Restricciones y limitaciones para ITAR

En esta página, se describen las restricciones, las limitaciones y otras opciones de configuración cuando se usa el paquete de control de ITAR.

Descripción general

El paquete de control del Reglamento sobre el Tráfico Internacional de Armas (ITAR) permite el control de acceso a los datos y las funciones de residencia servicios de Google Cloud dentro del alcance. Algunos de estos servicios funciones Google las restringe o limita para que sean compatibles con ITAR. La mayoría se aplican restricciones y limitaciones cuando se crea un nuevo Carpeta de Assured Workloads para ITAR, pero se pueden cambiar algunos de ellos. más adelante modificando políticas de la organización. Además, algunas restricciones y limitaciones requieren responsabilidad del usuario para garantizar el cumplimiento.

Es importante comprender cómo modifican estas restricciones el comportamiento de una un servicio de Google Cloud o que afectan el acceso a los datos o residencia de datos. Por ejemplo, algunos funciones o capacidades puedan inhabilitarse automáticamente para garantizar que los datos se mantienen las restricciones de acceso y la residencia de los datos. Además, si un se cambia el parámetro de configuración de la política de la organización, podría tener una consecuencia no deseada de copiar datos de una región a otra.

Requisitos previos

Para cumplir con el cumplimiento como usuario del paquete de control de ITAR, asegúrate de Debes cumplir y cumplir con los siguientes requisitos previos:

  • Crear una carpeta de ITAR con Assured Workloads y, luego, implementar tu ITAR las cargas de trabajo solo en esa carpeta.
  • Habilitar y usar solo los servicios de ITAR que estén dentro del alcance para las cargas de trabajo de ITAR.
  • No cambiar la configuración predeterminada valores de restricciones de la política de la organización, a menos que comprendas y estás dispuesto a aceptar los riesgos de residencia de datos que puedan surgir.
  • Cuando te conectes a los extremos de servicio de Google Cloud, debes usar extremos para los servicios que los ofrecen. Además:
    • Cuando te conectas a extremos de servicios de Google Cloud desde servicios ajenos a Google Cloud VMs, como las de otros proveedores de servicios en la nube VMs, debes usar uno de los opciones de acceso privado que admiten conexiones a VMs que no son de Google Cloud para enrutar el el tráfico que no sea de Google Cloud a Google Cloud.
    • Cuando te conectas a extremos de servicio de Google Cloud desde VMs de Google Cloud, puedes usar cualquiera de los servicios opciones de acceso privado.
    • Cuando te conectas a las VMs de Google Cloud que se expusieron con una IP externa externas, consulta Accede a las APIs desde las VMs con direcciones IP externas.
  • Para todos los servicios usados en una carpeta de ITAR, no almacenes datos técnicos en la los siguientes tipos de información de configuración de seguridad o definidos por el usuario:
    • Mensajes de error
    • Resultado de la consola
    • Datos de atributos
    • Datos de configuración del servicio
    • Encabezados del paquete de red
    • Identificadores de recursos
    • Etiquetas de datos
  • Usar solo los extremos regionales o de ubicación especificados para los servicios que ofrecerles. Para obtener más información, consulta servicios de ITAR que están dentro del alcance.
  • Considera adoptar las prácticas recomendadas de seguridad generales que se proporcionan en la Centro de prácticas recomendadas para la seguridad de Google Cloud.

Servicios dentro del alcance

Los siguientes servicios son compatibles con ITAR:

Políticas de la organización

En esta sección, se describe la forma en que la organización predeterminada afecta cada servicio valores de restricción de política cuando se crean carpetas o proyectos con ITAR. Otra opción restricciones aplicables, incluso si no se establecen de forma predeterminada, pueden proporcionar más “defensa en profundidad” para proteger aún más la infraestructura recursos de Google Cloud.

Restricciones de la política de la organización en toda la nube

Las siguientes restricciones de política de la organización se aplican a cualquier servicio de Google Cloud aplicable.

Restricción de las políticas de la organización Descripción
gcp.resourceLocations Se establece en in:us-locations como el elemento de lista allowedValues.

Este valor restringe la creación de recursos nuevos para el grupo de valores de EE.UU. solamente. Cuando se configura, no se pueden crear recursos en otras regiones, multirregiones o ubicaciones fuera de EE.UU. Consulta la documentación sobre grupos de valores de políticas de la organización para obtener más información.

