このページでは、パートナーによる主権管理の CNTXT フォルダのサウジアラビア王国データ境界基盤に適用される一連のコントロールについて説明します。サポートされている Google Cloud プロダクトとその API エンドポイント、およびそれらのプロダクトに適用される制限事項に関する詳細情報が提供されます。
このサービスの詳細については、CNTXT サイトの CNTXT によるサウジアラビア王国のデータ境界基盤をご覧ください。
サポートされているプロダクトと API エンドポイント
サポートされているプロダクトの機能に影響する制限事項（組織のポリシーの制約設定によって適用されるものを含む）は、次の表に記載されています。プロダクトがリストにない場合、そのプロダクトはサポートされておらず、CNTXT によるサウジアラビア王国データ境界基盤の制御要件を満たしていません。デュー デリジェンスと責任共有モデルにおける責任の十分な理解がなければ、サポート対象外のプロダクトを使用することはおすすめしません。サポートされていないプロダクトを使用する前に、データ所在地やデータ主権への悪影響など、関連するリスクを認識し、受け入れることを確認してください。
API オペレーションで顧客データとやり取りするサービスは、リージョン API エンドポイントを提供します。これらは、CNTXT のサウジアラビア王国データ境界基盤でサービスのグローバル API エンドポイントの代わりに使用する必要があります。API オペレーションで顧客データとやり取りしないサービスの場合、グローバル API エンドポイントの使用が許可されます。詳細については、Assured Workloads のデータ所在地のページをご覧ください。
| サポートされているサービス | API エンドポイント | 制限事項 |
|---|---|---|
| アクセスの透明性 |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Artifact Registry |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
なし |
| BigQuery |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
影響を受ける機能 |
| Bigtable |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
影響を受ける機能 |
| Compute Engine |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能と組織のポリシーの制約 |
| Sensitive Data Protection |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
なし |
| Dataflow |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
なし |
| Dataplex Universal Catalog |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
影響を受ける機能 |
| Dataproc |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
影響を受ける機能 |
| Cloud DNS |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| 重要な連絡先 |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Filestore |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud Next Generation Firewall |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Google Cloud Armor |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能 |
| Identity and Access Management（IAM） |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Identity-Aware Proxy |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud Key Management Service（Cloud KMS） |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
組織ポリシーの制約 |
| Cloud HSM |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
なし |
| Cloud External Key Manager（Cloud EKM） |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
なし |
| Google Kubernetes Engine |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能と組織のポリシーの制約 |
| GKE Hub |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud Load Balancing |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能 |
| Cloud Logging |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
影響を受ける機能 |
| Cloud Monitoring |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能 |
