST /v1/{project=projects/*}:validateMessageTransform 远程过程调用 (RPC) 方法： google.pubsub.v1.Transform.ValidateMessageTransform messageTransform.aiInference.serviceAccountEmail messageTransform.javascriptUdf.code messageTransform.javascriptUdf.functionName messageTransform.jsonRedaction.fieldPaths 资源：pubsub.googleapis.com/Subscription 下表列出了旨在处理受“FedRAMP 高风险级别的数据边界”保护的数据的 API 资源和字段。 API 方法 受保护的字段 服务：pubsub.googleapis.com REST API：PATCH /v1/{subscription.name=projects/*/subscriptions/*} 远程过程调用 (RPC) 方法： google.pubsub.v1.Subscriber.UpdateSubscription subscription.bigqueryConfig.serviceAccountEmail subscription.cloudStorageConfig.serviceAccountEmail subscription.messageTransforms.aiInference.serviceAccountEmail subscription.messageTransforms.javascriptUdf.code subscription.messageTransforms.javascriptUdf.functionName subscription.messageTransforms.jsonRedaction.fieldPaths subscription.pubsubExportConfig.region subscription.pubsubExportConfig.serviceAccountEmail subscription.pubsubliteExportConfig.serviceAccountEmail subscription.pushConfig.oidcToken.serviceAccountEmail 服务：pubsub.googleapis.com REST API：POST /v1/{subscription=projects/*/subscriptions/*}:modifyPushConfig 远程过程调用 (RPC) 方法： google.pubsub.v1.Subscriber.ModifyPushConfig pushConfig.oidcToken.serviceAccountEmail 服务：pubsub.googleapis.com REST API：PUT /v1/{name=projects/*/subscriptions/*} 远程过程调用 (RPC) 方法： google.pubsub.v1.Subscriber.CreateSubscription bigqueryConfig.serviceAccountEmail cloudStorageConfig.serviceAccountEmail messageTransforms.aiInference.serviceAccountEmail messageTransforms.javascriptUdf.code messageTransforms.javascriptUdf.functionName messageTransforms.jsonRedaction.fieldPaths pubsubExportConfig.region pubsubExportConfig.serviceAccountEmail pubsubliteExportConfig.serviceAccountEmail pushConfig.oidcToken.serviceAccountEmail 资源：pubsub.googleapis.com/Topic 下表列出了旨在处理受“FedRAMP 高风险级别的数据边界”保护的数据的 API 资源和字段。 API 方法 受保护的字段 服务：pubsub.googleapis.com REST API：PATCH /v1/{topic.name=projects/*/topics/*} 远程过程调用 (RPC) 方法： google.pubsub.v1.Publisher.UpdateTopic topic.messageStoragePolicy.allowedPersistenceRegions topic.messageTransforms.aiInference.serviceAccountEmail topic.messageTransforms.javascriptUdf.code topic.messageTransforms.javascriptUdf.functionName topic.messageTransforms.jsonRedaction.fieldPaths 服务：pubsub.googleapis.com REST API：POST /v1/{topic=projects/*/topics/*}:publish 远程过程调用 (RPC) 方法： google.pubsub.v1.Publisher.Publish messages.data 服务：pubsub.googleapis.com REST API：PUT /v1/{name=projects/*/topics/*} 远程过程调用 (RPC) 方法： google.pubsub.v1.Publisher.CreateTopic messageStoragePolicy.allowedPersistenceRegions messageTransforms.aiInference.serviceAccountEmail messageTransforms.javascriptUdf.code messageTransforms.javascriptUdf.functionName messageTransforms.jsonRedaction.fieldPaths 不适合用于敏感数据的字段 下表列出了不宜用于处理敏感信息的字段类别和特定字段。为保持合规性，请避免在这些字段中放置受保护的数据。 类别 字段 数据注入来源 ingestionDataSourceSettings.awsKinesis.streamArn ingestionDataSourceSettings.awsMsk.clusterArn ingestionDataSourceSettings.awsMsk.gcpServiceAccount ingestionDataSourceSettings.azureEventHubs.eventHub ingestionDataSourceSettings.cloudStorage.bucket ingestionDataSourceSettings.confluentCloud.bootstrapServer 邮件/消息元数据 ackIds messages.attributes.key messages.attributes.value messages.messageId messages.orderingKey subscription 消息转换 messageTransforms.aiInference.endpoint messageTransforms.aiInference.unstructuredInference.parameters.fields.key messageTransforms.aiInference.unstructuredInference.parameters.fields.value.stringValue messageTransforms.schemaEncoding.firstRevisionId messageTransforms.schemaEncoding.lastRevisionId messageTransforms.schemaEncoding.schema 分页和过滤 filter pageToken 推送配置 cloudStorageConfig.filenamePrefix pubsubliteExportConfig.topic pushConfig.attributes.key pushConfig.attributes.value pushConfig.oidcToken.audience pushConfig.pushEndpoint 资源标识 name parent project schemaId subscription topic 架构定义 schema.definition schema.name schema.tags.key schema.tags.value tags.key tags.value 架构设置 schemaSettings.firstRevisionId schemaSettings.lastRevisionId schemaSettings.schema 订阅配置 bigqueryConfig.table cloudStorageConfig.bucket cloudStorageConfig.filenameDatetimeFormat cloudStorageConfig.filenameSuffix deadLetterPolicy.deadLetterTopic pubsubExportConfig.topic 主题配置 kmsKeyName labels.key labels.value revisionId snapshot updateMask.paths 参考 Assured Workloads 监控 Pub/Sub API 概览

后续步骤

• 详细了解 Google Cloud中的合规性。