Hacerlo menos restrictivo puede socavar el cambio de este valor la residencia de datos permitiendo que los datos se creen o almacenen fuera de EE.UU. límite de datos. Por ejemplo: reemplazar los in:us-locations grupo de valores con el in:northamerica-locations grupo de valores.
gcp.restrictNonCmekServices Se configura como una lista de todos los nombres de servicios de API dentro del alcance, incluidos los siguientes:
  • compute.googleapis.com
  • container.googleapis.com
  • storage.googleapis.com
Es posible que algunas funciones se vean afectadas en cada uno de los servicios mencionados anteriormente. Consulta la sección Funciones afectadas que se encuentra a continuación.

Cada servicio de la lista requiere Claves de encriptación administradas por el cliente (CMEK). CMEK garantiza que los datos en reposo se encripten con una clave que administres, no Mecanismos de encriptación predeterminados de Google

Si cambias este valor, quita uno o más servicios dentro del alcance del puede socavar los datos soberanía de los datos, ya que los nuevos datos en reposo se encriptarán automáticamente mediante el almacenamiento en lugar de las tuyas. Los datos en reposo existentes permanecerán encriptados con la clave que proporcionaste.
gcp.restrictCmekCryptoKeyProjects Configúralo en todos los recursos de la carpeta de ITAR que creaste.

Limita el permiso de las carpetas o los proyectos aprobados que pueden proporcionar Claves de KMS para encriptar datos en reposo con CMEK. Esta restricción evita que las carpetas o los proyectos no aprobados proporcionen claves de encriptación, lo que ayuda a garantizar la soberanía de los datos para los datos en reposo de los servicios dentro del alcance.
gcp.restrictServiceUsage Se establece para permitir todos los servicios dentro del alcance.

Determina qué servicios se pueden habilitar y usar. Para obtener más información, ver Restringe el uso de recursos para cargas de trabajo.

Restricciones de las políticas de la organización de Compute Engine

Restricción de las políticas de la organización Descripción
compute.disableGlobalLoadBalancing Configurado como True.

Inhabilita la creación de productos de balanceo de cargas global.

Cambiar este valor puede afectar la residencia de los datos de tu carga de trabajo. nosotros se recomienda mantener el valor establecido.
compute.disableGlobalSelfManagedSslCertificate Configurado como True.

Inhabilita la creación de certificados SSL autoadministrados globales.

Cambiar este valor puede afectar la residencia de los datos de tu carga de trabajo. nosotros se recomienda mantener el valor establecido.
compute.disableInstanceDataAccessApis Configurado como True.

Inhabilita de manera global las APIs instances.getSerialPortOutput() y instances.getScreenshot().

Si habilitas esta política de la organización, no podrás realizar las siguientes acciones: genera credenciales en VMs de Windows Server.

Si necesitas administrar un nombre de usuario y una contraseña en una VM de Windows, haz lo siguiente: lo siguiente:
  1. Habilita SSH para las VMs de Windows.
  2. Ejecuta el siguiente comando para cambiar la contraseña de la VM: 
    gcloud compute ssh
VM_NAME --command "net user USERNAME PASSWORD"
    Reemplaza lo siguiente:
    • VM_NAME: Es el nombre de la VM en la que configuras la contraseña. .
    • USERNAME: El nombre de usuario del usuario que estás configurando la contraseña.
    • PASSWORD: Es la contraseña nueva.
compute.disableNestedVirtualization Configurado como True.

Inhabilita la virtualización anidada con aceleración de hardware para todos VMs de Compute Engine en la carpeta de ITAR.

Cambiar este valor puede afectar la residencia de los datos de tu carga de trabajo. nosotros se recomienda mantener el valor establecido.
compute.enableComplianceMemoryProtection Configurado como True.

Inhabilita algunas funciones de diagnóstico interno para proporcionar protección adicional del contenido de la memoria cuando se produce una falla en la infraestructura.

Cambiar este valor puede afectar la residencia de los datos de tu carga de trabajo. nosotros se recomienda mantener el valor establecido.
compute.restrictNonConfidentialComputing

 (Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Consulta la documentación de Confidential VM para obtener más información.
compute.restrictLoadBalancerCreationForTypes

 Se establece para permitir todos los valores, excepto los GLOBAL_EXTERNAL_MANAGED_HTTP_HTTPS Consulta Elige un balanceador de cargas para obtener más información.

