Assistance réglementaire dans Pub/Sub

Ce document décrit les fonctionnalités, les configurations et les API de Pub/Sub qui sont conformes aux commandes des packages de contrôle compatibles. Nous partons ici du principe que vous utilisez Assured Workloads.

Périmètre de données pour le niveau d'impact élevé du FedRAMP

Services compatibles

Le tableau suivant répertorie les API et les versions de Pub/Sub qui répondent aux exigences du périmètre de données pour le niveau d'impact élevé du FedRAMP.

Service Version État
pubsub.googleapis.com v1 COMPATIBLE

Régions compatibles avec la conformité

Pub/Sub est disponible pour le périmètre de données pour le niveau d'impact élevé du FedRAMP dans les Google Cloud régions suivantes :

  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4

Outils de gestion

Le tableau suivant décrit comment les outils de gestion sont compatibles avec le périmètre de données pour le niveau d'impact élevé du FedRAMP avec Pub/Sub.

Outil Description
Google Cloud SDK Vous devez utiliser Google Cloud SDK version 403.0.0 ou ultérieure pour vous assurer de la régionalisation des données techniques FedRAMP au niveau d'impact élevé. Pour vérifier votre version actuelle de Google Cloud SDK, exécutez gcloud --version, puis gcloud components update pour passer à la dernière version.
Commandes d'administration Par défaut, les API non conformes sont désactivées. Toutefois, les administrateurs disposant des autorisations suffisantes peuvent activer une API non conforme. Lorsque des API non conformes sont activées, vous recevez une notification sur la page de surveillance Assured Workloads.

Fonctionnalités concernées

Le tableau suivant décrit les fonctionnalités concernées par le périmètre de données pour le niveau d'impact élevé du FedRAMP :

Fonctionnalité Description
Transformations de message unique (SMT) Cette fonctionnalité n'est pas compatible avec la conformité FedRAMP au niveau d'impact élevé et ne doit pas être utilisée. Elle est désactivée par défaut dans les dossiers Assured Workloads.

Paramètres applicables

Le tableau suivant décrit les contraintes liées aux règles d'administration et les paramètres de produit qui s'appliquent au périmètre de données pour le niveau d'impact élevé du FedRAMP. Par défaut, ils sont définis par Assured Workloads. Si vous modifiez ces paramètres, vous devez d'abord tenir compte de l'impact de cette modification sur votre état de conformité. Pour savoir comment configurer des règles d'administration, consultez la section Création et gestion des règles d'administration.

Paramètre Valeur requise
pubsub.managed.disableTopicMessageTransforms
  • True
pubsub.managed.disableSubscriptionMessageTransforms
  • True

Champs d'API pour les données sensibles

Ressource : aucune ressource

Le tableau suivant spécifie les ressources et les champs d'API conçus pour gérer les données protégées par le périmètre de données pour le niveau d'impact élevé du FedRAMP.

Méthode API Champs protégés

Service: pubsub.googleapis.com

API REST : POST /v1/{project=projects/*}:testMessageTransforms

Méthodes RPC :

  • google.pubsub.v1.Transform.TestMessageTransforms
  • message.data

Ressource : pubsub.googleapis.com/Topic

Le tableau suivant spécifie les ressources et les champs d'API conçus pour gérer les données protégées par le périmètre de données pour le niveau d'impact élevé du FedRAMP.

Méthode API Champs protégés

Service: pubsub.googleapis.com

API REST : POST /v1/{topic=projects/*/topics/*}:publish

Méthodes RPC :

  • google.pubsub.v1.Publisher.Publish
  • messages.data

Champs non destinés aux données sensibles

Le tableau suivant fournit une liste illustrative des catégories de champs et des champs spécifiques qui ne conviennent pas aux informations sensibles. Pour rester conforme, évitez de placer des données protégées dans ces champs. Pour obtenir la liste complète, contactez votre représentant Google Cloud.

Catégorie Champs
Source d'ingestion des données
  • ingestionDataSourceSettings.awsKinesis.streamArn
  • ingestionDataSourceSettings.awsMsk.clusterArn
  • ingestionDataSourceSettings.awsMsk.gcpServiceAccount
  • ingestionDataSourceSettings.azureEventHubs.eventHub
  • ingestionDataSourceSettings.cloudStorage.bucket
  • ingestionDataSourceSettings.confluentCloud.bootstrapServer
Métadonnées des messages
  • ackIds
  • messages.attributes.key
  • messages.attributes.value
  • messages.messageId
  • messages.orderingKey
  • subscription
Transformation des messages
  • messageTransforms.aiInference.endpoint
  • messageTransforms.aiInference.unstructuredInference.parameters.fields.key
  • messageTransforms.aiInference.unstructuredInference.parameters.fields.value.stringValue
  • messageTransforms.schemaEncoding.firstRevisionId
  • messageTransforms.schemaEncoding.lastRevisionId
  • messageTransforms.schemaEncoding.schema
Pagination et filtrage
  • filter
  • pageToken
Configuration push
  • cloudStorageConfig.filenamePrefix
  • pubsubliteExportConfig.topic
  • pushConfig.attributes.key
  • pushConfig.attributes.value
  • pushConfig.oidcToken.audience
  • pushConfig.pushEndpoint
Identification des ressources
  • name
  • parent
  • project
  • schemaId
  • subscription
  • topic
Définition du schéma
  • schema.definition
  • schema.name
  • schema.tags.key
  • schema.tags.value
  • tags.key
  • tags.value
Paramètres des schémas
  • schemaSettings.firstRevisionId
  • schemaSettings.lastRevisionId
  • schemaSettings.schema
Configuration des abonnements
  • bigqueryConfig.table
  • cloudStorageConfig.bucket
  • cloudStorageConfig.filenameDatetimeFormat
  • cloudStorageConfig.filenameSuffix
  • deadLetterPolicy.deadLetterTopic
  • pubsubExportConfig.topic
Configuration des sujets
  • kmsKeyName
  • labels.key
  • labels.value
  • revisionId
  • snapshot
  • updateMask.paths

Références

Étape suivante