נקודות קצה גלובליות ואזוריות ל-Sensitive Data Protection

במסמך הזה מוסבר על סוגים שונים של נקודות קצה של API שזמינות ב-Sensitive Data Protection. במסמך הזה יש גם נקודות למחשבה שיעזרו לכם להחליט באיזה סוג של נקודת קצה להשתמש בבקשות שלכם ל-Sensitive Data Protection. מידע כללי על הסוגים השונים של נקודות קצה ל-API זמין במאמר Google Cloud סקירה כללית על נקודות קצה ל-API.

נקודת קצה ב-API (או נקודת קצה של שירות) היא כתובת URL בסיסית שמציינת את כתובת הרשת של שירות API של Google Cloud , כמו Sensitive Data Protection. ל-Sensitive Data Protection יש נקודות קצה גלובליות ואזוריות.

נקודת קצה גלובלית ל-API

נקודת הקצה הגלובלית של Sensitive Data Protection היא dlp.googleapis.com.

נקודות קצה בהיקף גלובלי מספקות נקודות קצה של שירותים עם זמינות גבוהה, שמסיימות את סשן ה-TLS קרוב ככל האפשר ללקוח, וכך מצמצמות את זמן האחזור כשמגישים קריאות API מאוכלוסיית לקוחות מפוזרת באינטרנט.

כששולחים בקשה לנקודת קצה גלובלית, אפשר לציין את המיקום שבו רוצים לעבד את הבקשה.

בקשות לנקודת קצה גלובלית ללא ציון מיקום

אם לא מציינים מיקום בבקשה, או אם מציינים את אזור global, הבקשה מעובדת באזור global. לדוגמה, אם שולחים בקשת POST לכתובת ה-URL הבאה, הבקשה נשלחת לנקודת הקצה הגלובלית ומעובדת באזור global.

https://dlp.googleapis.com/v2/projects/example-project/content:inspect

בקשות לנקודת קצה גלובלית עם מיקום שצוין

אם מציינים מיקום בבקשה לנקודת קצה גלובלית, הבקשה נשלחת לנקודת הקצה הגלובלית ומעובדת באזור או במספר אזורים שצוינו. לדוגמה, אם שולחים בקשת POST לכתובת ה-URL הבאה, הבקשה נשלחת לנקודת הקצה הגלובלית ומעובדת באזור us-west1.

https://dlp.googleapis.com/v2/projects/example-project/locations/us-west1/content:inspect

אין ערובה לכך שהנתונים במעבר יישארו באזור העיבוד שציינתם. אם אתם לא נדרשים לשמור נתונים במעבר באזור ספציפי, מספיק שתקראו לנקודת הקצה הגלובלית באופן הזה.

נקודות קצה אזוריות ל-API

נקודות קצה אזוריות מאפשרות לשמור נתונים במעבר באזור ספציפי. נקודת קצה אזורית מציינת את המיקום כתת-דומיין – לדוגמה, dlp.us-west1.rep.googleapis.com.

נקודת קצה אזורית של Sensitive Data Protection היא בפורמט הבא:

dlp.REGION.rep.googleapis.com

מחליפים את REGION בנקודת קצה אזורית שזמינה ל-Sensitive Data Protection.

נקודות קצה אזוריות מסיימות סשנים של TLS במיקום שצוין בנקודת הקצה עבור בקשות שהתקבלו מהאינטרנט הציבורי או מקישוריות פרטית.

נקודות קצה אזוריות מבטיחות מיקום של הנתונים בכך שהן מוודאות שהנתונים באחסון, בשימוש ובהעברה לא יוצאו מהמיקום שצוין בנקודת הקצה. האחריות הזו לא כוללת נתוני שירות. מידע נוסף זמין במאמר בנושא הערה על נתוני לקוחות ונתוני שירות.

בחירה בין נקודות קצה גלובליות ואזוריות

אם הארגון שלכם נדרש לשמור נתונים באחסון, בשימוש ובהעברה באזור מסוים, אתם צריכים להשתמש בנקודות קצה אזוריות. אם אתם לא נדרשים לשמור נתונים בהעברה באזור ספציפי, אתם יכולים להשתמש בנקודות קצה גלובליות.