Restricciones de las políticas de la organización de Google Kubernetes Engine

Restricción de las políticas de la organización Descripción
container.restrictNoncompliantDiagnosticDataAccess Configurado como True.

Se usa para inhabilitar el análisis agregado de los problemas del kernel, que es necesario a fin de mantener el control soberano de una carga de trabajo.

Cambiar este valor puede afectar la soberanía de los datos de tu carga de trabajo. nosotros se recomienda mantener el valor establecido.

Funciones afectadas

En esta sección, se indica cómo se ven afectadas las funciones o capacidades de cada servicio ITAR, incluidos los requisitos del usuario cuando se usa una función.

Características de BigQuery

Atributo Descripción
Habilita BigQuery en una carpeta nueva BigQuery es compatible, pero no se habilita automáticamente cuando creas un nuevo Carpeta de Assured Workloads debido a un proceso de configuración interno. Este proceso normalmente finaliza en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si finalice y, para habilitar BigQuery, completa los siguientes pasos:
  1. En la consola de Google Cloud, ve a la página Assured Workloads.

    Ir a Assured Workloads

  2. Selecciona tu nueva carpeta de Assured Workloads de la lista.
  3. En la página Detalles de la carpeta, en la sección Servicios permitidos, haz clic en Revisa las actualizaciones disponibles.
  4. En el panel Servicios permitidos, revisa los servicios que deseas agregar al Restricción del uso de recursos política de la organización para la carpeta. Si aparecen los servicios de BigQuery, haz clic en Permite que los servicios los agreguen.

    Si los servicios de BigQuery no aparecen en la lista, espera a que se complete el proceso interno. Si el botón no aparecen en un plazo de 12 horas a partir de la creación de la carpeta, comunícate con Atención al cliente de Cloud.

Una vez completado el proceso de habilitación, puedes usar BigQuery en tu Assured Workloads.
Características no compatibles Las siguientes funciones de BigQuery no son compatibles con ITAR el cumplimiento y no se deben usar en la CLI de BigQuery. Es el responsabilidad del cliente de no usarlos en BigQuery para ITAR de las cargas de trabajo.
Integraciones no compatibles Las siguientes integraciones de BigQuery no son compatibles con el cumplimiento de ITAR. Es responsabilidad del cliente no usarlos con BigQuery para las cargas de trabajo de ITAR.
  • La CreateTag, SearchCatalog, Bulk tagging y API de Business Glossary métodos del API de Data Catalog puede procesar y almacenar datos técnicos de ITAR de una forma que no sea que cumplen con ITAR. Es responsabilidad del cliente no usar esos métodos para las cargas de trabajo de ITAR.
APIs de BigQuery compatibles Las siguientes APIs de BigQuery cumplen con ITAR:
Regiones BigQuery cumple con ITAR para todos los datos de BigQuery de EE.UU. excepto la multirregión de EE.UU. No se puede garantizar el cumplimiento de ITAR si un conjunto de datos se crea en una multirregión de EE.UU., en una región no estadounidense o en una región distinta de EE.UU. multirregionales. Es responsabilidad del cliente especificar un Región que cumple con ITAR cuando se crean conjuntos de datos de BigQuery.

Si una solicitud de lista de datos de tablas se envía utilizando una región de EE.UU., pero el conjunto de datos se creó en otra región de EE.UU., BigQuery no puede inferir qué región lo suponía el cliente, y la operación fallará con un “conjunto de datos encontrado" mensaje de error.
Consola de Google Cloud La interfaz de usuario de BigQuery en la consola de Google Cloud es que cumplen con ITAR.

CLI de BigQuery La CLI de BigQuery cumple con ITAR.

