Restricciones y limitaciones de la ITAR
En esta página, se describen las restricciones, las limitaciones y otras opciones de configuración cuando usas el paquete de control de ITAR.
Descripción general
El paquete de control del Reglamento Internacional de Tráfico de Armas (ITAR) habilita las funciones de control de acceso a los datos y de residencia para los servicios Google Cloud dentro del alcance. Google restringe o limita algunas de las funciones de estos servicios para que sean compatibles con el ITAR. La mayoría de estas restricciones y limitaciones se aplican cuando se crea una nueva carpeta de Assured Workloads para ITAR. Sin embargo, algunas de ellas se pueden cambiar más adelante mediante la modificación de las políticas de la organización. Además, algunas restricciones y limitaciones requieren la responsabilidad del usuario para su cumplimiento.
Es importante comprender cómo estas restricciones modifican el comportamiento de un servicio determinado de Google Cloud o afectan el acceso a los datos o la residencia de datos. Por ejemplo, algunas funciones o capacidades pueden inhabilitarse de forma automática para garantizar que se mantengan las restricciones de acceso a los datos y la residencia de datos. Además, si se cambia la configuración de una política de la organización, podría tener la consecuencia no deseada de copiar datos de una región a otra.
Requisitos previos
Para mantener el cumplimiento como usuario del paquete de control de ITAR, asegúrate de cumplir con los siguientes requisitos previos y respetarlos:
- Crea una carpeta de ITAR con Assured Workloads y, luego, implementa tus cargas de trabajo de ITAR solo en esa carpeta.
- Habilita y usa solo los servicios del ITAR dentro del alcance para las cargas de trabajo del ITAR.
- No cambies los valores de restricción de la política de la organización predeterminados, a menos que comprendas y estés dispuesto a aceptar los riesgos de residencia de datos que puedan ocurrir.
- Cuando te conectes a los Google Cloud extremos de servicio, debes usar los extremos regionales de los servicios que los ofrecen. Además:
- Cuando te conectes a los extremos de servicio de Google Cloud desde VMs que no sean deGoogle Cloud, como las VMs locales o de otros proveedores de servicios en la nube, debes usar una de las opciones de acceso privado disponibles que admitan conexiones a VMs que no sean deGoogle Cloud para enrutar el tráfico que no sea deGoogle Cloud a Google Cloud.
- Cuando te conectes a Google Cloud extremos de servicio desde Google Cloud VMs, puedes usar cualquiera de las opciones de acceso privado disponibles.
- Cuando te conectes a Google Cloud VMs que se expusieron con direcciones IP externas, consulta Accede a las APIs desde las VMs con direcciones IP externas.
- Para todos los servicios que se usan en una carpeta ITAR, no almacenes datos técnicos en los siguientes tipos de información de configuración de seguridad o definida por el usuario:
- Mensajes de error
- Resultado de la consola
- Datos de atributos
- Datos de configuración del servicio
- Encabezados de paquetes de red
- Identificadores de recursos
- Etiquetas de datos
- Usa solo los extremos regionales o de ubicación especificados para los servicios que los ofrezcan. Consulta los servicios de ITAR dentro del alcance para obtener más información.
- Considera adoptar las prácticas recomendadas de seguridad generales que se proporcionan en el Google Cloud Centro de prácticas recomendadas de seguridad.
Servicios dentro del alcance
A menos que se indique lo contrario, los usuarios pueden acceder a todos los servicios dentro del alcance a través de la consola de Google Cloud.
Los siguientes servicios son compatibles con el ITAR:
Producto compatible | Extremos de API que cumplen con ITAR | Restricciones o limitaciones |
---|---|---|
Artifact Registry |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
BigQuery |
Extremos de la API regionales:
No se admiten los extremos de API de ubicación. Los extremos de la API globales no son compatibles. |
Funciones afectadas |
Certificate Authority Service |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Cloud External Key Manager (Cloud EKM) |
No se admiten extremos de API regionales. Extremos de la API de Locational:
No se admiten los extremos de API globales. |
Ninguno |
Cloud Run |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Compute Engine |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas y restricciones de las políticas de la organización |
Cloud DNS |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Dataflow |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Dataproc |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Filestore |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Cloud Storage |
Extremos de la API regionales:
No se admiten los extremos de API de ubicación. Los extremos de la API globales no son compatibles. |
Funciones afectadas |
Google Kubernetes Engine |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas y restricciones de las políticas de la organización |
Cloud HSM |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Administración de identidades y accesos (IAM) |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Identity-Aware Proxy (IAP) |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Cloud Interconnect |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Cloud Key Management Service (Cloud KMS) |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Cloud Load Balancing |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Cloud Logging |
Extremos de la API regionales:
No se admiten los extremos de API de ubicación. Los extremos de la API globales no son compatibles. |
Funciones afectadas |
Cloud Monitoring |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Cloud NAT |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Network Connectivity Center |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Persistent Disk |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Pub/Sub |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Cloud Router |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Cloud SQL |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Nube privada virtual (VPC) |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Controles del servicio de VPC |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Ninguno |
Cloud VPN |
No se admiten extremos de API regionales. No se admiten los extremos de API de ubicación. Extremos de API globales:
|
Funciones afectadas |
Políticas de la organización
En esta sección, se describe cómo los servicios se ven afectados por los valores de restricciones de la política predeterminada de la organización cuando se crean carpetas o proyectos con ITAR. Otras restricciones aplicables, incluso si no se establecen de forma predeterminada, pueden proporcionar una “defensa en profundidad” adicional para proteger aún más los recursos deGoogle Cloud de tu organización.
