Globale und regionale Endpunkte für den Schutz sensibler Daten

In diesem Dokument werden die verschiedenen Arten von API-Endpunkten beschrieben, die mit Sensitive Data Protection verfügbar sind. Außerdem enthält es Überlegungen, die Sie bei der Entscheidung berücksichtigen sollten, welcher Endpunkttyp in Ihren Sensitive Data Protection-Anfragen verwendet werden soll. Allgemeine Informationen zu den verschiedenen Arten von API-Endpunkten finden Sie unter Google Cloud API-Endpunkt – Übersicht.

Ein API-Endpunkt (oder Dienstendpunkt) ist eine Basis-URL, die die Netzwerkadresse eines Google Cloud API-Dienstes wie Sensitive Data Protection angibt. Sensitive Data Protection hat globale und regionale Endpunkte.

Globaler API-Endpunkt

Der globale Endpunkt von Sensitive Data Protection ist dlp.googleapis.com.

Global ausgerichtete Endpunkte bieten hochverfügbare Dienstendpunkte, die die TLS-Sitzung so nah wie möglich am Client beenden. Dadurch wird die Latenz minimiert, wenn API-Aufrufe von einer verteilten Clientpopulation über das Internet bereitgestellt werden.

Wenn Sie eine Anfrage an einen globalen Endpunkt senden, können Sie den Standort angeben, an dem die Anfrage verarbeitet werden soll.

Anfragen an einen globalen Endpunkt ohne Angabe eines Standorts

Wenn Sie in Ihrer Anfrage keinen Standort angeben oder die Region global angeben, wird die Anfrage in der Region global verarbeitet. Wenn Sie beispielsweise eine POST-Anfrage an die folgende URL senden, wird die Anfrage an den globalen Endpunkt gesendet und in der Region global verarbeitet.

https://dlp.googleapis.com/v2/projects/example-project/content:inspect

Anfragen an einen globalen Endpunkt mit Angabe eines Standorts

Wenn Sie in Ihrer Anfrage an einen globalen Endpunkt einen Standort angeben, wird die Anfrage an den globalen Endpunkt gesendet und in der von Ihnen angegebenen Region oder Multiregion verarbeitet. Wenn Sie beispielsweise eine POST-Anfrage an die folgende URL senden, wird die Anfrage an den globalen Endpunkt gesendet und in der Region us-west1 verarbeitet.

https://dlp.googleapis.com/v2/projects/example-project/locations/us-west1/content:inspect

Es gibt keine Garantie dafür, dass die Daten bei der Übertragung in der von Ihnen angegebenen Verarbeitungsregion verbleiben. Wenn Sie Daten bei der Übertragung nicht in einer bestimmten Region aufbewahren müssen, reicht es aus, den globalen Endpunkt auf diese Weise aufzurufen.

Regionale API-Endpunkte

Mit regionalen Endpunkten können Sie dafür sorgen, dass Daten bei der Übertragung in einer bestimmten Region bleiben. Bei einem regionalen Endpunkt wird der Standort als Subdomain angegeben, z. B. dlp.us-west1.rep.googleapis.com.

Ein regionaler Endpunkt für Sensitive Data Protection hat das folgende Format:

dlp.REGION.rep.googleapis.com

Ersetzen Sie REGION durch einen regionalen Endpunkt, der für Sensitive Data Protection verfügbar ist.

Regionale Endpunkte beenden TLS-Sitzungen an dem vom Endpunkt angegebenen Standort für Anfragen aus dem öffentlichen Internet oder über private Verbindungen.

Regionale Endpunkte stellen den Datenstandort sicher, indem inaktive, verwendete und übertragene Daten nicht aus dem vom Endpunkt angegebenen Standort verschoben werden können. Diese Garantie schließt Dienstdaten aus. Weitere Informationen finden Sie unter Hinweis zu Kundendaten und Dienstdaten.

Zwischen globalen und regionalen Endpunkten wählen

Wenn Ihre Organisation verpflichtet ist, ruhende, verwendete und übertragene Daten in einer bestimmten Region zu speichern, müssen Sie regionale Endpunkte verwenden. Wenn Sie nicht verpflichtet sind, Daten bei der Übertragung in einer bestimmten Region zu speichern, können Sie globale Endpunkte verwenden.