SDK de Google Cloud Debes usar la versión 403.0.0 o posterior del SDK de Google Cloud para mantener los datos garantías de regionalización para datos técnicos de ITAR. Para verificar tu actual versión del SDK de Google Cloud, ejecuta gcloud --version y, luego, gcloud components update para actualizar a la versión más reciente.
Controles de administrador BigQuery inhabilitará las APIs que no cumplan con las políticas, pero administradores con permisos suficientes para crear un La carpeta de Assured Workloads puede habilitar una API que no cumple con las políticas. Debería el cliente recibirá una notificación sobre el posible incumplimiento mediante la Supervisión de Assured Workloads panel de control.
Cargando datos Los conectores del Servicio de transferencia de datos de BigQuery para apps de software como servicio (SaaS) de Google, proveedores de almacenamiento en la nube externos y almacenes de datos no cumplen con ITAR. Es el responsabilidad del cliente de no usar la Transferencia de datos de BigQuery Conectores de servicio para cargas de trabajo de ITAR.
Transferencias de terceros BigQuery no verifica el cumplimiento de ITAR para terceros para el Servicio de transferencia de datos de BigQuery. Es el responsabilidad del cliente de verificar el cumplimiento de ITAR cuando use para la transferencia de terceros para el Servicio de transferencia de datos de BigQuery.
Modelos de BQML que no cumplen con las políticas Los modelos de BQML entrenados externamente no cumplen con ITAR.
Trabajos de consulta Los trabajos de consulta con datos técnicos de ITAR deben crearse solo dentro de ITAR proyectos.
Consultas de conjuntos de datos de ITAR de proyectos que no son de ITAR BigQuery no impide que los conjuntos de datos de ITAR se consulten desde proyectos no ITAR. Los clientes deben asegurarse de que cualquier consulta que tenga o una unión de los datos técnicos de ITAR en una carpeta que cumple con ITAR. Los clientes pueden especificar un completamente calificado nombre de la tabla para el resultado de la consulta con projectname.dataset.table en la CLI de BigQuery.
Cloud Logging BigQuery utiliza Cloud Logging para algunos datos de registro de clientes. Los clientes deben inhabilitar sus _default buckets de registros o restringir _default buckets a regiones de EE.UU. para mantener el cumplimiento de ITAR con el siguiente comando:

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

Consulta esta página para obtener más información información.

Características de Compute Engine

Atributo Descripción
Consola de Google Cloud Las siguientes funciones de Compute Engine no están disponibles en el Consola de Google Cloud En su lugar, usa la API o Google Cloud CLI:

  1. Verificaciones de estado
  2. Grupos de extremos de red
VMs de la solución Bare Metal Es tu responsabilidad no usar VMs de la solución Bare Metal (VMs o2) porque Las VMs de la solución Bare Metal no cumplen con ITAR.

VMs de Google Cloud VMware Engine Es tu responsabilidad no usar VMs de Google Cloud VMware Engine, ya que Las VMs de Google Cloud VMware Engine no cumplen con ITAR.

Crea una instancia de VM C3 Esta función está inhabilitada.
Usa discos persistentes o sus instantáneas sin CMEK No puedes usar discos persistentes ni sus instantáneas, a menos que tengan se encriptó con CMEK.
Crea VMs anidadas o que usen la virtualización anidada No puedes crear VMs anidadas ni que utilicen virtualización anidada.

Esta función está inhabilitada por el compute.disableNestedVirtualization política de la organización descrita en la sección anterior.
Agrega un grupo de instancias a un balanceador de cargas global No puedes agregar un grupo de instancias a un balanceador de cargas global.

Esta función está inhabilitada por el Restricción de la política de la organización: compute.disableGlobalLoadBalancing descrita en la sección anterior.
Enruta solicitudes a un balanceador de cargas de HTTPS externo multirregional No puedes enrutar solicitudes a una carga de HTTPS externa multirregional del balanceador de cargas.

Esta función está inhabilitada por el compute.restrictLoadBalancerCreationForTypes política de la organización descrita en la sección anterior.
Comparte un disco persistente SSD en modo multiescritura No se puede compartir un disco persistente SSD en modo multiescritura entre instancias de VM.
Suspende y reanuda una instancia de VM Se inhabilitó esta función.

Suspender y reanudar una instancia de VM requiere almacenamiento en disco persistente, y el almacenamiento en disco persistente usado para almacenar el estado de la VM suspendida no se puede se encripten con CMEK. Consulta la gcp.restrictNonCmekServices organización restricción de la política en la sección anterior para comprender la residencia de los datos consecuencias de habilitar esta función.
SSD locales Se inhabilitó esta función.