| Network Connectivity Center |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud NAT |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud Router |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud Interconnect |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能 |
| 組織ポリシー サービス |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Persistent Disk |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Pub/Sub |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
なし |
| Resource Manager |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud Run |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能 |
| Secret Manager |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
なし |
| Service Directory |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Spanner |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
影響を受ける機能と組織のポリシーの制約 |
| Cloud SQL |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
影響を受ける機能と組織のポリシーの制約 |
| Cloud Storage |
リージョン API エンドポイント:
グローバル API エンドポイント:
|
組織ポリシーの制約 |
| Virtual Private Cloud |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| VPC Service Controls |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud VPN |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Firebase セキュリティ ルール |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Cloud Workstations |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
| Secure Source Manager |
リージョン API エンドポイントはサポートされていません。 グローバル API エンドポイント:
|
なし |
制限事項
以降のセクションでは、クラウド全体またはプロダクト固有の制限、または機能の制限について説明します。これには、CNTXT フォルダのサウジアラビア王国データ境界基盤にデフォルトで設定されている組織ポリシーの制約も含まれます。
Google Cloud幅
影響を受ける Google Cloud全体の機能
| 機能 | 説明 |
|---|---|
| Google Cloud コンソール | CNTXT のサウジアラビア王国データ境界基盤のコントロール パッケージを使用するときに Google Cloud コンソールにアクセスするには、次のいずれかの URL を使用する必要があります。
|
Google Cloud全体の組織ポリシー制約
次の組織のポリシーの制約は、 Google Cloud全体に適用されます。
| 組織のポリシーの制約 | 説明 |
|---|---|
gcp.resourceLocations |
allowedValues リストの次の場所に設定します。
制限を緩くしてこの値を変更すると、準拠したデータ境界外でデータを作成または保存できるようになるため、データ所在地が損なわれる可能性があります。 |
gcp.restrictNonCmekServices |
対象範囲内のすべての API サービス名のリストに設定します。次に例を示します。
各サービスには、顧客管理の暗号鍵（CMEK）が必要です。CMEK は、Google のデフォルトの暗号化メカニズムではなく、ユーザーが管理している鍵で保存データを暗号化します。 リストから 1 つ以上の対象サービスを削除してこの値を変更すると、データ主権が損なわれる可能性があります。新しい保管中のデータは、ユーザーではなく Google 独自の鍵を使用して自動的に暗号化されるためです。既存の保存データは、指定した鍵によって暗号化されます。 |
gcp.restrictServiceUsage |
すべてのサポートされているプロダクトと API エンドポイントを許可するように設定します。 リソースへのランタイム アクセスを制限することで、使用できるサービスを決定します。詳細については、リソース使用量の制限をご覧ください。 |
gcp.restrictTLSVersion |
次の TLS バージョンを拒否するように設定します。
|
BigQuery
影響を受ける BigQuery の機能
| 機能 | 説明 |
|---|---|
| 新しいフォルダで BigQuery を有効にする | BigQuery はサポートされていますが、内部構成プロセスにより、Assured Workloads フォルダ新規作成時には自動的には有効になりません。通常、このプロセスは 10 分で完了しますが、状況によってはさらに時間がかかることもあります。プロセスが完了したかどうかを確認し、BigQuery を有効にするには、次の操作を行います。
有効化プロセスが完了すると、Assured Workloads フォルダで BigQuery を使用できるようになります。 Gemini in BigQuery は Assured Workloads ではサポートされていません。 |
