Endpoints regionales de Security Command Center

Niveles de servicio Standard-legacy, Standard, Premium y Enterprise (requiere activación a nivel de la organización)

En este documento, se explica cómo trabajar con los recursos de Security Command Center cuando la residencia de datos está habilitada. Solo puedes habilitar la residencia de datos para Security Command Center cuando activas Security Command Center para una organización.

Recursos con controles de residencia de datos

Los siguientes tipos de recursos de Security Command Center están sujetos a controles de residencia de datos:

• Todos los recursos de Google Security Operations
• Configuraciones de BigQuery Export
• Configuraciones de exportación continua
• Resultados
• Configuraciones de reglas de silenciamiento

Para trabajar con estos recursos de forma programática o en la línea de comandos, debes usar los extremos regionales de la API de Security Command Center. Para trabajar con estos recursos en la Google Cloud consola, debes usar la consola Google Cloud jurisdiccional.

Para todos los demás tipos de recursos, usa los extremos predeterminados de la API y la Google Cloud consola.

Acerca de los extremos regionales

Los extremos regionales proporcionan acceso a los recursos en una ubicación específica. Cuando usas un extremo regional, tu solicitud se enruta directamente a la ubicación del extremo. No puedes usar un extremo regional para acceder a recursos en otras ubicaciones.

El uso de un extremo regional te ayuda a aplicar los controles de residencia de datos para tus recursos cuando están en reposo, en uso y en tránsito.

Security Command Center incluye varios servicios. Para los tipos de recursos que están sujetos a controles de residencia de datos, los siguientes servicios requieren que uses extremos regionales:

API de Security Command Center

securitycenter.LOCATION.rep.googleapis.com

Google SecOps

Consulta la documentación de referencia de Google SecOps.

Reemplaza LOCATION por una ubicación compatible con el servicio.

Para todos los demás tipos de recursos, debes usar el extremo predeterminado.

Acerca de la consola jurisdiccional Google Cloud

La consola jurisdiccional te permite habilitar la residencia de datos cuando activas Security Command Center. Google Cloud También proporciona acceso a los recursos en una ubicación específica.

El uso de la consola jurisdiccional Google Cloud te ayuda a aplicar los controles de residencia de datos para tus recursos cuando están en reposo, en uso y en tránsito.

Puedes usar la consola jurisdiccional Google Cloud para acceder solo a los tipos de recursos que están sujetos a controles de residencia de datos. Para abrir la consola, usa la URL adecuada para tu ubicación:

Unión Europea

Usuarios de identidad federada: console.eu.cloud.google

Todos los demás usuarios: console.eu.cloud.google.com

Reino de Arabia Saudita (KSA)

Usuarios de identidad federada: console.sa.cloud.google

Todos los demás usuarios: console.sa.cloud.google.com

Estados Unidos

Usuarios de identidad federada: console.us.cloud.google

Todos los demás usuarios: console.us.cloud.google.com

Para todos los demás tipos de recursos, debes usar la consola estándar Google Cloud .

Ubicaciones de los extremos regionales

En esta sección, se enumeran las ubicaciones en las que los extremos regionales están disponibles para la API de Security Command Center y los servicios relacionados.

Ubicaciones de la API de Security Command Center

La API de Security Command Center proporciona extremos regionales y multirregionales en las siguientes ubicaciones:

Unión Europea

eu

Reino de Arabia Saudita (KSA)

me-central2

Estados Unidos

us

Ubicaciones de AI Protection

Niveles de servicio Premium y Enterprise (requieren activación a nivel de la organización)

Para obtener el beneficio completo de AI Protection, las cargas de trabajo de IA deben estar en estas regiones:

Unión Europea

europe-west4: Países Bajos Bajo nivel de CO₂

Estados Unidos

us-central1: Iowa Bajo nivel de CO₂

us-east4: Virginia del Norte

us-west1: Oregón Bajo nivel de CO₂

AI Protection proporciona extremos multirregionales en las siguientes ubicaciones:

Unión Europea

eu

Estados Unidos

us

Nota: Para el nivel de servicio Premium, AI Protection admite la residencia de datos en Estados Unidos.