No podrás crear una instancia con SSD locales debido a no se pueden encriptar con CMEK. Consulta la gcp.restrictNonCmekServices organización restricción de la política en la sección anterior para comprender la residencia de los datos consecuencias de habilitar esta función.
Entorno huésped Es posible que las secuencias de comandos, los daemons y los objetos binarios incluidos en el entorno invitado accedan a datos en reposo y en uso no encriptados. Según la configuración de la VM, es posible que se instalen actualizaciones de este software de forma predeterminada. Consulta Entorno invitado para obtener información específica sobre el contenido de cada paquete, el código fuente y mucho más.

Estos componentes te ayudan a cumplir con la residencia de los datos a través de la seguridad interna controles y procesos de cumplimiento. Sin embargo, para los usuarios que deseen también puedes seleccionar tus propias imágenes o agentes y, de manera opcional, usar la política de la organización compute.trustedImageProjects “compute.vmExternalIpAccess”.

Consulta la Cómo crear una imagen personalizada para obtener más información.
instances.getSerialPortOutput() Esta API está inhabilitada no podrás obtener la salida del puerto en serie de la instancia especificada con esta API.

Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo siguiendo las instrucciones esta página.
instances.getScreenshot() Esta API está inhabilitada no podrás obtener una captura de pantalla de la instancia especificada con esta API.

Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo siguiendo las instrucciones esta página.

Funciones de Cloud DNS

Atributo Descripción
Consola de Google Cloud Las funciones de Cloud DNS no están disponibles en la consola de Google Cloud. Usa en su lugar, la API o Google Cloud CLI.

Características de Cloud Interconnect

Atributo Descripción
Consola de Google Cloud Las funciones de Cloud Interconnect no están disponibles en el Consola de Google Cloud Usa el API o Google Cloud CLI en su lugar.
VPN con alta disponibilidad (HA) Debes habilitar la funcionalidad de VPN con alta disponibilidad (HA) cuando uses Cloud Interconnect con Cloud VPN. Además, debes cumplir con los requisitos de encriptación y regionalización que se enumeran esta sección.

Características de Cloud Load Balancing

Atributo Descripción
Consola de Google Cloud Las funciones de Cloud Load Balancing no están disponibles en el Consola de Google Cloud Usa la API o Google Cloud CLI en su lugar.
Balanceadores de cargas regionales Solo debes usar balanceadores de cargas regionales con ITAR. Consulta lo siguiente páginas para obtener más información sobre la configuración de balanceadores de cargas regionales:

Funciones de Cloud Logging

Para usar Cloud Logging con claves de encriptación administradas por el cliente (CMEK), debes completa los pasos del Habilita CMEK para una organización en la documentación de Cloud Logging.

Atributo Descripción
Receptores de registros No ingreses información sensible (datos del cliente) en los filtros de receptores. Fregadero los filtros se tratan como datos del servicio.
Entradas de registro de transmisión de registros en tiempo real No crees filtros que contengan datos del cliente.

Una sesión de transmisión de registros en tiempo real incluye un filtro que se almacena como configuración. Los registros de cola no almacenan ningún dato de entrada de registro, pero pueden consultar y transmitir datos entre regiones.
Alertas basadas en registros Se inhabilitó esta función.

No puedes crear alertas basadas en registros en la consola de Google Cloud.
URL reducidas para las consultas del Explorador de registros Se inhabilitó esta función.

No puedes crear URL acortadas de consultas en la consola de Google Cloud.
Guarda consultas en el Explorador de registros Se inhabilitó esta función.

No puedes guardar ninguna consulta en la consola de Google Cloud.
Estadísticas de registros con BigQuery Se inhabilitó esta función.

No puedes usar la función de estadísticas de registros.

Funciones de Cloud Monitoring

Atributo Descripción
Monitor sintético Se inhabilitó esta función.
Verificación de tiempo de actividad Se inhabilitó esta función.
Widgets del panel de registros en Paneles Esta función está inhabilitada.

No puedes agregar un panel de registros a un o un panel dinámico más robusto.
Widgets del panel de Error Reporting en Paneles Esta función está inhabilitada.

No puedes agregar un informe de errores un panel nuevo a un panel.
Filtrar EventAnnotation de Paneles Esta función está inhabilitada.

Filtro de EventAnnotation no se pueden configurar en un panel.

