Restrictions et limites des contrôles souverains pour l'UE

Cette page décrit les restrictions, les limites et les autres options de configuration lorsque vous utilisez Sovereign Controls pour l'UE.

Présentation

Pour appliquer la résidence des données, assurez-vous d'utiliser l'une des URL suivantes lorsque vous accédez à la console Google Cloud. Ces URL ne peuvent pas être utilisées avec Dataproc. Pour en savoir plus, consultez la section ci-dessous.

• console.eu.cloud.google.com
• console.eu.cloud.google pour les utilisateurs d'identités fédérées

Pour en savoir plus, consultez la page Console Google Cloud par juridiction.

Les contrôles souverains pour l'UE offrent des fonctionnalités de résidence et de souveraineté des données pour les services Google Cloud compatibles. Pour fournir ces fonctionnalités, certaines fonctionnalités de ces services sont restreintes ou limitées. La plupart de ces modifications sont appliquées lors du processus d'intégration lors de la création d'un dossier ou d'un projet dans un environnement Sovereign Controls pour l'UE. Cependant, certaines d'entre elles peuvent être modifiées ultérieurement en changeant des règles d'administration.

Il est important de comprendre comment ces restrictions modifient le comportement d'un Google Cloud service donné, ou affectent la souveraineté des données ou la résidence des données. Par exemple, certaines fonctionnalités peuvent être automatiquement désactivées pour garantir la souveraineté et la résidence des données. En outre, si un paramètre de règle d'administration est modifié, il peut en résulter la conséquence imprévue de copie de données d'une région à une autre.

Produits et services compatibles

Remarque :Toute tentative d'utilisation de produits ou services non compatibles entraînera une erreur. Pour en savoir plus sur les produits ou services concernés, consultez les sections Règles d'administration et Fonctionnalités concernées ci-dessous.

Consultez la page Produits compatibles pour obtenir la liste des produits et services compatibles avec les Contrôles souverains pour l'UE.

Règles d'administration

Cette section décrit l'impact des valeurs de contrainte de règle d'administration par défaut sur chaque service lorsque des dossiers ou des projets sont créés à l'aide de Sovereign Controls for EU. D'autres contraintes applicables, même si elles ne sont pas définies par défaut, peuvent fournir une"défense en profondeur" supplémentaire pour mieux protéger les ressources de votre organisation. Google Cloud

Important : Nous vous recommandons vivement de ne pas modifier les valeurs des contraintes de règles d'administration non facultatives répertoriées dans les sections ci-dessous. Cela peut compromettre la résidence ou la souveraineté des données. Une fois qu'une telle modification a été apportée, ses effets sont difficiles ou impossibles à inverser. Assurez-vous de comprendre les conséquences de la modification de sa valeur avant de continuer.

En outre, assurez-vous que tous les mécanismes automatisés que votre organisation utilise pour gérer les règles d'administration sont mis à jour pour éviter que ces valeurs ne soient modifiées par inadvertance.

Contraintes liées aux règles d'administration au niveau du cloud

Les contraintes liées aux règles d'administration suivantes s'appliquent à tous les services Google Cloud applicables.

