データ所在地の概要

このドキュメントでは、Apigee のデータ所在地について説明します。

概要

多くの業界や企業では、クラウドサービスを使用すると、セキュリティチームとコンプライアンスチームによる監視がさらに強化されます（クラウドに保存されるデータ、データの保存場所、データにアクセスできるユーザー、データを閲覧できるユーザーなどの監視）。これに加え、多くの国では、個人を特定できる情報（PII）データを国外や地域外に保存することを禁止するデータプライバシー法が可決されています。

Apigee のデータ所在地では、コンプライアンスと規制の要件を満たせるよう、Apigee データが保存される地理的位置（リージョン）をユーザーが指定できるようになっています。これまで、Apigee ではユーザーがインスタンスのリージョンと分析リージョンを選択できましたが、Apigee には API プロキシバンドルや他の顧客データといったグローバルインフラストラクチャもあります。データ所在地でコントロールプレーンのロケーションを選択すると、お客様のすべてのコンテンツが指定されたリージョンに保存されます。

Apigee では、FedRAMP High およびその他の認定の取得を進めています。Apigee はエンジニアリングの面からリージョン化されたスタックを実装していますが、実際の認定が承認されるまでは、データ所在地を契約で保証することはできません。

データ所在地の互換性

データ所在地は、次を対象に使用できます。

Apigee 有料組織（サブスクリプションおよび従量課金制）

現在のところ、次を対象としたデータ所在地の使用はサポートされていません。

Apigee ハイブリッド
プレビュー版またはベータ版リリースの機能（Looker Studio との統合のプレビューリリースなど）
評価組織
収益化
統合ポータル
API セキュリティ
データコレクタ
ブラウザウィンドウ内で実行されている、apigee.google.com の Apigee。これは、組織セレクタにはリージョン化された組織名が表示されないためです。Apigee は Google Cloud コンソールで使用する必要があります。

要点

Apigee のインストールでデータ所在地を有効にする場合は、次の要点に注意してください。

Apigee をプロビジョニングするときに、データ所在地を有効にする必要があります。すでにプロビジョニングされている組織でデータ所在地を有効にすることはできません。
デフォルトでは、Apigee 組織の作成時にデータ所在地（リージョン化）を選択しない限り、コントロールプレーンはグローバルエンティティとなります。後で変更することはできません。データ所在地とコントロールプレーンのロケーションを選択した後は、ロケーションを変更できません。後で別のロケーションが必要になった場合は、新しい Google Cloud プロジェクトを作成する必要があります。
組織のプロビジョニング時:
- データ所在地を使用しない場合: ANALYTICS_REGION でリージョンを指定します。
- データ所在地を使用する場合: CONTROL_PLANE_LOCATION でリージョンを指定し、CONSUMER_DATA_REGION でサブリージョンを指定します。データ所在地のリージョンをご覧ください。
Apigee をプロビジョニングする管理者は、次のことを行う必要があります。
- Apigee ユーザー（API デベロッパーや他の管理者など）に、データ所在地の構成について通知します。
- リソースロケーションの制限の説明に沿ってロケーションの組織のポリシーを設定します。
Apigee 管理 API の API デベロッパー、管理者、またはその他のユーザーは、新しい Data Residency API サービスエンドポイントを使用する必要があります。

データ所在地のリージョン

データ所在地では、プロビジョニング時にデータの保存先とするリージョン（物理的なロケーション）を選択できます。

リージョン（例: us）を指定するときは、単一のリージョンでのみ実行できる他のサービス（アナリティクスレポートなど）にも単一のリージョン（例: us-west1）を指定する必要があります。

すべてのリソースは、指定されたリージョン内に存在する必要があります。たとえば、CONTROL_PLANE_LOCATION として us を選択した場合、他の Apigee リソース（ランタイムインスタンス、参照 CMEK、エンドポイントアタッチメントなど）も us リージョン内に存在していなければなりません。

データ所在地を選択した場合、保存されるデータのタイプは、コントロールプレーンデータおよび消費者データと呼ばれます。

コントロールプレーンデータは、分析データ、API プロキシ、ターゲットサーバー、トラストストア、キーストアなど、ランタイム間で共有されるデータです。消費者データは、単一のリージョンで実行されているサービスによって処理される分析データです。

現在サポートされているコントロールプレーンリージョンについては、Apigee のロケーションをご覧ください。

データ所在地のサービスエンドポイント

サービスエンドポイントは、API サービスのネットワークアドレスを指定するベース URL です。

Apigee API サービスエンドポイント（ホスト名）は apigee.googleapis.com です。

データ所在地を使用しない場合:
次のサービスエンドポイントを使用します。

apigee.googleapis.com

例:

curl "https://apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...
データ所在地を使用する場合:
サービスエンドポイントの先頭にコントロールプレーンのリージョンを追加します。

CONTROL_PLANE_LOCATION-apigee.googleapis.com
例:

curl "https://CONTROL_PLANE_LOCATION-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

ここで、CONTROL_PLANE_LOCATION はプロビジョニング時に指定された、Apigee コントロールプレーンデータを保存する物理的なロケーションです。

例:

curl "https://us-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

リージョンの確認方法

データ所在地で使用する組織（PROJECT_ID）をすでにプロビジョニングしている場合、プロジェクトに関連付けられているリージョンを確認するには、getProjectMapping API を使用します。

Google ユーザー認証情報を使用して gcloud に Cloud Platform へのアクセスを認可します。
```
gcloud auth login
```

API を呼び出します。

curl -X GET https://apigee.googleapis.com/v1/organizations/PROJECT_ID:getProjectMapping/" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)"

ここで、PROJECT_ID は Apigee 組織名または Google Cloud プロジェクト ID です。

次のような内容が返されます。

{
  "organization": "my-project",
  "projectIds": [
    "my-project"
  ],
  "projectId": "my-project"
  "location": "us"
}

データ所在地の暗号化

CMEK の概要をご覧ください。

データ所在地と組織のポリシーの制約

Google Cloud の組織のポリシーの制約を使用すると、一連のロケーションを定義して、Google Cloud 組織でロケーションベースの Google Cloud リソースを作成できます。リソースロケーションの制約（constraints/gcp.resourceLocations）を使用する Google Cloud の組織のポリシーがある場合、この制約は Apigee のプロビジョニング時に作成される次の Apigee リソースに適用されます。

リソースロケーションの制約が適用される Google Cloud プロジェクト内に新しい Apigee 組織をプロビジョニングする場合は、ロケーションの制約が Apigee 組織で指定されたコントロールプレーンのロケーションと互換性があることを確認する必要があります。

データ所在地を使用せずに Apigee 組織をプロビジョニングする場合は、Google Cloud の組織のポリシーでリソースロケーションの制約を global に設定する必要があります。デフォルトでは、Apigee コントロールプレーンはグローバルエンティティであるため、global 以外の制約が適用されると、プロビジョニングは失敗します。
データ所在地を使用して Apigee 組織をプロビジョニングする場合、Google Cloud の組織のポリシーで設定されているリソースロケーションの制約によって、コントロールプレーンデータ用に選択したリージョンが除外されないことを確認してください。そうでないと、プロビジョニングが失敗します。