Funciones de Network Connectivity Center

Atributo Descripción
Consola de Google Cloud Las funciones de Network Connectivity Center no están disponibles en la consola de Google Cloud. Usa la API o Google Cloud CLI en su lugar.

Funciones de Cloud NAT

Atributo Descripción
Consola de Google Cloud Las funciones de Cloud NAT no están disponibles en la consola de Google Cloud. Usa en su lugar, la API o Google Cloud CLI.

Funciones de Cloud Router

Atributo Descripción
Consola de Google Cloud Las funciones de Cloud Router no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI.

Características de Cloud SQL

Atributo Descripción
Exportando a CSV Exportando a CSV no cumple con ITAR y no debe usarse. Esta función se inhabilita en la consola de Google Cloud.
executeSql El método executeSql de la API de Cloud SQL no es cumpla con ITAR y no debe usarse.

Características de Cloud Storage

Atributo Descripción
Consola de Google Cloud Para mantener el cumplimiento de ITAR, es tu responsabilidad usar el Jurisdicción Consola de Google Cloud. La consola Jurisdictional evita que se suban archivos descargar objetos de Cloud Storage. Para subir y descargar Objetos de Cloud Storage, consulta la fila Extremos de la API que cumplen con los requisitos. a continuación.
Extremos de API compatibles Debes usar uno de los extremos de ubicación que cumplen con ITAR con en Google Cloud Storage. Los extremos de ubicación están disponibles para todas las regiones de EE.UU. la multirregión de EE.UU. y la región doble predefinida de NAM4. Los extremos de ubicación no están disponibles para regiones dobles, excepto para Región doble de NAM4. Consulta esta página para obtener más información sobre las ubicaciones en Cloud Storage.
Restricciones Debes usar los extremos de ubicación de Cloud Storage para que cumplen con ITAR. Obtén más información sobre la ubicación de Cloud Storage extremos para ITAR, consulta Extremos de ubicación para Cumplimiento de ITAR.

Las siguientes operaciones no son compatibles con los extremos de ubicación. Sin embargo, estas operaciones no contienen datos del cliente como se define en el datos condiciones del servicio de residencia. Por eso, puedes usar extremos globales para estas operaciones según sea necesario sin infringir el cumplimiento de ITAR:
Copia y reescribe objetos Las operaciones de copia y reescritura para y los objetos son compatibles con los extremos de ubicación si tanto la fuente y los buckets de destino se encuentran en la región especificada en el extremo. Sin embargo, no puedes usar extremos de ubicación para copiar o reescribir un objeto. de un bucket a otro si se encuentran en ubicaciones distintas. Integra es posible usar extremos globales para copiar o reescribir en distintas ubicaciones, pero no lo recomendamos, ya que puede infringir el cumplimiento de ITAR.

Funciones de GKE

Atributo Descripción
Restricciones de recursos del clúster Asegúrate de que la configuración del clúster no use recursos para servicios no compatibles con el programa de cumplimiento de ITAR. Por ejemplo: la siguiente configuración no es válida porque requiere habilitación o usando un servicio no compatible:

set `binaryAuthorization.evaluationMode` to `enabled`

Funciones de VPC

Atributo Descripción
Consola de Google Cloud Las funciones de redes de VPC no están disponibles en la Consola de Google Cloud Usa la API o Google Cloud CLI en su lugar.

Características de Cloud VPN

Atributo Descripción
Consola de Google Cloud Las funciones de Cloud VPN no están disponibles en la consola de Google Cloud. Usa la API o Google Cloud CLI en su lugar.
Encriptación Solo debes usar algoritmos de cifrado que cumplan con FIPS 140-2 al crear certificados de Google y configurar la seguridad de tu IP. Consulta esta página para obtener más información sobre los cifrados compatibles con Cloud VPN. Para orientación para seleccionar un algoritmo de cifrado que cumpla con los estándares FIPS 140-2 consulta esta página.

En este momento, no hay forma de cambiar un algoritmo de cifrado existente en Google Cloud. Asegúrate de configurar el cifrado en tu dispositivo de terceros que sea usarse con Cloud VPN.
Extremos de VPN Solo debes usar extremos de Cloud VPN que se encuentren en EE.UU. Asegúrate de que tu puerta de enlace de VPN esté configurada para usarse solo en una región de EE.UU.

¿Qué sigue?