Limite de dados do Reino da Arábia Saudita (KSA) com justificações de acesso

Esta página descreve as restrições, as limitações e outras opções de configuração quando usa o limite de dados da Arábia Saudita com o pacote de controlos de justificações de acesso.

Importante: o pacote de controlos do limite de dados da KSA com justificações de acesso só deve ser usado por clientes do Assured Workloads cuja morada de faturação, seja uma empresa, uma residência ou um domicílio, esteja localizada fora da KSA.

Vista geral

Para aceder à Google Cloud consola quando usar o pacote de controlos KSA Data Boundary com justificações de acesso, tem de usar um dos seguintes URLs:

• console.sa.cloud.google.com
• console.sa.cloud.google para utilizadores de identidade federada

Para mais informações, consulte a página da consola Google Cloud jurisdicional.

O pacote de controlos do limite de dados da Arábia Saudita com justificações de acesso permite o controlo de acesso aos dados e as funcionalidades de residência dos dados para os produtos suportados Google Cloud . Algumas das funcionalidades destes serviços estão restritas ou limitadas pela Google para serem compatíveis com o limite de dados da Arábia Saudita com justificações de acesso. A maioria destas restrições e limitações é aplicada quando cria uma nova pasta do Assured Workloads para o limite de dados da KSA com justificações de acesso. No entanto, algumas delas podem ser alteradas mais tarde modificando as políticas da organização. Além disso, algumas restrições e limitações exigem a responsabilidade do utilizador pela respetiva conformidade.

É importante compreender como estas restrições modificam o comportamento de um determinado serviço ou afetam o acesso aos dados ou a residência dos dados. Google Cloud Por exemplo, algumas funcionalidades podem ser desativadas automaticamente para garantir que as restrições de acesso aos dados e a residência dos dados são mantidas. Além disso, se uma definição da política da organização for alterada, pode ter a consequência não intencional de copiar dados de uma região para outra.

Serviços suportados

Salvo indicação em contrário, os utilizadores podem aceder a todos os serviços suportados através da Google Cloud consola.

Importante: os serviços que interagem com os dados de clientes nas respetivas operações de API fornecem pontos finais de API regionais. Estes têm de ser usados em vez do ponto final da API global do serviço no limite de dados da Arábia Saudita com justificações de acesso. Para serviços cujas operações de API não interagem com os dados do cliente, a utilização de pontos finais de API globais é permitida. Consulte o artigo Residência de dados para mais informações acerca dos dados do cliente e dos dados de serviço.

Os seguintes serviços são compatíveis com o limite de dados da Arábia Saudita com justificações de acesso:

