データ所在地の概要

このドキュメントでは、Apigee のデータ所在地について説明します。

概要

多くの業界や企業では、クラウド サービスを使用すると、セキュリティ チームとコンプライアンス チームによる監視がさらに強化されます（クラウドに保存されるデータ、データの保存場所、データにアクセスできるユーザー、データを閲覧できるユーザーなどの監視）。これに加え、多くの国では、個人を特定できる情報（PII）データを国外や地域外に保存することを禁止するデータ プライバシー法が可決されています。

Apigee のデータ所在地では、コンプライアンスと規制の要件を満たせるよう、Apigee データが保存される地理的位置（リージョン）をユーザーが指定できるようになっています。これまで、Apigee ではユーザーがインスタンスのリージョンと分析リージョンを選択できましたが、Apigee には API プロキシ バンドルや他の顧客データといったグローバル インフラストラクチャもあります。データ所在地でコントロール プレーンのロケーションを選択すると、お客様のすべてのコンテンツが指定されたリージョンに保存されます。

Apigee は FedRAMP High 認定を取得し、データ所在地に必要な基準を満たしています。詳細については、データ所在地と FedRAMP コンプライアンスをご覧ください。

データ所在地の互換性

データ所在地は、次を対象に使用できます。

現在のところ、次を対象としたデータ所在地の使用はサポートされていません。

要点

Apigee のインストールでデータ所在地を有効にする場合は、次の要点に注意してください。

  • Apigee をプロビジョニングするときに、データ所在地を有効にする必要があります。すでにプロビジョニングされている組織でデータ所在地を有効にすることはできません。
  • デフォルトでは、Apigee 組織の作成時にデータ所在地（リージョン化）を選択しない限り、コントロール プレーンはグローバル エンティティとなります。後で変更することはできません。データ所在地とコントロール プレーンのロケーションを選択した後は、ロケーションを変更できません。後で別のロケーションが必要になった場合は、新しい Google Cloud プロジェクトを作成する必要があります。
  • 組織のプロビジョニング時:
    • データ所在地を使用しない場合: ANALYTICS_REGION でリージョンを指定します。
    • データ所在地を使用する場合: CONTROL_PLANE_LOCATION でリージョンを指定し、CONSUMER_DATA_REGION でサブリージョンを指定します。データ所在地のリージョンをご覧ください。
  • Apigee をプロビジョニングする管理者は、次のことを行う必要があります。
    • Apigee ユーザー（API デベロッパーや他の管理者など）に、データ所在地の構成について通知します。
    • リソース ロケーションの制限の説明に沿ってロケーションの組織のポリシーを設定します。
  • Apigee 管理 API の API デベロッパー、管理者、またはその他のユーザーは、新しい Data Residency API サービス エンドポイントを使用する必要があります。

データ所在地のリージョン

データ所在地では、プロビジョニング時にデータの保存先とするリージョン（物理的なロケーション）を選択できます。

リージョン（例: us）を指定するときは、単一のリージョンでのみ実行できる他のサービス（アナリティクス レポートなど）にも単一のリージョン（例: us-west1）を指定する必要があります。

すべてのリソースは、指定されたリージョン内に存在する必要があります。たとえば、CONTROL_PLANE_LOCATION として us を選択した場合、他の Apigee リソース（ランタイム インスタンス、参照 CMEK、エンドポイント アタッチメントなど）も us リージョン内に存在していなければなりません。

データ所在地を選択した場合、保存されるデータのタイプは、コントロール プレーン データおよび消費者データと呼ばれます。

コントロール プレーン データは、分析データ、API プロキシ、ターゲット サーバー、トラストストア、キーストアなど、ランタイム間で共有されるデータです。消費者データは、単一のリージョンで実行されているサービスによって処理される分析データです。