| 対応していない機能 | 次の BigQuery 機能はサポートされていないため、BigQuery CLI では使用しないでください。パートナーによる主権管理に対して、これらを BigQuery で使用しないようにすることはお客様の責任です。
|
| サポートされていない統合 | 次の BigQuery 統合はサポートされていません。パートナーによる主権管理に対して、これらを BigQuery で使用しないようにすることはお客様の責任です。
|
| サポートされている BigQuery API | 次の BigQuery API がサポートされています。 |
| BigQuery CLI | BigQuery CLI がサポートされています。
|
| Google Cloud SDK | テクニカル データのデータリージョン指定の保証を維持するには、Google Cloud SDK バージョン 403.0.0 以降を使用する必要があります。現在の Google Cloud SDK のバージョンを確認するには、gcloud --version を実行してから gcloud components update を実行し、最新バージョンに更新します。 |
| 管理機能 | BigQuery はサポートされていない API を無効にしますが、パートナーによる主権管理フォルダを作成するのに十分な権限を持つ管理者は、サポートされていない API を有効にできます。この場合、Assured Workloads モニタリング ダッシュボードで、コンプライアンス違反の可能性がある旨が通知されます。 |
| データの読み込み | Google Software as a Service（SaaS）アプリ、外部クラウド ストレージ プロバイダ、データ ウェアハウス用の BigQuery Data Transfer Service コネクタはサポートされていません。Kingdom of Saudi Arabia Data Boundary Foundation by CNTXT ワークロードに対して、BigQuery Data Transfer Service コネクタを使用しないようにすることは、お客様の責任です。 |
| サードパーティ転送 | BigQuery は、BigQuery Data Transfer Service のサードパーティ転送のサポートを検証しません。BigQuery Data Transfer Service のサードパーティ転送を使用する際のサポート確認は、お客様の責任です。 |
| 非準拠 BQML モデル | 外部でトレーニングされた BQML モデルはサポートされていません。 |
| クエリジョブ | クエリジョブは、パートナーによる主権管理のフォルダ内でのみ作成する必要があります。 |
| 他のプロジェクトのデータセットに対するクエリ | BigQuery では、パートナーによる主権管理以外のプロジェクトからパートナーによる主権管理データセットへのクエリを防ぐことはできません。パートナーによる主権管理のデータに対して読み取りや結合を行うクエリはすべて、パートナーによる主権管理のフォルダに配置する必要があります。ユーザーは、BigQuery CLI で projectname.dataset.table を使用して、クエリ結果の完全修飾されたテーブル名を指定できます。 |
| Cloud Logging | BigQuery は、一部のログデータに対して Cloud Logging を利用します。コンプライアンスを維持するには、_default ロギング バケットを無効にするか、次のコマンドを使用して _default バケットを対象範囲内のリージョンに制限する必要があります。gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink
詳細については、ログをリージョン化するをご覧ください。 |
Bigtable
影響を受ける Bigtable の機能
| 機能 | 説明 |
|---|---|
| Data Boost | この機能は無効になっています。 |
| スプリットの境界 | Bigtable は行キーのごく一部を使用して、スプリットの境界を定義します。スプリットの境界には顧客データとメタデータが含まれる場合があります。Bigtable のスプリットの境界は、テーブル内の連続した範囲の行がタブレットに分割される場所を示します。 これらのスプリットの境界は、Google の担当者がテクニカル サポートとデバッグ目的でアクセスできますが、パートナーによる主権管理における管理者権限データ管理の対象ではありません。 |
Cloud Interconnect
影響を受ける Cloud Interconnect の機能
| 機能 | 説明 |
|---|---|
| 高可用性（HA）VPN | Cloud VPN で Cloud Interconnect を使用する場合は、高可用性（HA）VPN 機能を有効にする必要があります。また、影響を受ける Cloud VPN の機能セクションに記載されている暗号化と地域化の要件にも準拠する必要があります。 |
Cloud KMS
Cloud KMS の組織のポリシーに関する制約
| 組織のポリシーの制約 | 説明 |
|---|---|
cloudkms.allowedProtectionLevels |
次の保護レベルの Cloud Key Management Service CryptoKey の作成を許可するように設定します。
|
Cloud Load Balancing
影響を受ける Cloud Load Balancing の機能
| 機能 | 説明 |
|---|---|
| Google Cloud コンソール | Cloud Load Balancing の機能は Google Cloud コンソールで使用できません。代わりに API または Google Cloud CLI を使用してください。 |
| リージョン ロードバランサ | CNTXT のサウジアラビア王国データ境界基盤では、リージョン ロードバランサのみを使用する必要があります。リージョン ロードバランサの構成の詳細については、次のページをご覧ください。 |
Cloud Logging
影響を受ける Cloud Logging の機能
| 機能 | 説明 |
|---|---|