Contrainte liée aux règles d'administration	Description
gcp.resourceLocations	Définissez in:eu-locations comme élément de liste allowedValues. Cette valeur limite la création de ressources au groupe de valeurs de l'UE uniquement. Lorsqu'il est défini, aucune ressource ne peut être créée dans d'autres régions, multirégions ou emplacements en dehors de l'UE. Pour en savoir plus, consultez la documentation sur les groupes de valeurs des règles d'administration. Modifier cette valeur pour la rendre moins restrictive compromet la souveraineté et la résidence des données en autorisant la création ou le stockage de données en dehors de la limite des données de l'UE. Par exemple : remplacement du groupe de valeurs in:eu-locations par le groupe de valeurs in:europe-locations, qui inclut les emplacements des États membres de l'UE.
gcp.restrictNonCmekServices	Définissez la liste de tous les noms de service d'API couverts par le champ d'application, y compris : compute.googleapis.com container.googleapis.com storage.googleapis.com Certaines fonctionnalités peuvent être affectées pour chacun des services listés ci-dessus. Consultez la section "Fonctionnalités concernées" ci-dessous. Chaque service listé nécessite des clés de chiffrement gérées par le client (CMEK). Le chiffrement CMEK permet de chiffrer les données au repos avec une clé gérée par vous, et non avec les mécanismes de chiffrement par défaut de Google. La modification de cette valeur en supprimant un ou plusieurs services compatibles de la liste peut compromettre la souveraineté des données, car les nouvelles données au repos seront automatiquement chiffrées à l'aide des clés Google et non de la vôtre. Les données au repos existantes resteront chiffrées par la clé que vous avez fournie.
gcp.restrictCmekCryptoKeyProjects	Les utilisateurs peuvent définir cette valeur sur des projets ou des dossiers destinés à être utilisés avec les commandes souveraines pour l'UE. Par exemple : under:folders/my-folder-name Limite le champ d'application des dossiers ou projets approuvés pouvant fournir des clés KMS pour le chiffrement des données au repos à l'aide de CMEK. Cette contrainte empêche les dossiers ou projets non approuvés de fournir des clés de chiffrement, ce qui permet de garantir la souveraineté des données pour les données au repos des services compatibles.

Contraintes liées aux règles d'administration Compute Engine

Contrainte liée aux règles d'administration	Description
compute.enableComplianceMemoryProtection	Défini sur True. Désactive certaines fonctionnalités de diagnostic internes pour assurer une protection supplémentaire du contenu de la mémoire en cas de défaillance de l'infrastructure. La modification de cette valeur peut affecter la résidence ou la souveraineté des données.
compute.disableInstanceDataAccessApis	Défini sur True. Désactive globalement les API instances.getSerialPortOutput() et instances.getScreenshot().
compute.restrictNonConfidentialComputing	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour fournir une défense en profondeur supplémentaire. Pour en savoir plus, consultez la documentation sur Confidential VM.
compute.trustedImageProjects	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour fournir une défense en profondeur supplémentaire. Définir cette valeur limite le stockage d'images et l'instanciation de disques à la liste de projets spécifiée. Cette valeur affecte la souveraineté des données en empêchant l'utilisation d'images ou d'agents non autorisés.

Contraintes des règles d'administration pour Cloud Storage

Contrainte liée aux règles d'administration

Description

storage.uniformBucketLevelAccess

Défini sur True. L'accès aux nouveaux buckets est géré à l'aide de règles IAM au lieu des listes de contrôle d'accès (LCA) Cloud Storage. Cette contrainte fournit des autorisations précises pour les buckets et leur contenu. Si un bucket est créé lorsque cette contrainte est activée, l'accès à celui-ci ne pourra jamais être géré à l'aide de LCA. En d'autres termes, la méthode de contrôle des accès d'un bucket est définie de manière permanente sur l'utilisation de stratégies IAM au lieu des LCA Cloud Storage.

Contraintes liées aux règles de l'organisation Google Kubernetes Engine

Contrainte liée aux règles d'administration	Description
container.restrictNoncompliantDiagnosticDataAccess	Défini sur True. Permet de désactiver l'analyse globale des problèmes de noyau, ce qui est nécessaire pour conserver le contrôle souverain d'une charge de travail. La modification de cette valeur peut affecter la souveraineté des données dans votre charge de travail. Nous vous recommandons vivement de conserver la valeur définie.

Contraintes applicables aux règles d'administration de Cloud Key Management Service

Contrainte liée aux règles d'administration	Description
cloudkms.allowedProtectionLevels	Variable définie sur EXTERNAL. Limite les types de clés CryptoKey Cloud Key Management Service pouvant être créés et est défini pour n'autoriser que les types de clés externes.

Fonctionnalités concernées

Cette section indique l'impact des contrôles souverains pour l'UE sur les fonctionnalités de chaque service.

