Sensitive Data Protection のグローバル エンドポイントとリージョン エンドポイント

このドキュメントでは、Sensitive Data Protection で使用できるさまざまなタイプの API エンドポイントについて説明します。また、このドキュメントでは、Sensitive Data Protection リクエストで使用するエンドポイント タイプを決定する際に考慮すべき点についても説明します。さまざまなタイプの API エンドポイントに関する一般的な情報については、Google Cloud API エンドポイントの概要をご覧ください。

API エンドポイント（またはサービス エンドポイント）は、Sensitive Data Protection などの Google Cloud API サービスのネットワーク アドレスを指定するベース URL です。Sensitive Data Protection には、グローバル エンドポイントとリージョン エンドポイントがあります。

グローバル API エンドポイント

Sensitive Data Protection のグローバル エンドポイントは dlp.googleapis.com です。

グローバル スコープのエンドポイントは、可能な限りクライアントに近い場所で TLS セッションを終端する高可用性サービス エンドポイントを提供します。これにより、分散したクライアント群からのインターネット経由での API 呼び出しを処理する際のレイテンシを最小限に抑えることができます。

グローバル エンドポイントにリクエストを送信するときに、リクエストを処理するロケーションを指定できます。

ロケーションが指定されていないグローバル エンドポイントへのリクエスト

リクエストでロケーションを指定しない場合、または global リージョンを指定した場合、リクエストは global リージョンで処理されます。たとえば、次の URL に POST リクエストを送信すると、リクエストはグローバル エンドポイントに送信され、global リージョンで処理されます。

https://dlp.googleapis.com/v2/projects/example-project/content:inspect

ロケーションが指定されたグローバル エンドポイントへのリクエスト

グローバル エンドポイントへのリクエストでロケーションを指定すると、リクエストはグローバル エンドポイントに送信され、指定したリージョンまたはマルチリージョンで処理されます。たとえば、次の URL に POST リクエストを送信すると、リクエストはグローバル エンドポイントに送信され、us-west1 リージョンで処理されます。

https://dlp.googleapis.com/v2/projects/example-project/locations/us-west1/content:inspect

転送中のデータが指定した処理リージョンに残る保証はありません。転送中のデータを特定のリージョン内に保持する必要がない場合は、この方法でグローバル エンドポイントを呼び出すだけで十分です。

リージョン API エンドポイント

リージョン エンドポイントを使用すると、転送中のデータを特定のリージョン内に保持できます。リージョン エンドポイントは、ロケーションをサブドメインとして指定します（例: dlp.us-west1.rep.googleapis.com）。

Sensitive Data Protection のリージョン エンドポイントは次の形式になります。

dlp.REGION.rep.googleapis.com

REGION は、Sensitive Data Protection で使用可能なリージョン エンドポイントに置き換えます。

リージョン エンドポイントは、パブリック インターネットまたはプライベート接続から受信したリクエストに対して、エンドポイントで指定されたロケーションで TLS セッションを終端します。

リージョン エンドポイントは、保存中、使用中、転送中のデータがエンドポイントで指定されたロケーションから移動しないようにすることで、データ所在地を保証します。この保証にはサービスデータは含まれません。詳細については、顧客データとサービスデータに関する注意事項をご覧ください。

グローバル エンドポイントとリージョン エンドポイントのどちらかを選択する

組織が保存データ、使用中のデータ、転送中のデータを特定のリージョン内に保持する必要がある場合は、リージョン エンドポイントを使用する必要があります。転送中のデータを特定のリージョン内に保持する必要がない場合は、グローバル エンドポイントを使用できます。

リージョン エンドポイントは、一部のロケーションでのみサポートされています。Sensitive Data Protection を利用できるリージョンとマルチリージョンの完全なリストについては、Sensitive Data Protection のロケーションをご覧ください。

以降のセクションでは、各タイプのエンドポイントの一般的なユースケースについて説明します。

リージョン エンドポイントを使用する場合

一般的なユースケースは次のとおりです。

  • 厳格な地理的データ所在地を適用する: 地域のデータ主権に関する法律や規制を満たすため、保存データ、使用中のデータ、転送中のデータが特定のリージョンを離れないようにします。
  • 規制対象の業界フレームワークに準拠する: Assured Workloads と組織のエンドポイント制限を使用する際に、コンプライアンス要件（FedRAMP、HIPAA、金融規制など）を満たします。
  • API 処理をクラウド リソースと同じ場所に配置する: Cloud Storage バケットまたは Compute Engine インスタンスが存在する同じリージョン内のローカル エンドポイント インフラストラクチャに検査トラフィックを転送します。

グローバル エンドポイントを使用する場合

一般的なユースケースは次のとおりです。

  • 地理的に分散したクライアントのレイテンシを最小限に抑える: グローバルに分散されたワークロードで、Google のグローバル エッジ インフラストラクチャがクライアントの近くで TLS 接続を終端できるようにします。
  • 高スループット API ワークロードを処理する: トラフィックがリージョン エンドポイントの制限を超えた場合は、グローバル エンドポイントに割り当てられたデフォルトのリクエスト割り当てを増やします。
  • マルチリージョンまたはグローバル データセットを処理する: 単一リージョンのデータ所在地制約がないペイロードを検査します。

アーキテクチャに関する注意事項

エンドポイントを構成する際は、次の要素を考慮してください。

  • リージョン エンドポイントは、一部のロケーションでのみサポートされています。Sensitive Data Protection を利用できるリージョンとマルチリージョンの完全なリストについては、Sensitive Data Protection のロケーションをご覧ください。

  • Sensitive Data Protection には、次のものに対して個別の割り当てがあります。

    • ロケーションが指定されていないグローバル エンドポイントへのリクエスト（global リージョンで処理）
    • 処理ロケーションが指定されたグローバル エンドポイントへのリクエスト（指定されたリージョンで処理）
    • リージョン エンドポイントへのリクエスト

    リージョン エンドポイントの割り当ては、他の 2 つの割り当てよりも低くなります。

  • クライアント アプリケーションがグローバル エンドポイントを使用するように構成されていて、リージョン エンドポイントの使用を開始する場合は、リクエストで使用する各ホスト名のサブドメインとパスでリージョンまたはマルチリージョンを指定するようにクライアント アプリケーションを構成する必要があります。詳細については、リージョン エンドポイントへのリクエストでリージョンを指定するをご覧ください。

グローバル API エンドポイントの使用を制限する

リージョナル エンドポイントの使用を強制するには、constraints/gcp.restrictEndpointUsage 組織のポリシーの制約を使用して、グローバル API エンドポイントへのリクエストをブロックします。詳細については、Assured Workloads のドキュメントのエンドポイントの使用を制限するをご覧ください。

次のステップ