| ログシンク | フィルタに顧客データを含めないでください。 ログシンクには、構成として格納されるフィルタが含まれます。顧客データを含むフィルタは作成しないでください。 |
| ライブ テーリング ログエントリ | フィルタに顧客データを含めないでください。 ライブ テーリング セッションには、構成として格納されたフィルタが含まれます。テーリングログによって、ログエントリのデータが保存されることはありませんが、リージョン間でデータをクエリして送信できます。顧客データを含むフィルタは作成しないでください。 |
| ログベースのアラート | この機能は無効になっています。 Google Cloud コンソールでログベースのアラートを作成することはできません。 |
| ログ エクスプローラ クエリの短縮 URL | この機能は無効になっています。 Google Cloud コンソールでは、クエリの短縮 URL を作成できません。 |
| ログ エクスプローラにクエリを保存する | この機能は無効になっています。 Google Cloud コンソールではクエリを保存できません。 |
| BigQuery を使用したログ分析 | この機能は無効になっています。 Log Analytics 機能は使用できません。 |
| SQL ベースのアラート ポリシー | この機能は無効になっています。 SQL ベースのアラート ポリシー機能は使用できません。 |
Cloud Monitoring
影響を受ける Cloud Monitoring の機能
| 機能 | 説明 |
|---|---|
| 合成モニター | この機能は無効になっています。 |
| 稼働時間チェック | この機能は無効になっています。 |
| ダッシュボードのログパネル ウィジェット | この機能は無効になっています。 ダッシュボードにログパネルを追加することはできません。 |
| ダッシュボードの Error Reporting パネル ウィジェット | この機能は無効になっています。 ダッシュボードに Error Reporting パネルを追加することはできません。 |
ダッシュボードの EventAnnotation のフィルタ |
この機能は無効になっています。EventAnnotation のフィルタはダッシュボードで設定できません。 |
alertPolicies での SqlCondition |
この機能は無効になっています。SqlCondition を alertPolicy に追加することはできません。 |
Cloud Run
影響を受ける Cloud Run の機能
| 機能 | 説明 |
|---|---|
| サポートされていない機能 | 次の Cloud Run 機能はサポートされていません。 |
Cloud SQL
影響を受ける Cloud SQL の機能
| 機能 | 説明 |
|---|---|
| Query Insights | Cloud SQL インスタンスをデプロイする場合、アプリケーション タグが有効になっていない場合にのみ Query Insights を使用できます。アプリケーション タグが有効になっている場合、クエリ分析情報を使用しようとするとエラー メッセージが表示されます。 |
Cloud SQL の組織のポリシーに関する制約
| 組織のポリシーの制約 | 説明 |
|---|---|
sql.restrictNoncompliantDiagnosticDataAccess |
True に設定します。 Cloud SQL リソースに追加のデータ主権とサポート性の制御を適用します。 この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。 |
sql.restrictNoncompliantResourceCreation |
True に設定します。 追加のデータ主権制御を適用して、非準拠の Cloud SQL リソースの作成を防ぎます。 この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。 |
Cloud Storage
影響を受ける Cloud Storage の機能
| 機能 | 説明 |
|---|---|
| Google Cloud コンソール | ITAR への準拠を維持するため、管轄区域の Google Cloud コンソールを使用する責任はお客様にあります。管轄地区のコンソールでは、Cloud Storage オブジェクトのアップロードとダウンロードがブロックされます。Cloud Storage オブジェクトをアップロードおよびダウンロードするには、このセクションの準拠した API エンドポイントの行をご覧ください。 |
| 準拠した API エンドポイント | Cloud Storage で ITAR 準拠のリージョン エンドポイントのいずれかを使用する必要があります。詳細については、Cloud Storage リージョン エンドポイントと Cloud Storage のロケーションをご覧ください。 |
| 制限事項 | ITAR に準拠するには、Cloud Storage リージョン エンドポイントを使用する必要があります。ITAR の Cloud Storage リージョン エンドポイントの詳細については、Cloud Storage リージョン エンドポイントをご覧ください。 次のオペレーションは、リージョン エンドポイントではサポートされていません。ただし、これらのオペレーションでは、データ所在地に関するサービス規約で定義されている顧客データを扱いません。したがって、ITAR への準拠に違反することなく、必要に応じてこれらのオペレーションにグローバル エンドポイントを使用できます。 |
| オブジェクトのコピーと書き換え | オブジェクトのコピーと書き換えのオペレーションは、送信元バケットと宛先バケットの両方がエンドポイントで指定されたリージョンにある場合、リージョン エンドポイントでサポートされます。ただし、バケットが複数のロケーションに存在する場合は、リージョン エンドポイントを使用してバケット間でオブジェクトをコピーまたはリライトすることはできません。グローバル エンドポイントを使用してロケーション間でコピーまたはリライトすることは可能ですが、ITAR への準拠に違反する可能性があるため、おすすめしません。 |
Cloud Storage の組織のポリシーに関する制約