Fonctionnalités de BigQuery

Fonctionnalité	Description
Activer BigQuery sur un nouveau dossier	BigQuery est compatible, mais il n'est pas automatiquement activé lorsque vous créez un dossier de charges de travail assurées en raison d'un processus de configuration interne. Cette procédure se termine normalement en 10 minutes, mais peut prendre beaucoup plus de temps dans certains cas. Pour vérifier si le processus est terminé et pour activer BigQuery, procédez comme suit: Dans la console Google Cloud, accédez à la page Assured Workloads. Accéder à Assured Workloads Sélectionnez votre nouveau dossier Assured Workloads dans la liste. Sur la page Informations sur le dossier, dans la section Services autorisés, cliquez sur Examiner les mises à jour disponibles. Dans le volet Services autorisés, examinez les services à ajouter à la règle d'administration Restrictions d'utilisation des ressources pour le dossier. Si des services BigQuery sont listés, cliquez sur Allow Services (Autoriser les services) pour les ajouter. Si les services BigQuery ne sont pas listés, attendez la fin du processus interne. Si les services ne sont pas listés dans les 12 heures suivant la création du dossier, contactez l'assistance client Cloud. Une fois le processus d'activation terminé, vous pouvez utiliser BigQuery dans votre dossier Assured Workloads. Gemini dans BigQuery n'est pas compatible avec Assured Workloads.
Fonctionnalités non compatibles	Les fonctionnalités BigQuery suivantes ne sont pas compatibles et ne doivent pas être utilisées dans la CLI BigQuery. Il vous incombe de ne pas les utiliser dans BigQuery pour les contrôles souverains de l'UE. Interaction avec des sources de données distantes Les modèles BQML entraînés en externe ne sont pas acceptés. Les modèles BQML entraînés en interne sont acceptés. Requêtes planifiées et fédérées Masquage dynamique des données Exportation GDrive Fonctions à distance Requêtes enregistrées Planification des workflows Pour BigQuery Studio, les notebooks ne sont pas compatibles.
Intégrations non compatibles	Les intégrations BigQuery suivantes ne sont pas compatibles. Il est de votre responsabilité de ne pas les utiliser avec BigQuery pour les contrôles souverains de l'UE. Les méthodes d'API CreateTag, SearchCatalog, Bulk tagging et Business Glossary de l'API Data Catalog peuvent traiter et stocker des données techniques d'une manière non prise en charge. Il est de votre responsabilité de ne pas utiliser ces méthodes pour les contrôles souverains dans l'UE.
API BigQuery compatibles	Les API BigQuery suivantes sont compatibles: Ensembles de données Emplois Modèles Projets Réservations Routines Règles d'accès aux lignes Lecture du stockage Écriture du stockage Tables Données du tableau L'API Reservations n'est pas activée par défaut. Vous pouvez activer l'API en suivant les instructions de cette page.
Régions	BigQuery est compatible avec toutes les régions BigQuery de l'UE, à l'exception de l'emplacement multirégional de l'UE. La conformité ne peut pas être garantie si un ensemble de données est créé dans une zone multirégionale de l'UE, une région hors UE ou une zone multirégionale hors UE. Il est de votre responsabilité de spécifier une région conforme lorsque vous créez des ensembles de données BigQuery. Si une requête de liste de données de table est envoyée à l'aide d'une région de l'UE, mais que l'ensemble de données a été créé dans une autre région de l'UE, BigQuery ne peut pas déduire la région souhaitée et l'opération échoue avec un message d'erreur "Ensemble de données introuvable".
Console Google Cloud	L'interface utilisateur BigQuery de la console Google Cloud est prise en charge.
ICL BigQuery	La CLI BigQuery est prise en charge.
SDK Google Cloud	Vous devez utiliser le SDK Google Cloud version 403.0.0 ou ultérieure pour conserver les garanties de régionalisation des données pour les données techniques. Pour vérifier votre version actuelle du SDK Google Cloud, exécutez gcloud --version, puis gcloud components update pour passer à la dernière version.
Commandes d'administration	BigQuery désactive les API non compatibles, mais les administrateurs disposant d'autorisations suffisantes pour créer un dossier de charges de travail assurées peuvent activer une API non compatible. Dans ce cas, vous serez informé d'un éventuel non-respect via le tableau de bord de surveillance Assured Workloads.
Charger des données	Les connecteurs du service de transfert de données BigQuery pour les applications SaaS (Software as a Service) de Google, les fournisseurs de stockage cloud externes et les entrepôts de données ne sont pas compatibles. Il est de votre responsabilité de ne pas utiliser les connecteurs du service de transfert de données BigQuery pour les contrôles souverains pour les charges de travail de l'UE.
Transferts tiers	BigQuery ne vérifie pas la compatibilité des transferts tiers avec le service de transfert de données BigQuery. Il est de votre responsabilité de vérifier la prise en charge lorsque vous utilisez un transfert tiers pour le service de transfert de données BigQuery.
Modèles BQML non conformes	Les modèles BQML entraînés en externe ne sont pas acceptés.
Tâches de requête	Les jobs de requête avec ne doivent être créés que dans les dossiers "Contrôles souverains pour l'UE".
Requêtes sur des ensembles de données dans d'autres projets	BigQuery n'empêche pas les requêtes sur les ensembles de données Sovereign Controls pour l'UE à partir de projets Sovereign Controls pour l'UE. Vous devez vous assurer que toute requête comportant une lecture ou une jointure sur les données des contrôles souverains pour l'UE est placée dans un dossier "Contrôles souverains pour l'UE". Vous pouvez spécifier un nom de table complet pour le résultat de la requête à l'aide de projectname.dataset.table dans la CLI BigQuery.
Cloud Logging	BigQuery utilise Cloud Logging pour certaines de vos données de journal. Pour être en conformité, vous devez désactiver vos buckets de journalisation _Default ou les limiter aux régions de l'UE._Default Pour savoir comment définir l'emplacement des nouveaux buckets _Default ou comment désactiver l'acheminement des entrées vers de nouveaux buckets _Default, consultez la section Configurer les paramètres par défaut pour les organisations et les dossiers.