Regionale Endpunkte werden nur an einer begrenzten Anzahl von Standorten unterstützt. Eine vollständige Liste der Regionen und Multiregionen, in denen Sensitive Data Protection verfügbar ist, finden Sie unter Standorte für Sensitive Data Protection.

In den folgenden Abschnitten werden gängige Anwendungsfälle für jeden Endpunkttyp beschrieben.

Wann sollten regionale Endpunkte verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Strikten geografischen Datenstandort erzwingen: Sorgen Sie dafür, dass inaktive, verwendete und übertragene Kundendaten niemals eine bestimmte Region verlassen, um lokale Gesetze und Verordnungen zur Datenhoheit einzuhalten.
  • Einhaltung von Frameworks für regulierte Branchen: Erfüllen Sie Compliance-Anforderungen (z. B. FedRAMP, HIPAA oder Finanzvorschriften), wenn Sie mit Assured Workloads und Einschränkungen für Organisationsendpunkte arbeiten.
  • API-Verarbeitung mit Cloud-Ressourcen zusammenlegen: Leiten Sie den Prüfverkehr an die lokale Endpunktinfrastruktur in derselben Region weiter, in der sich Ihre Cloud Storage-Buckets oder Compute Engine-Instanzen befinden.

Wann sollte der globale Endpunkt verwendet werden?

Im Folgenden sind einige gängige Anwendungsfälle aufgeführt:

  • Latenz für geografisch verteilte Clients minimieren: Lassen Sie die TLS-Verbindungen für global verteilte Arbeitslasten so nah wie möglich am Client über die globale Edge-Infrastruktur von Google beenden.
  • API-Arbeitslasten mit hohem Durchsatz verarbeiten: Verwenden Sie höhere Standardkontingente für Anfragen, die dem globalen Endpunkt zugewiesen sind, wenn der Traffic die Grenzwerte für regionale Endpunkte überschreitet.
  • Multiregionale oder globale Datasets verarbeiten: Nutzlasten prüfen, die keine Einschränkungen für den Datenstandort in einer einzelnen Region haben.

Hinweise zur Architektur

Berücksichtigen Sie beim Konfigurieren von Endpunkten die folgenden Faktoren:

  • Regionale Endpunkte werden nur an einer begrenzten Anzahl von Standorten unterstützt. Eine vollständige Liste der Regionen und Multiregionen, in denen Sensitive Data Protection verfügbar ist, finden Sie unter Standorte für Sensitive Data Protection.

  • Für Sensitive Data Protection gelten separate Kontingente für Folgendes:

    • Anfragen an den globalen Endpunkt ohne Angabe eines Standorts (Verarbeitung in der Region global)
    • Anfragen an den globalen Endpunkt, bei denen ein Verarbeitungsstandort angegeben ist (Verarbeitung in der angegebenen Region)
    • Anfragen an regionale Endpunkte

    Die Kontingente für regionale Endpunkte sind niedriger als die Kontingente für die anderen beiden.

  • Wenn Ihre Clientanwendung für die Verwendung globaler Endpunkte konfiguriert ist und Sie regionale Endpunkte verwenden möchten, müssen Sie Ihre Clientanwendung so konfigurieren, dass die Region oder die Regionen mit mehreren Standorten im Subdomain- und Pfadteil jedes Hostnamens angegeben werden, den Sie in Ihren Anfragen verwenden. Weitere Informationen finden Sie unter Region in einer Anfrage an einen regionalen Endpunkt angeben.

Nutzung globaler API-Endpunkte einschränken

Um die Verwendung regionaler Endpunkte zu erzwingen, können Sie die Einschränkung der Organisationsrichtlinie constraints/gcp.restrictEndpointUsage verwenden, um Anfragen an den globalen API-Endpunkt zu blockieren. Weitere Informationen finden Sie in der Assured Workloads-Dokumentation unter Endpunktnutzung einschränken.

Nächste Schritte