現在サポートされているコントロール プレーン リージョンについては、Apigee のロケーションをご覧ください。

データ所在地のサービス エンドポイント

サービス エンドポイントは、API サービスのネットワーク アドレスを指定するベース URL です。

Apigee API サービス エンドポイント（ホスト名）は apigee.googleapis.com です。

  • データ所在地を使用しない場合:

    次のサービス エンドポイントを使用します。

    apigee.googleapis.com

    例:

    curl "https://apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

  • データ所在地を使用する場合:

    サービス エンドポイントの先頭にコントロール プレーンのリージョンを追加します。

    CONTROL_PLANE_LOCATION-apigee.googleapis.com

    例:

    curl "https://CONTROL_PLANE_LOCATION-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

    ここで、CONTROL_PLANE_LOCATION はプロビジョニング時に指定された、Apigee コントロール プレーン データを保存する物理的なロケーションです。

    例:

    curl "https://us-apigee.googleapis.com/v1/organizations?parent=projects/$PROJECT_ID" ...

リージョンの確認方法

データ所在地で使用する組織（PROJECT_ID）をすでにプロビジョニングしている場合、プロジェクトに関連付けられているリージョンを確認するには、getProjectMapping API を使用します。

  1. Google ユーザー認証情報を使用して gcloud に Cloud Platform へのアクセスを認可します。 
    gcloud auth login
  2. API を呼び出します。
    curl -X GET https://apigee.googleapis.com/v1/organizations/PROJECT_ID:getProjectMapping \
    -H "Authorization: Bearer $(gcloud auth print-access-token)"

    ここで、PROJECT_ID は Apigee 組織名または Google Cloud プロジェクト ID です。

    次のような内容が返されます。

    {
  "organization": "my-project",
  "projectIds": [
    "my-project"
  ],
  "projectId": "my-project"
  "location": "us"
}

データ所在地の暗号化

CMEK の概要をご覧ください。

データ所在地と組織のポリシーの制約

Google Cloud の組織のポリシーの制約を使用すると、一連のロケーションを定義して、Google Cloud 組織でロケーション ベースの Google Cloud リソースを作成できます。リソース ロケーションの制約（constraints/gcp.resourceLocations）を使用する Google Cloud の組織のポリシーがある場合、この制約は Apigee のプロビジョニング時に作成される次の Apigee リソースに適用されます。

リソース ロケーションの制約が適用される Google Cloud プロジェクト内に新しい Apigee 組織をプロビジョニングする場合は、ロケーションの制約が Apigee 組織で指定されたコントロール プレーンのロケーションと互換性があることを確認する必要があります。

  • データ所在地を使用せずに Apigee 組織をプロビジョニングする場合は、Google Cloud の組織のポリシーでリソース ロケーションの制約を global に設定する必要があります。デフォルトでは、Apigee コントロール プレーンはグローバル エンティティであるため、global 以外の制約が適用されると、プロビジョニングは失敗します。
  • データ所在地を使用して Apigee 組織をプロビジョニングする場合、Google Cloud の組織のポリシーで設定されているリソース ロケーションの制約によって、コントロール プレーン データ用に選択したリージョンが除外されないことを確認してください。そうでないと、プロビジョニングが失敗します。

データ所在地と FedRAMP コンプライアンス

Apigee は、データ所在地が有効になっている組織向けの FedRAMP High サービスとして認定されています。Apigee のサブスクリプションまたは従量課金制を利用している組織がプロビジョニングを行う時にデータ所在地を有効にした場合、Apigee の FedRAMP Authority to Operate（ATO）の対象となるサービスは次のとおりです。

次の Apigee サービスは、Apigee の FedRAMP ATO の対象外です。

FedRAMP ATO の重要性については、FedRAMP コンプライアンスをご覧ください。

データ所在地と Apigee ハイブリッド

Apigee ハイブリッド バージョン 1.12 以降では、データ所在地を使用するように新しい Apigee ハイブリッド インストールを構成できます。Apigee ハイブリッドでのデータ所在地の使用をご覧ください。