データ所在地の概要

このドキュメントでは、Apigee のデータ所在地について説明します。

概要

多くの業界や企業では、クラウドサービスを使用すると、セキュリティチームとコンプライアンスチームによる監視がさらに強化されます（クラウドに保存されるデータ、データの保存場所、データにアクセスできるユーザー、データを閲覧できるユーザーなどの監視）。これに加え、多くの国では、個人を特定できる情報（PII）データを国外や地域外に保存することを禁止するデータプライバシー法が可決されています。

Apigee のデータ所在地では、コンプライアンスと規制の要件を満たせるよう、Apigee データが保存される地理的位置（リージョン）をユーザーが指定できるようになっています。これまで、Apigee ではユーザーがインスタンスのリージョンと分析リージョンを選択できましたが、Apigee には API プロキシバンドルや他の顧客データといったグローバルインフラストラクチャもあります。データ所在地でコントロールプレーンのロケーションを選択すると、お客様のすべてのコンテンツが指定されたリージョンに保存されます。

Apigee は FedRAMP High 認定を取得し、データ所在地に必要な基準を満たしています。詳細については、データ所在地と FedRAMP コンプライアンスをご覧ください。

データ所在地の互換性

データ所在地は、次を対象に使用できます。

Apigee 組織（サブスクリプションまたは従量課金制）
Apigee ハイブリッド
注: データ所在地が有効になっている Apigee ハイブリッドバージョン 1.13.1 以降では、Apigee API Analytics と Debug ツールがサポートされます。データ所在地が有効になっている Apigee ハイブリッドは、分散トレースをサポートしていません。既知の問題をご確認ください。
非ハイブリッドのサブスクリプション組織用の Operations Anomalies
非ハイブリッド組織のサブスクリプション組織で有効になっている収益化
非ハイブリッド組織の Advanced API Security

現在のところ、次を対象としたデータ所在地の使用はサポートされていません。

プレビュー版またはベータ版リリースの機能（Looker Studio との統合とシャドー API 検出のプレビューリリースなど）
評価組織
統合ポータル
ハイブリッド組織の Advanced API Security
データコレクタ
従来の Apigee UIデータ所在地が有効な組織をプロビジョニングまたは管理するには、Google Cloud コンソールの Apigee または Apigee API を使用します。
ブラウザウィンドウ内で実行されている、apigee.google.com の Apigee。これは、組織セレクタにはリージョン化された組織名が表示されないためです。Apigee は Google Cloud コンソールで使用する必要があります。
Google Cloud CLI。データ所在地が有効な組織をプロビジョニングまたは管理するには、Google Cloud コンソールの Apigee または Apigee API を使用します。

要点

Apigee のインストールでデータ所在地を有効にする場合は、次の要点に注意してください。

Apigee をプロビジョニングするときに、データ所在地を有効にする必要があります。すでにプロビジョニングされている組織でデータ所在地を有効にすることはできません。
デフォルトでは、Apigee 組織の作成時にデータ所在地（リージョン化）を選択しない限り、コントロールプレーンはグローバルエンティティとなります。後で変更することはできません。データ所在地とコントロールプレーンのロケーションを選択した後は、ロケーションを変更できません。後で別のロケーションが必要になった場合は、新しい Google Cloud プロジェクトを作成する必要があります。
組織のプロビジョニング時:
- データ所在地を使用しない場合: ANALYTICS_REGION でリージョンを指定します。
- データ所在地を使用する場合: CONTROL_PLANE_LOCATION でリージョンを指定し、CONSUMER_DATA_REGION でサブリージョンを指定します。データ所在地のリージョンをご覧ください。
Apigee をプロビジョニングする管理者は、次のことを行う必要があります。
- Apigee ユーザー（API デベロッパーや他の管理者など）に、データ所在地の構成について通知します。
- リソースロケーションの制限の説明に沿ってロケーションの組織のポリシーを設定します。
Apigee 管理 API の API デベロッパー、管理者、またはその他のユーザーは、新しい Data Residency API サービスエンドポイントを使用する必要があります。

データ所在地のリージョン

データ所在地では、プロビジョニング時にデータの保存先とするリージョン（物理的なロケーション）を選択できます。

リージョン（例: us）を指定するときは、単一のリージョンでのみ実行できる他のサービス（アナリティクスレポートなど）にも単一のリージョン（例: us-west1）を指定する必要があります。

すべてのリソースは、指定されたリージョン内に存在する必要があります。たとえば、CONTROL_PLANE_LOCATION として us を選択した場合、他の Apigee リソース（ランタイムインスタンス、参照 CMEK、エンドポイントアタッチメントなど）も us リージョン内に存在していなければなりません。