| 組織のポリシーの制約 | 説明 |
|---|---|
storage.restrictAuthTypes |
ハッシュベースのメッセージ認証コード（HMAC）を使用した認証を防止するように設定します。この制約値には、次の型が指定されています。
この値を変更すると、ワークロードのデータ主権に影響する可能性があります。設定値を保持することを強くおすすめします。 |
storage.uniformBucketLevelAccess |
True に設定します。 新しいバケットへのアクセスは、Cloud Storage アクセス制御リスト（ACL）ではなく、IAM ポリシーを使用して管理されます。この制約により、バケットとそのコンテンツに対してきめ細かい権限が付与されます。 この制約が有効になっているときにバケットを作成すると、そのバケットへのアクセスを ACL を使用して管理できなくなります。つまり、バケットのアクセス制御方法は、Cloud Storage ACL ではなく IAM ポリシーを使用するように永続的に設定されます。 |
Compute Engine
影響を受ける Compute Engine の機能
| 機能 | 説明 |
|---|---|
| VM インスタンスの一時停止および再開 | この機能は無効になっています。 VM インスタンスの一時停止と再開には永続ディスク ストレージが必要です。停止状態の VM の状態を保存するために使用される永続ディスク ストレージは、現在、CMEK を使用して暗号化できません。この機能を有効にした場合のデータ主権とデータ所在地の影響については、上記の gcp.restrictNonCmekServices 組織ポリシーの制約をご覧ください。 |
| ローカル SSD | この機能は無効になっています。 ローカル SSD は CMEK を使用して暗号化できないため、ローカル SSD を使用してインスタンスを作成できません。この機能を有効にした場合のデータ主権とデータ所在地の影響については、上記の gcp.restrictNonCmekServices 組織ポリシーの制約をご覧ください。 |
| Google Cloud コンソール | 次の Compute Engine 機能は、 Google Cloud コンソールで使用できません。代わりに API または Google Cloud CLI を使用してください。 |
| ロードバランサへのインスタンス グループの追加 | インスタンス グループをグローバル ロードバランサに追加することはできません。 この機能は、 compute.disableGlobalLoadBalancing 組織ポリシー制約によって無効になっています。 |
| VM インスタンスの一時停止と再開 | この機能は無効になっています。 VM インスタンスの一時停止と再開には永続ディスク ストレージが必要です。停止状態の VM の状態を保存するために使用される永続ディスク ストレージは、CMEK を使用して暗号化できません。 この機能は、 gcp.restrictNonCmekServices 組織ポリシー制約によって無効になっています。 |
| ローカル SSD | この機能は無効になっています。 ローカル SSD は CMEK を使用して暗号化できないため、ローカル SSD を使用してインスタンスを作成できません。 この機能は、 gcp.restrictNonCmekServices 組織ポリシー制約によって無効になっています。 |
| ゲスト環境 | ゲスト環境に含まれているスクリプト、デーモン、バイナリが、暗号化されていない保存中および使用中のデータにアクセスすることは可能です。VM の構成によっては、このソフトウェアの更新がデフォルトでインストールされることがあります。各パッケージの内容、ソースコードなどの詳細については、ゲスト環境をご覧ください。 これらのコンポーネントは、内部のセキュリティ管理とプロセスを通じてデータ主権を満たすのに役立ちます。ただし、追加の制御が必要な場合は、独自のイメージまたはエージェントを選択して、 compute.trustedImageProjects 組織ポリシーの制約をオプションとして使用することもできます。詳細については、カスタム イメージのビルドをご覧ください。 |
| VM Manager の OS ポリシー |
OS ポリシー ファイル内のインライン スクリプトとバイナリ出力ファイルは、顧客管理の暗号鍵（CMEK）を使用して暗号化されません。これらのファイルに機密情報を含めないでください。これらのスクリプトと出力ファイルを Cloud Storage バケットに保存することを検討してください。詳細については、OS ポリシーの例をご覧ください。 インライン スクリプトまたはバイナリ出力ファイルを使用する OS ポリシー リソースの作成または変更を制限する場合は、 constraints/osconfig.restrictInlineScriptAndOutputFileUsage 組織のポリシー制約を有効にします。詳細については、OS Config の制約をご覧ください。 |
instances.getSerialPortOutput()
|
この API は無効になっています。この API を使用して、指定したインスタンスからシリアルポート出力を取得することはできません。 この API を有効にするには、 compute.disableInstanceDataAccessApis 組織のポリシー制約値を False に変更します。プロジェクトのアクセスを有効にするの手順に沿って、インタラクティブ シリアルポートを有効にして使用することもできます。 |
instances.getScreenshot() |
この API は無効になっています。この API を使用して、指定したインスタンスからスクリーンショットを取得することはできません。 この API を有効にするには、 compute.disableInstanceDataAccessApis 組織のポリシー制約値を False に変更します。プロジェクトのアクセスを有効にするの手順に沿って、インタラクティブ シリアルポートを有効にして使用することもできます。 |
Compute Engine の組織のポリシーの制約
| 組織のポリシーの制約 | 説明 |
|---|---|
