Globale und regionale Endpunkte für den Schutz sensibler Daten

In diesem Dokument werden die verschiedenen Arten von API-Endpunkten beschrieben, die mit Sensitive Data Protection verfügbar sind. Außerdem werden Punkte aufgeführt, die Sie bei der Entscheidung berücksichtigen sollten, welcher Endpunkttyp in Ihren Sensitive Data Protection-Anfragen verwendet werden soll. Allgemeine Informationen zu den verschiedenen Arten von API-Endpunkten finden Sie unter Google Cloud Übersicht über API-Endpunkte.

Ein API-Endpunkt (oder Dienstendpunkt) ist eine Basis-URL, die die Netzwerk adresse eines Google Cloud API-Dienstes wie Sensitive Data Protection angibt. Sensitive Data Protection hat globale und regionale Endpunkte.

Globaler API-Endpunkt

Der globale Endpunkt von Sensitive Data Protection ist dlp.googleapis.com.

Global ausgerichtete Endpunkte bieten hochverfügbare Dienstendpunkte, die die TLS-Sitzung so nah wie möglich am Client beenden. Dadurch wird die Latenz minimiert, wenn API-Aufrufe von einer verteilten Clientpopulation über das Internet bereitgestellt werden.

Wenn Sie eine Anfrage an einen globalen Endpunkt senden, können Sie den Standort angeben, an dem die Anfrage verarbeitet werden soll.

Anfragen an einen globalen Endpunkt ohne Angabe eines Standorts

Wenn Sie in Ihrer Anfrage keinen Standort angeben oder die Region global angeben, wird die Anfrage in der Region global verarbeitet. Wenn Sie beispielsweise eine POST-Anfrage an die folgende URL senden, wird die Anfrage an den globalen Endpunkt gesendet und in der Region global verarbeitet.

https://dlp.googleapis.com/v2/projects/example-project/content:inspect

Anfragen an einen globalen Endpunkt mit Angabe eines Standorts

Wenn Sie in Ihrer Anfrage an einen globalen Endpunkt einen Standort angeben, wird die Anfrage an den globalen Endpunkt gesendet und in der von Ihnen angegebenen Region oder Multiregion verarbeitet. Wenn Sie beispielsweise eine POST-Anfrage an die folgende URL senden, wird die Anfrage an den globalen Endpunkt gesendet und in der Region us-west1 verarbeitet.

https://dlp.googleapis.com/v2/projects/example-project/locations/us-west1/content:inspect

Es gibt keine Garantie dafür, dass die Daten bei der Übertragung in der von Ihnen angegebenen Verarbeitungsregion bleiben. Wenn Sie Daten bei der Übertragung nicht in einer bestimmten Region aufbewahren müssen, reicht es aus, den globalen Endpunkt auf diese Weise aufzurufen.

Regionale API-Endpunkte

Mit regionalen Endpunkten können Sie Daten bei der Übertragung in einer bestimmten Region aufbewahren. Ein regionaler Endpunkt gibt den Standort als Subdomain an, z. B. dlp.us-west1.rep.googleapis.com.

Ein regionaler Endpunkt für Sensitive Data Protection hat folgendes Format:

dlp.REGION.rep.googleapis.com

Ersetzen Sie REGION durch einen regionalen Endpunkt, der für Sensitive Data Protection verfügbar ist.

Regionale Endpunkte beenden TLS-Sitzungen an dem vom Endpunkt angegebenen Standort für Anfragen aus dem öffentlichen Internet oder von privaten Verbindungen.

Regionale Endpunkte stellen den Datenstandort sicher, indem inaktive, verwendete und übertragene Daten nicht aus dem vom Endpunkt angegebenen Standort verschoben werden können. Diese Garantie gilt nicht für Dienstdaten. Weitere Informationen finden Sie unter Hinweis zu Kundendaten und Dienst daten.

Zwischen globalen und regionalen Endpunkten wählen

Berücksichtigen Sie bei der Auswahl zwischen globalen und regionalen Endpunkten Folgendes:

  • Wenn Ihre Organisation inaktive, verwendete und übertragene Daten in einer bestimmten Region aufbewahren muss, müssen Sie regionale Endpunkte verwenden. Wenn Sie Daten bei der Übertragung nicht in einer bestimmten Region aufbewahren müssen, können Sie globale Endpunkte verwenden.

  • Regionale Endpunkte werden nur an einer begrenzten Anzahl von Standorten unterstützt. Eine vollständige Liste der Regionen und Multiregionen, in denen Sensitive Data Protection verfügbar ist, finden Sie unter Standorte für Sensitive Data Protection.

  • Für Sensitive Data Protection gibt es separate Kontingente für Folgendes:

    • Anfragen an den globalen Endpunkt ohne Angabe eines Standorts (in der Region global verarbeitet)
    • Anfragen an den globalen Endpunkt, bei denen ein Verarbeitungsstandort angegeben ist (in der angegebenen Region verarbeitet)
    • Anfragen an regionale Endpunkte

    Die Kontingente für regionale Endpunkte sind niedriger als die Kontingente für die anderen beiden.

  • Wenn Ihre Clientanwendung für die Verwendung globaler Endpunkte konfiguriert ist und Sie regionale Endpunkte verwenden möchten, müssen Sie Ihre Clientanwendung so konfigurieren, dass die Region oder Multiregion in der Subdomain und im Pfad jedes Hostnamens angegeben wird, den Sie in Ihren Anfragen verwenden. Weitere Informationen finden Sie unter Region in einer Anfrage an einen regionalen Endpunkt angeben.

Nutzung globaler API-Endpunkt einschränken

Um die Verwendung regionaler Endpunkte zu erzwingen, können Sie die Einschränkung der Organisationsrichtlinie constraints/gcp.restrictEndpointUsage verwenden, um Anfragen an den globalen API-Endpunkt zu blockieren. Weitere Informationen finden Sie unter Endpunktnutzung einschränken in der Dokumentation zu Assured Workloads.

Nächste Schritte