データ所在地を選択した場合、保存されるデータのタイプは、コントロールプレーンデータおよび消費者データと呼ばれます。

コントロールプレーンデータは、分析データ、API プロキシ、ターゲットサーバー、トラストストア、キーストアなど、ランタイム間で共有されるデータです。消費者データは、単一のリージョンで実行されているサービスによって処理される分析データです。

現在サポートされているコントロールプレーンリージョンについては、Apigee のロケーションをご覧ください。

データ所在地のサービスエンドポイント

サービスエンドポイントは、API サービスのネットワークアドレスを指定するベース URL です。

Apigee API サービスエンドポイント（ホスト名）は apigee.googleapis.com です。

データ所在地を使用しない場合:
次のサービスエンドポイントを使用します。

apigee.googleapis.com

例:

curl "https://apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...
データ所在地を使用する場合:
サービスエンドポイントの先頭にコントロールプレーンのリージョンを追加します。

CONTROL_PLANE_LOCATION-apigee.googleapis.com
例:

curl "https://CONTROL_PLANE_LOCATION-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

ここで、CONTROL_PLANE_LOCATION はプロビジョニング時に指定された、Apigee コントロールプレーンデータを保存する物理的なロケーションです。

例:

curl "https://us-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

リージョンの確認方法

データ所在地で使用する組織（PROJECT_ID）をすでにプロビジョニングしている場合、プロジェクトに関連付けられているリージョンを確認するには、getProjectMapping API を使用します。

Google ユーザー認証情報を使用して gcloud に Cloud Platform へのアクセスを認可します。
```
gcloud auth login
```

API を呼び出します。

curl -X GET https://apigee.googleapis.com/v1/organizations/PROJECT_ID:getProjectMapping \
    -H "Authorization: Bearer $(gcloud auth print-access-token)"

ここで、PROJECT_ID は Apigee 組織名または Google Cloud プロジェクト ID です。

次のような内容が返されます。

{
  "organization": "my-project",
  "projectIds": [
    "my-project"
  ],
  "projectId": "my-project"
  "location": "us"
}

データ所在地の暗号化

CMEK の概要をご覧ください。

データ所在地と組織のポリシーの制約

Google Cloud の組織のポリシーの制約を使用すると、一連のロケーションを定義して、Google Cloud 組織でロケーションベースの Google Cloud リソースを作成できます。リソースロケーションの制約（constraints/gcp.resourceLocations）を使用する Google Cloud の組織のポリシーがある場合、この制約は Apigee のプロビジョニング時に作成される次の Apigee リソースに適用されます。

リソースロケーションの制約が適用される Google Cloud プロジェクト内に新しい Apigee 組織をプロビジョニングする場合は、ロケーションの制約が Apigee 組織で指定されたコントロールプレーンのロケーションと互換性があることを確認する必要があります。

データ所在地を使用せずに Apigee 組織をプロビジョニングする場合は、Google Cloud の組織のポリシーでリソースロケーションの制約を global に設定する必要があります。デフォルトでは、Apigee コントロールプレーンはグローバルエンティティであるため、global 以外の制約が適用されると、プロビジョニングは失敗します。
データ所在地を使用して Apigee 組織をプロビジョニングする場合、Google Cloud の組織のポリシーで設定されているリソースロケーションの制約によって、コントロールプレーンデータ用に選択したリージョンが除外されないことを確認してください。そうでないと、プロビジョニングが失敗します。

データ所在地と FedRAMP コンプライアンス

Apigee は、データ所在地が有効になっている組織向けの FedRAMP High サービスとして認定されています。Apigee のサブスクリプションまたは従量課金制を利用している組織がプロビジョニングを行う時にデータ所在地を有効にした場合、Apigee の FedRAMP Authority to Operate（ATO）の対象となるサービスは次のとおりです。

リージョン化された Apigee 組織のコントロールプレーン、ランタイムプレーン、アナリティクス。
リージョン化された Apigee ハイブリッド組織のコントロールプレーンとアナリティクス。

次の Apigee サービスは、Apigee の FedRAMP ATO の対象外です。

FedRAMP ATO の重要性については、FedRAMP コンプライアンスをご覧ください。

データ所在地と Apigee ハイブリッド

Apigee ハイブリッドバージョン 1.12 以降では、データ所在地を使用するように新しい Apigee ハイブリッドインストールを構成できます。Apigee ハイブリッドでのデータ所在地の使用をご覧ください。