Fonctionnalités Bigtable

Fonctionnalité	Description
Fonctionnalités non compatibles	Les fonctionnalités et méthodes d'API Bigtable suivantes ne sont pas compatibles. Il vous incombe de ne pas les utiliser avec Bigtable pour les contrôles souverains pour l'UE. La méthode d'API ListHotTablets de l'API Admin RPC traite et stocke des données techniques d'une manière non compatible. Il est de votre responsabilité de ne pas utiliser cette méthode pour les contrôles souverains dans l'UE. La méthode d'API hotTablets.list de l'API Rest Admin traite et stocke des données techniques d'une manière non compatible. Il est de votre responsabilité de ne pas utiliser cette méthode pour les contrôles souverains dans l'UE.
Limites de division	Bigtable utilise un petit sous-ensemble de clés de ligne pour définir les limites de fractionnement, qui peuvent inclure des données client et des métadonnées. Une limite de fractionnement dans Bigtable indique l'emplacement où les plages de lignes contiguës d'une table sont divisées en tablets. Le personnel Google peut accéder à ces limites de fractionnement à des fins d'assistance technique et de débogage. Elles ne sont pas soumises aux contrôles des données d'accès administratif dans les contrôles souverains pour l'UE.

Fonctionnalités de Spanner

Fonctionnalité

Description

Limites de division

Spanner utilise un petit sous-ensemble de clés primaires et de colonnes indexées pour définir des limites de fractionnement, qui peuvent inclure des données client et des métadonnées. Une limite de fractionnement dans Spanner indique l'emplacement où les plages contiguës de lignes sont divisées en parties plus petites. Le personnel Google peut accéder à ces limites de fractionnement à des fins d'assistance technique et de débogage. Elles ne sont pas soumises aux contrôles des données d'accès administratif dans les contrôles souverains pour l'UE.

Fonctionnalités de Dataproc

Fonctionnalité	Description
Console Google Cloud	Dataproc n'est actuellement pas compatible avec la console Google Cloud juridictionnelle. Pour appliquer la résidence des données, assurez-vous d'utiliser la Google Cloud CLI ou l'API lorsque vous utilisez Dataproc.

Fonctionnalités de GKE

Fonctionnalité	Description
Restrictions sur les ressources de cluster	Assurez-vous que la configuration de votre cluster n'utilise pas de ressources pour des services non compatibles avec les contrôles souverains pour l'UE. Par exemple, la configuration suivante n'est pas valide, car elle nécessite d'activer ou d'utiliser un service non pris en charge: set `binaryAuthorization.evaluationMode` to `enabled`

Fonctionnalités de Cloud Logging

Pour utiliser Cloud Logging avec des clés de chiffrement gérées par le client (CMEK), vous devez suivre les étapes décrites sur la page Activer CMEK pour une organisation de la documentation Cloud Logging.