Produto suportado	Pontos finais da API	Restrições ou limitações
Aprovação de acesso	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: accessapproval.googleapis.com	Nenhum
Gestor de acesso sensível ao contexto	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: accesscontextmanager.googleapis.com	Nenhum
Artifact Registry	Endpoints da API regionais: artifactregistry.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: artifactregistry.googleapis.com	Nenhum
BigQuery	Endpoints da API regionais: bigquery.me-central2.rep.googleapis.com bigqueryconnection.me-central2.rep.googleapis.com bigqueryreservation.me-central2.rep.googleapis.com bigquerystorage.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: bigquery.googleapis.com bigqueryconnection.googleapis.com bigquerydatapolicy.googleapis.com bigqueryreservation.googleapis.com bigquerystorage.googleapis.com	Nenhum
Bigtable	Endpoints da API regionais: bigtable.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: bigtable.googleapis.com bigtableadmin.googleapis.com	Nenhum
Certificate Authority Service	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: privateca.googleapis.com	Nenhum
Cloud Build	Endpoints da API regionais: cloudbuild.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: cloudbuild.googleapis.com	Nenhum
Cloud DNS	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: dns.googleapis.com	Nenhum
Cloud HSM	Endpoints da API regionais: cloudkms.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: cloudkms.googleapis.com	Nenhum
Cloud Interconnect	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Funcionalidades afetadas
Cloud Key Management Service (Cloud KMS)	Endpoints da API regionais: cloudkms.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: cloudkms.googleapis.com	Nenhum
Cloud Load Balancing	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Nenhum
Cloud Logging	Endpoints da API regionais: logging.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: logging.googleapis.com	Nenhum
Cloud Monitoring	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: monitoring.googleapis.com	Funcionalidades afetadas
NAT na nuvem	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Nenhum
Cloud Router	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Nenhum
Cloud Run	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: run.googleapis.com	Funcionalidades afetadas
Cloud SQL	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: sqladmin.googleapis.com	Nenhum
Cloud Service Mesh	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: mesh.googleapis.com meshconfig.googleapis.com trafficdirector.googleapis.com networkservices.google.com	Nenhum
Cloud Storage	Endpoints da API regionais: storage.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: storage.googleapis.com	Funcionalidades afetadas
Cloud VPN	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Funcionalidades afetadas
Compute Engine	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Funcionalidades afetadas e restrições da política da organização
Associar	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: gkeconnect.googleapis.com connectgateway.googleapis.com	Nenhum
Dataflow	Endpoints da API regionais: dataflow.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: dataflow.googleapis.com datapipelines.googleapis.com	Nenhum
Catálogo universal do Dataplex	Endpoints da API regionais: dataplex.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: dataplex.googleapis.com datalineage.googleapis.com	Funcionalidades afetadas
Dataproc	Endpoints da API regionais: dataproc.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: dataproc-control.googleapis.com dataproc.googleapis.com	Nenhum
Contactos essenciais	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: essentialcontacts.googleapis.com	Nenhum
Filestore	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: file.googleapis.com	Nenhum
GKE Hub	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: gkehub.googleapis.com	Nenhum
Serviço de identidade do GKE	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: anthosidentityservice.googleapis.com	Nenhum
Google Cloud Armor	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Funcionalidades afetadas
Google Cloud consola	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: N/A	Nenhum
Google Kubernetes Engine	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: container.googleapis.com containersecurity.googleapis.com	Restrições de políticas da organização
Identity and Access Management (IAM)	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: iam.googleapis.com	Nenhum
Identity-Aware Proxy (IAP)	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: iap.googleapis.com	Nenhum
Memorystore para Redis	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: redis.googleapis.com	Nenhum
Network Connectivity Center	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: networkconnectivity.googleapis.com	Nenhum
Serviço de políticas da organização	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: orgpolicy.googleapis.com	Nenhum
Persistent Disk	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Nenhum
Pub/Sub	Endpoints da API regionais: pubsub.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: pubsub.googleapis.com	Nenhum
Resource Manager	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: cloudresourcemanager.googleapis.com	Nenhum
Definições de recursos	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: resourcesettings.googleapis.com	Nenhum
Secret Manager	Endpoints da API regionais: secretmanager.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: secretmanager.googleapis.com	Nenhum
Proteção de dados confidenciais	Endpoints da API regionais: dlp.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: dlp.googleapis.com	Nenhum
Diretório de serviços	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: servicedirectory.googleapis.com	Nenhum
Spanner	Endpoints da API regionais: spanner.me-central2.rep.googleapis.com Os pontos finais da API de localização não são suportados. Pontos finais da API global: spanner.googleapis.com	Nenhum
VPC Service Controls	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: accesscontextmanager.googleapis.com	Nenhum
Nuvem virtual privada (VPC)	Os pontos finais da API regionais não são suportados. Os pontos finais da API de localização não são suportados. Pontos finais da API global: compute.googleapis.com	Nenhum

Políticas da organização

Esta secção descreve como cada serviço é afetado pelos valores predefinidos da restrição da política de organização quando são criadas pastas ou projetos através do limite de dados da KSA com justificações de acesso. Outras restrições aplicáveis, mesmo que não sejam definidas por predefinição, podem oferecer uma "defesa em profundidade" adicional para proteger ainda mais os recursos da sua organização. Google Cloud

Importante: recomendamos vivamente que não altere os valores das restrições de políticas organizacionais obrigatórias indicadas nas secções seguintes. Esta ação pode prejudicar a residência dos dados. Quando é feita uma alteração deste tipo, os efeitos da mesma são difíceis ou impossíveis de reverter. Certifique-se de que compreende as ramificações da alteração do valor de uma restrição de política da organização antes de continuar.

Além disso, certifique-se de que todos os mecanismos automáticos que a sua organização usa para gerir as políticas da organização são atualizados para evitar que estes valores sejam alterados involuntariamente.

Restrições de políticas da organização ao nível da nuvem

As seguintes restrições de políticas de organização aplicam-se a qualquer Google Cloud serviço aplicável.