compute.enableComplianceMemoryProtection |
True に設定します。 インフラストラクチャ障害が発生したときにメモリ コンテンツを追加で保護するために、一部の内部診断機能を無効にします。 この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。 |
compute.disableGlobalCloudArmorPolicy |
True に設定します。 新しいグローバル Google Cloud Armor セキュリティ ポリシーの作成と、既存のグローバル Google Cloud Armor セキュリティ ポリシーへのルールの追加または変更を無効にします。この制約は、ルールの削除や、グローバル Google Cloud Armor セキュリティ ポリシーの説明と一覧取得の削除または変更を制限するものではありません。リージョン Google Cloud Armor セキュリティ ポリシーは、この制約の影響を受けません。この制約の適用前から存在するグローバル セキュリティ ポリシーとリージョン セキュリティ ポリシーは引き続き有効です。 |
compute.disableGlobalLoadBalancing |
True に設定します。 グローバル ロード バランシング プロダクトの作成を無効にします。 この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。 |
compute.disableInstanceDataAccessApis
| True に設定します。instances.getSerialPortOutput() API と instances.getScreenshot() API をグローバルに無効にします。この制約を有効にすると、Windows Server VM で認証情報を生成できなくなります。 Windows VM でユーザー名とパスワードを管理する必要がある場合は、次の操作を行います。
|
compute.disableSshInBrowser
| True に設定します。 OS Login と App Engine フレキシブル環境 VM を使用する VM で、 Google Cloud コンソールのブラウザでの SSH ツールを無効にします。 この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。 |
compute.restrictNonConfidentialComputing |
（省略可）値が設定されていません。多層防御を提供するには、この値を設定します。詳細については、Confidential VM のドキュメントをご覧ください。 |
compute.trustedImageProjects |
（省略可）値が設定されていません。多層防御を提供するには、この値を設定します。 この値を設定すると、イメージ ストレージとディスクのインスタンス化が、指定されたプロジェクトのリストに制限されます。この値は、未承認のイメージやエージェントの使用を防ぐことでデータ主権に影響を与えます。 |
Dataplex Universal Catalog
Dataplex Universal Catalog の機能
| 機能 | 説明 |
|---|---|
| 属性ストア | この機能は非推奨となり、無効になっています。 |
| Data Catalog | この機能は非推奨となり、無効になっています。Data Catalog でメタデータを検索したり、管理したりすることはできません。 |
| レイクとゾーン | この機能は無効になっています。レイク、ゾーン、タスクを管理できません。 |
Dataproc
影響を受ける Dataproc の機能
| 機能 | 説明 |
|---|---|
| Google Cloud コンソール | Dataproc は現在、法域 Google Cloud コンソールをサポートしていません。データ所在地を適用するには、Dataproc を使用するときに Google Cloud CLI または API を使用していることを確認します。 |
Google Cloud Armor
影響を受ける Google Cloud Armor の機能
| 機能 | 説明 |
|---|---|
| グローバル スコープのセキュリティ ポリシー | この機能は、compute.disableGlobalCloudArmorPolicy 組織のポリシーの制約によって無効になっています。 |
Google Kubernetes Engine
Google Kubernetes Engine の組織のポリシーの制約
| 組織のポリシーの制約 | 説明 |
|---|---|
container.restrictNoncompliantDiagnosticDataAccess |
True に設定します。 ワークロードの主権管理を維持するために必要な、カーネルの問題の集計分析を無効にします。 この値を変更すると、ワークロードのデータ所在地またはデータ主権に影響する可能性があります。 |
Spanner
影響を受ける Spanner の機能
| 機能 | 説明 |
|---|---|
| スプリットの境界 | Spanner は、主キーとインデックス付き列の小さなサブセットを使用して、顧客データとメタデータを含むスプリットの境界を定義します。Spanner のスプリットの境界は、連続する範囲の行が小さな部分に分割される場所を示します。 これらのスプリットの境界は、Google の担当者がテクニカル サポートとデバッグ目的でアクセスできますが、パートナーによる主権管理における管理者権限データ管理の対象ではありません。 |
Spanner の組織のポリシーの制約
| 組織のポリシーの制約 | 説明 |
|---|---|
spanner.assuredWorkloadsAdvancedServiceControls |
True に設定します。 Spanner リソースに追加のデータ主権とサポート性の制御を適用します。 |
spanner.disableMultiRegionInstanceIfNoLocationSelected |
True に設定します。 マルチリージョン Spanner インスタンスの作成機能を無効にして、データ所在地とデータ主権を適用します。 |