Las funciones disponibles varían según la región. Para saber qué funciones están disponibles o no en tu región, consulta la siguiente tabla.

Región	Notebook Security Scanner (versión preliminar)	Model Armor	Funciones no disponibles
us-east7	Sí	No	El modelo de Vertex AI no está protegido por Model Armor. Los resultados no están disponibles. Dos widgets de Model Armor no tienen datos disponibles.
europe-west1 europe-west2 asia-southeast1	No	Sí	Los resultados de vulnerabilidades de paquetes no están disponibles.
Otras regiones	No	No	El modelo de Vertex AI no está protegido por Model Armor. Los resultados no están disponibles. Dos widgets de Model Armor no tienen datos disponibles. Los resultados de vulnerabilidades de paquetes no están disponibles.

Ubicaciones de Google SecOps

Consulta la página de ubicaciones de Google SecOps.

Herramientas para extremos regionales

Para administrar los tipos de recursos que están sujetos a controles de residencia de datos, debes especificar un extremo regional cuando creas un cliente o ejecutas un comando.

Para todos los demás tipos de recursos, debes usar el extremo predeterminado.

Nota: Para Google SecOps, consulta la documentación de referencia de Google SecOps.

gcloud

Los siguientes grupos de comandos de gcloud CLI requieren que uses un extremo regional:

• gcloud scc bqexports: Administra las configuraciones de BigQuery Export
• gcloud scc findings: Administra los resultados
• gcloud scc muteconfigs: Administra las configuraciones de reglas de silenciamiento
• gcloud scc notifications: Administra las configuraciones de exportación continua

Para todos los demás grupos de comandos gcloud scc, debes usar el extremo predeterminado de la API de Security Command Center.

Cambia el extremo del servicio

Para cambiar a un extremo regional, ejecuta el siguiente comando:

gcloud config set api_endpoint_overrides/SERVICE \
    https://SERVICE.LOCATION.rep.googleapis.com/

Para cambiar al extremo predeterminado, ejecuta el siguiente comando:

gcloud config unset api_endpoint_overrides/SERVICE

Reemplaza lo siguiente:

• SERVICE: El servicio que se configurará; usa securitycenter para la API de Security Command Center
• LOCATION: una ubicación compatible con el servicio

De manera opcional, puedes crear una configuración con nombre para la gcloud CLI que use el extremo regional. Antes de ejecutar un comando de gcloud CLI, puedes cambiar a la configuración con nombre ejecutando el gcloud config configurations activate comando.

Ejecuta un comando de gcloud CLI

Cuando ejecutas un comando de gcloud CLI para la API de Security Command Center, siempre debes especificar la ubicación. Hay varias formas de hacerlo:

• Usa la marca --location.
• Si proporcionas la ruta de acceso completa del nombre del recurso, usa un formato que especifique una ubicación, como projects/123/sources/456/locations/LOCATION/findings/a1b2c3.

En el siguiente ejemplo, se muestra cómo usar la marca --location.

El gcloud scc findings list comando enumera los resultados de una organización en una ubicación específica.

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

• ORGANIZATION_ID: Es el ID numérico de la organización.
• LOCATION: Es una ubicación compatible con la API de Security Command Center.

Ejecuta el gcloud scc findings list comando:

Linux, macOS o Cloud Shell

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

Windows (PowerShell)

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

Windows (cmd.exe)

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

La respuesta contiene una lista de resultados.

Terraform

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform. Para obtener más información, consulta la documentación de referencia del proveedor de Terraform.

provider "google" {
  alias                              = "securitycenter_v2_endpoint_us"
  security_center_v2_custom_endpoint = "https://securitycenter.us.rep.googleapis.com/v2/"
}

Go

Usa uno de los siguientes extremos regionales:

API de Security Command Center

securitycenter.LOCATION.rep.googleapis.com:443

Reemplaza LOCATION por una ubicación compatible con el servicio.