Restrição da política da organização	Descrição
gcp.resourceLocations	Definido como in:sa-locations como o item da lista allowedValues. Este valor restringe a criação de novos recursos apenas ao grupo de valores me-central2. Quando definido, não é possível criar recursos em outras regiões, multirregiões ou localizações fora da Arábia Saudita. Consulte o artigo Serviços suportados pelas localizações de recursos para ver uma lista de recursos que podem ser restritos pela restrição da política da organização das localizações de recursos, uma vez que alguns recursos podem estar fora do âmbito e não ser restritíveis. A alteração deste valor para um valor menos restritivo compromete potencialmente a residência de dados, permitindo que os dados sejam criados ou armazenados fora de um limite de dados em conformidade.
gcp.restrictServiceUsage	Definido para permitir todos os serviços suportados. Determina os serviços que podem ser usados restringindo o acesso em tempo de execução aos respetivos recursos. Para mais informações, consulte o artigo Restrinja a utilização de recursos para cargas de trabalho.

Restrições de políticas de organização do Compute Engine

Restrição da política da organização	Descrição
compute.disableGlobalCloudArmorPolicy	Definido como Verdadeiro. Desativa a criação de novas políticas de segurança do Google Cloud Armor globais e a adição ou a modificação de regras às políticas de segurança do Google Cloud Armor globais existentes. Esta restrição não restringe a remoção de regras nem a capacidade de remover ou alterar a descrição e a ficha de políticas de segurança globais do Google Cloud Armor. As políticas de segurança regionais do Google Cloud Armor não são afetadas por esta restrição. Todas as políticas de segurança globais e regionais existentes antes da aplicação desta restrição permanecem em vigor.
compute.disableGlobalLoadBalancing	Definido como Verdadeiro. Desativa a criação de balanceadores de carga globais. A alteração deste valor pode afetar a residência de dados na sua carga de trabalho. Recomendamos que mantenha o valor definido.
compute.disableInstanceDataAccessApis	Definido como Verdadeiro. Desativa globalmente as APIs instances.getSerialPortOutput() e instances.getScreenshot(). A ativação desta política da organização impede que gere credenciais em VMs do Windows Server. Se precisar de gerir um nome de utilizador e uma palavra-passe numa VM do Windows, faça o seguinte: Ative o SSH para VMs Windows. Execute o seguinte comando para alterar a palavra-passe da VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Substitua o seguinte: VM_NAME: o nome da VM para a qual está a definir a palavra-passe. USERNAME: o nome de utilizador do utilizador para o qual está a definir a palavra-passe. PASSWORD: a nova palavra-passe.
compute.enableComplianceMemoryProtection	Definido como Verdadeiro. Desativa algumas funcionalidades de diagnóstico internas para oferecer proteção adicional dos conteúdos da memória quando ocorre uma falha de infraestrutura. A alteração deste valor pode afetar a residência de dados na sua carga de trabalho. Recomendamos que mantenha o valor definido.

Restrições da política da organização do Google Kubernetes Engine

Restrição da política da organização	Descrição
container.restrictNoncompliantDiagnosticDataAccess	Definido como Verdadeiro. Usado para desativar a análise agregada de problemas do kernel, que é necessária para manter o controlo soberano de uma carga de trabalho. A alteração deste valor pode afetar a soberania dos dados na sua carga de trabalho. Recomendamos que mantenha o valor definido.

Funcionalidades afetadas

Esta secção indica como as funcionalidades ou as capacidades de cada serviço são afetadas pelo limite de dados da Arábia Saudita com justificações de acesso, incluindo os requisitos do utilizador quando usa uma funcionalidade.

Funcionalidades do Bigtable

Funcionalidade	Descrição
Aumento de dados	Esta funcionalidade está desativada.

Funcionalidades do Compute Engine

Funcionalidade	Descrição
Google Cloud consola	As seguintes funcionalidades do Compute Engine não estão disponíveis na Google Cloud consola. Use a API ou a CLI do Google Cloud, quando disponíveis: Verificações de saúde Grupos de pontos finais da rede O SSH baseado no navegador está desativado
Adicionar um grupo de instâncias a um balanceador de carga global	Não pode adicionar um grupo de instâncias a um equilibrador de carga global. Esta funcionalidade está desativada pela restrição da compute.disableGlobalLoadBalancing política da organização.
instances.getSerialPortOutput()	Esta API está desativada. Não vai poder obter a saída da porta de série da instância especificada através desta API. Altere o valor da restrição da política da organização compute.disableInstanceDataAccessApis para Falso para ativar esta API. Também pode ativar e usar a porta de série interativa.
instances.getScreenshot()	Esta API está desativada. Não vai poder obter uma captura de ecrã da instância especificada através desta API. Altere o valor da restrição da política da organização compute.disableInstanceDataAccessApis para Falso para ativar esta API. Também pode ativar e usar a porta de série interativa.