נקודות קצה אזוריות נתמכות במספר מוגבל של מיקומים. רשימה מלאה של האזורים ומספר האזורים שבהם Sensitive Data Protection זמין מופיעה במאמר מיקומי Sensitive Data Protection.

בקטעים הבאים מתוארים תרחישי שימוש נפוצים לכל סוג של נקודת קצה.

מתי כדאי להשתמש בנקודות קצה אזוריות

הנה כמה תרחישי שימוש נפוצים:

  • אכיפה של מיקום אחסון הנתונים גיאוגרפי מחמיר: כדי לעמוד בדרישות של חוקים ותקנות מקומיים בנושא ריבונות הנתונים, צריך לוודא שנתוני הלקוחות באחסון, בשימוש ובמעבר אף פעם לא יוצאים מאזור ספציפי.
  • עמידה בדרישות של מסגרות רגולטוריות בתעשייה: עמידה בדרישות התאימות (כמו FedRAMP,‏ HIPAA או תקנות פיננסיות) כשעובדים עם Assured Workloads והגבלות על נקודות קצה ארגוניות.
  • מיקום משותף של עיבוד API עם משאבי ענן: העברת תנועת בדיקה לתשתית של נקודות קצה מקומיות באותו אזור שבו נמצאות קטגוריות Cloud Storage או מכונות Compute Engine.

מתי כדאי להשתמש בנקודת הקצה הגלובלית

הנה כמה תרחישי שימוש נפוצים:

  • צמצום זמן האחזור עבור לקוחות שמפוזרים גיאוגרפית: מאפשרים לתשתית הגלובלית של Google לסיים חיבורי TLS כמה שיותר קרוב ללקוח, עבור עומסי עבודה שמפוזרים גלובלית.
  • טיפול בעומסי עבודה של ממשקי API עם תפוקה גבוהה: כשהתנועה חורגת מהמגבלות של נקודת קצה אזורית, אפשר להשתמש במכסות ברירת מחדל גבוהות יותר של בקשות שמוקצות לנקודת הקצה הגלובלית.
  • עיבוד של מערכי נתונים גלובליים או של מערכי נתונים במספר אזורים: בדיקה של מטענים ייעודיים (payloads) שלא חלים עליהם מגבלות של מיקום אחסון הנתונים באזור יחיד.

שיקולים אדריכליים

כשמגדירים נקודות קצה, כדאי להביא בחשבון את הגורמים הבאים:

  • נקודות קצה אזוריות נתמכות במספר מוגבל של מיקומים. רשימה מלאה של האזורים ומספר האזורים שבהם Sensitive Data Protection זמין מופיעה במאמר מיקומי Sensitive Data Protection.

  • ל-Sensitive Data Protection יש קבוצות נפרדות של מיכסות לכל אחד מהרכיבים הבאים:

    • בקשות לנקודת הקצה הגלובלית ללא ציון מיקום (מעובדות באזור global)
    • בקשות לנקודת הקצה הגלובלית שבה צוין מיקום עיבוד (העיבוד מתבצע באזור שצוין)
    • בקשות לנקודות קצה אזוריות

    המכסות של נקודות קצה אזוריות נמוכות יותר מהמכסות של שתי האפשרויות האחרות.

  • אם אפליקציית הלקוח שלכם מוגדרת לשימוש בנקודות קצה גלובליות ואתם רוצים להתחיל להשתמש בנקודות קצה אזוריות, אתם צריכים להגדיר את אפליקציית הלקוח כך שתציין את האזור או את האזור הגיאוגרפי שכולל מספר אזורים בשם המארח ובנתיב של כל שם מארח שבו אתם משתמשים בבקשות. מידע נוסף זמין במאמר ציון אזור בבקשה לנקודת קצה אזורית.

הגבלת השימוש בנקודת קצה ל-API גלובלית

כדי לאכוף את השימוש בנקודות קצה אזוריות, אפשר להשתמש באילוץ constraints/gcp.restrictEndpointUsage של כלל מדיניות של הארגון כדי לחסום בקשות לנקודת קצה ל-API הגלובלית. מידע נוסף זמין במאמר הגבלת השימוש בנקודות קצה במסמכי העזרה של Assured Workloads.

המאמרים הבאים