En el siguiente muestra de código, se muestra cómo crear un cliente de la API de Security Command Center que usa un extremo regional.

import (
	"context"
	"fmt"

	securitycenter "cloud.google.com/go/securitycenter/apiv2"
	"google.golang.org/api/option"
)

// createClientWithEndpoint creates a Security Command Center client for a
// regional endpoint.
func createClientWithEndpoint(repLocation string) error {
	// Assemble the regional endpoint URL using provided location.
	repEndpoint := fmt.Sprintf("securitycenter.%s.rep.googleapis.com:443", repLocation)
	// Instantiate client for regional endpoint. Use this client to access resources that
	// are subject to data residency controls, and that are located in the region
	// specified in repLocation.
	repCtx := context.Background()
	repClient, err := securitycenter.NewClient(repCtx, option.WithEndpoint(repEndpoint))
	if err != nil {
		return err
	}
	defer repClient.Close()

	return nil
}

Java

Usa uno de los siguientes extremos regionales:

API de Security Command Center

securitycenter.LOCATION.rep.googleapis.com:443

Reemplaza LOCATION por una ubicación compatible con el servicio.

En el siguiente muestra de código, se muestra cómo crear un cliente de la API de Security Command Center que usa un extremo regional.

import com.google.cloud.securitycenter.v2.SecurityCenterClient;
import com.google.cloud.securitycenter.v2.SecurityCenterSettings;
import java.io.IOException;

public class CreateClientWithEndpoint {

  public static void main(String[] args) throws IOException {
    // TODO: Replace the value with the endpoint for the region in which your
    // Security Command Center data resides.
    String regionalEndpoint = "securitycenter.me-central2.rep.googleapis.com:443";
    SecurityCenterClient client = createClientWithEndpoint(regionalEndpoint);
    System.out.println("Client initiated with endpoint: " + client.getSettings().getEndpoint());
  }

  // Creates Security Command Center client for a regional endpoint.
  public static SecurityCenterClient createClientWithEndpoint(String regionalEndpoint)
      throws java.io.IOException {
    SecurityCenterSettings regionalSettings =
        SecurityCenterSettings.newBuilder().setEndpoint(regionalEndpoint).build();
    return SecurityCenterClient.create(regionalSettings);
  }
}

Python

Usa uno de los siguientes extremos regionales:

API de Security Command Center

securitycenter.LOCATION.rep.googleapis.com

Reemplaza LOCATION por una ubicación compatible con el servicio.

En el siguiente muestra de código, se muestra cómo crear un cliente de la API de Security Command Center que usa un extremo regional.

from google.cloud import securitycenter_v2


def create_client_with_endpoint(api_endpoint) -> securitycenter_v2.SecurityCenterClient:
    """
    Creates a Security Command Center client for a regional endpoint.
    Args:
        api_endpoint: the regional endpoint's hostname, like 'securitycenter.REGION.rep.googleapis.com'
    Returns:
        securitycenter_v2.SecurityCenterClient: returns a client for the regional endpoint
    """
    regional_client = securitycenter_v2.SecurityCenterClient(
        client_options={"api_endpoint": api_endpoint}
    )
    print(
        "Regional client initiated with endpoint: {}".format(
            regional_client.api_endpoint
        )
    )
    return regional_client

REST

Para acceder a los siguientes tipos de recursos de la API de REST, debes usar un extremo de servicio regional:

API de Security Command Center

Extremo: https://securitycenter.LOCATION.rep.googleapis.com

Reemplaza LOCATION por una ubicación compatible con el servicio.

Tipos de recursos:

• folders.locations.bigQueryExports
• folders.locations.findings
• folders.locations.muteConfigs
• folders.locations.notificationConfigs
• organizations.locations.bigQueryExports
• organizations.locations.findings
• organizations.locations.muteConfigs
• organizations.locations.notificationConfigs
• projects.locations.bigQueryExports
• projects.locations.findings
• projects.locations.muteConfigs
• projects.locations.notificationConfigs

Reemplaza LOCATION por una ubicación compatible con el servicio.

Para todos los demás tipos de recursos, debes usar el extremo predeterminado.