Funcionalidades do Cloud Interconnect

Funcionalidade	Descrição
VPN de alta disponibilidade (HA)	Tem de ativar a funcionalidade de VPN de alta disponibilidade (HA) quando usar o Cloud Interconnect com o Cloud VPN. Além disso, tem de cumprir os requisitos de encriptação e regionalização indicados nesta secção.

Funcionalidades do Cloud Monitoring

Funcionalidade	Descrição
Monitor sintético	Esta funcionalidade está desativada.
Verificação de tempo de atividade	Esta funcionalidade está desativada.
Widgets do painel de registo em Painéis de controlo	Esta funcionalidade está desativada. Não pode adicionar um painel de registo a um painel de controlo.
Widgets do painel de relatórios de erros em Painéis de controlo	Esta funcionalidade está desativada. Não pode adicionar um painel de relatórios de erros a um painel de controlo.
Filtre em EventAnnotation para Painéis de controlo	Esta funcionalidade está desativada. O filtro de EventAnnotation não pode ser definido num painel de controlo.
SqlCondition em alertPolicies	Esta funcionalidade está desativada. Não pode adicionar um SqlCondition a um alertPolicy.

Funcionalidades do Cloud Run

Funcionalidade	Descrição
Funcionalidades não suportadas	As seguintes funcionalidades do Cloud Run não são suportadas: Integração do Cloud Trace Acionadores do Eventarc

Funcionalidades do Cloud Storage

Funcionalidade	Descrição
Google Cloud consola	É da sua responsabilidade usar a consola Jurisdicional para o limite de dados da Arábia Saudita com justificações de acesso. Google Cloud A consola jurisdicional impede o carregamento e a transferência de objetos do Cloud Storage. Para carregar e transferir objetos do Cloud Storage, consulte a linha Pontos finais da API em conformidade abaixo.
Pontos finais da API em conformidade	É da sua responsabilidade usar um dos pontos finais de localização com o Cloud Storage. Consulte as localizações do Cloud Storage para mais informações.

Funcionalidades do Google Cloud Armor

Funcionalidade	Descrição
Políticas de segurança com âmbito global	Esta funcionalidade está desativada pela restrição da política da organização.compute.disableGlobalCloudArmorPolicy

Funcionalidades do Cloud VPN

Funcionalidade	Descrição
Google Cloud consola	As funcionalidades da VPN na nuvem não estão disponíveis na Google Cloud consola. Em alternativa, use a API ou a CLI Google Cloud.

Funcionalidades do catálogo universal do Dataplex

Funcionalidade	Descrição
Metadados de aspetos e glossários	Os aspetos e os glossários não são suportados. Não pode pesquisar nem gerir aspetos e glossários, nem importar metadados personalizados.
Atribua uma loja	Esta funcionalidade está descontinuada e desativada.
Catálogo de dados	Esta funcionalidade está descontinuada e desativada. Não pode pesquisar nem gerir os seus metadados no Data Catalog.
Qualidade de dados e análise do perfil de dados	A exportação dos resultados da análise de qualidade de dados não é suportada.
Descoberta	Esta funcionalidade está desativada. Não pode executar as análises de deteção para extrair metadados dos seus dados.
Lagos e zonas	Esta funcionalidade está desativada. Não pode gerir lagos, zonas nem tarefas.

Notas de rodapé

1. O BigQuery é suportado, mas não é ativado automaticamente quando cria uma nova pasta do Assured Workloads devido a um processo de configuração interno. Normalmente, este processo termina em dez minutos, mas pode demorar muito mais tempo em algumas circunstâncias. Para verificar se o processo está concluído e ativar o BigQuery, conclua os seguintes passos:

1. Na Google Cloud consola, aceda à página Assured Workloads.

   Aceda ao Assured Workloads

2. Selecione a nova pasta do Assured Workloads na lista.
3. Na página Detalhes da pasta, na secção Serviços permitidos, clique em Rever atualizações disponíveis.
4. No painel Serviços permitidos, reveja os serviços a adicionar à política da organização Restrição de utilização de recursos para a pasta. Se os serviços do BigQuery estiverem listados, clique em Permitir serviços para os adicionar.
   
   Se os serviços do BigQuery não estiverem listados, aguarde que o processo interno seja concluído. Se os serviços não forem apresentados no prazo de 12 horas após a criação da pasta, contacte o apoio técnico do Google Cloud.

Após a conclusão do processo de ativação, pode usar o BigQuery na sua pasta do Assured Workloads.

O Gemini no BigQuery não é suportado pelos Assured Workloads.