Fonctionnalité	Description
Récepteurs de journaux	Les filtres ne doivent pas contenir de données client. Les récepteurs de journaux incluent des filtres qui sont stockés en tant que configuration. Ne créez pas de filtres contenant des données client.
Affichage en direct des dernières lignes des entrées de journal	Les filtres ne doivent pas contenir de données client. Une session de suivi en direct inclut un filtre stocké en tant que configuration. Les journaux de suivi ne stockent aucune donnée d'entrée de journal, mais peuvent interroger et transmettre des données entre les régions. Ne créez pas de filtres contenant des données client.
Alertes basées sur des journaux	Cette fonctionnalité est désactivée. Vous ne pouvez pas créer d'alertes basées sur les journaux dans la console Google Cloud.
URL abrégées pour les requêtes de l'explorateur de journaux	Cette fonctionnalité est désactivée. Vous ne pouvez pas créer d'URL de requêtes raccourcies dans la console Google Cloud.
Enregistrer des requêtes dans l'explorateur de journaux	Cette fonctionnalité est désactivée. Vous ne pouvez pas enregistrer de requêtes dans la console Google Cloud.
Analyse de journaux avec BigQuery	Cette fonctionnalité est désactivée. Vous ne pouvez pas utiliser la fonctionnalité Log Analytics.
Règles d'alerte basées sur SQL	Cette fonctionnalité est désactivée. Vous ne pouvez pas utiliser la fonctionnalité de règles d'alerte basées sur SQL.

Fonctionnalités de Cloud Monitoring

Fonctionnalité	Description
Surveillance synthétique	Cette fonctionnalité est désactivée.
Test de disponibilité	Cette fonctionnalité est désactivée.
Widgets du panneau des journaux dans Tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau de journal à un tableau de bord.
Widgets du panneau Error Reporting dans Tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau de signalement d'erreurs à un tableau de bord.
Filtrer dans EventAnnotation pour Tableaux de bord	Cette fonctionnalité est désactivée. Le filtre de EventAnnotation ne peut pas être défini dans un tableau de bord.
SqlCondition dans alertPolicies	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de SqlCondition à un alertPolicy.

Fonctionnalités de Compute Engine

Extraction	Description
Suspendre et réactiver une instance de VM	Cette fonctionnalité est désactivée. La suspension et la réactivation d'une instance de VM nécessitent un stockage sur disque persistant, et le stockage sur disque persistant utilisé pour stocker l'état de VM suspendue ne peut actuellement pas être chiffré avec CMEK. Consultez la contrainte de règle d'administration gcp.restrictNonCmekServices dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté et la résidence des données.
Disques SSD locaux	Cette fonctionnalité est désactivée. Vous ne pourrez pas créer d'instance avec des SSD locaux, car ils ne peuvent pas être chiffrés à l'aide de CMEK pour le moment. Consultez la contrainte de règle d'administration gcp.restrictNonCmekServices dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté et la résidence des données.
Environnement invité	Les scripts, les daemons et les binaires inclus avec l'environnement invité peuvent accéder aux données au repos et en cours d'utilisation non chiffrées. En fonction de la configuration de votre VM, les mises à jour de ce logiciel peuvent être installées par défaut. Pour en savoir plus sur le contenu, le code source et plus encore de chaque package, consultez la section Environnement invité. Ces composants vous aident à respecter la souveraineté des données grâce à des contrôles et des processus de sécurité internes. Toutefois, si vous souhaitez exercer un contrôle supplémentaire, vous pouvez également sélectionner vos propres images ou agents, et éventuellement utiliser la contrainte de règle d'administration compute.trustedImageProjects. Pour en savoir plus, consultez la page Créer une image personnalisée.
instances.getSerialPortOutput()	Cette API est désactivée ; vous ne pouvez pas obtenir de données en sortie du port série depuis l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de cette page.
instances.getScreenshot()	Cette API est désactivée ; vous ne pouvez pas obtenir de capture d'écran à partir de l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de cette page.