Restricciones de la política de la organización en toda la nube
Las siguientes restricciones de política de la organización se aplican a cualquier servicio de Google Cloud aplicable.
Restricción de las políticas de la organización | Descripción |
---|---|
gcp.resourceLocations |
Se establece en in:us-locations como el elemento de lista allowedValues .Este valor restringe la creación de recursos nuevos solo al grupo de valores de EE.UU. Cuando se establece, no se pueden crear recursos en ninguna otra región, multirregión ni ubicaciones fuera de EE.UU. Consulta la documentación sobre grupos de valores de políticas de la organización para obtener más información. Si cambias este valor y lo haces menos restrictivo, podrías socavar la residencia de datos, ya que permitirá que se creen o almacenen datos fuera del límite de datos de EE.UU. Por ejemplo, reemplazar el grupo de valores in:us-locations por el grupo de valores in:northamerica-locations .
|
gcp.restrictNonCmekServices |
Se configura como una lista de todos los nombres de servicios de API dentro del alcance, incluidos los siguientes:
Cada servicio enumerado requiere claves de encriptación administradas por el cliente (CMEK). CMEK garantiza que los datos en reposo se encripten con una clave administrada por ti, no los mecanismos de encriptación predeterminados de Google. Si cambias este valor mediante la eliminación de uno o más servicios dentro del alcance de la lista, es posible que socaves la soberanía de los datos, ya que los datos nuevos en reposo se encriptarán automáticamente mediante las claves de Google en lugar de las tuyas. Los datos en reposo existentes permanecerán encriptados con la clave que proporcionaste. |
gcp.restrictCmekCryptoKeyProjects |
Selecciona todos los recursos de la carpeta ITAR que creaste. Limita el alcance de las carpetas o los proyectos aprobados que pueden proporcionar claves de KMS para encriptar datos en reposo con CMEK. Esta restricción evita que las carpetas o los proyectos no aprobados proporcionen claves de encriptación, lo que ayuda a garantizar la soberanía de los datos para los datos en reposo de los servicios dentro del alcance. |
gcp.restrictServiceUsage |
Se establece para permitir todos los servicios dentro del alcance. Determina qué servicios se pueden habilitar y usar. Para obtener más información, consulta Cómo restringir el uso de recursos para las cargas de trabajo. |
Restricciones de las políticas de la organización de Compute Engine
Restricción de las políticas de la organización | Descripción |
---|---|
compute.disableGlobalLoadBalancing |
Configurado como True. Inhabilita la creación de productos de balanceo de cargas global. Cambiar este valor puede afectar la residencia de los datos en tu carga de trabajo. Te recomendamos que mantengas el valor establecido. |
compute.disableGlobalSelfManagedSslCertificate |
Configurado como True. Inhabilita la creación de certificados SSL autoadministrados globales. Cambiar este valor puede afectar la residencia de los datos en tu carga de trabajo. Te recomendamos que mantengas el valor establecido. |
compute.disableInstanceDataAccessApis |
Configurado como True. Inhabilita de manera global las APIs instances.getSerialPortOutput() y instances.getScreenshot() .Si habilitas esta política de la organización, no podrás generar credenciales en VMs de Windows Server. Si necesitas administrar un nombre de usuario y una contraseña en una VM de Windows, haz lo siguiente:
|
compute.disableNestedVirtualization |
Configurado como True. Inhabilita la virtualización anidada por aceleración de hardware para todas las VMs de Compute Engine en la carpeta ITAR. Cambiar este valor puede afectar la residencia de los datos en tu carga de trabajo. Te recomendamos que mantengas el valor establecido. |
compute.enableComplianceMemoryProtection |
Configurado como True. Inhabilita algunas funciones de diagnóstico interno para proporcionar protección adicional del contenido de la memoria cuando se produce una falla en la infraestructura. Cambiar este valor puede afectar la residencia de los datos en tu carga de trabajo. Te recomendamos que mantengas el valor establecido. |
compute.restrictNonConfidentialComputing |
(Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Consulta la documentación de Confidential VM para obtener más información. |
compute.restrictLoadBalancerCreationForTypes |
Se establece para permitir todos los valores, excepto GLOBAL_EXTERNAL_MANAGED_HTTP_HTTPS . Consulta
Cómo elegir un balanceador de cargas para obtener más información.
|
Restricciones de las políticas de la organización de Google Kubernetes Engine
Restricción de las políticas de la organización | Descripción |
---|---|
container.restrictNoncompliantDiagnosticDataAccess |
Configurado como True. Se usa para inhabilitar el análisis agregado de los problemas del kernel, que es necesario a fin de mantener el control soberano de una carga de trabajo. Cambiar este valor puede afectar la soberanía de los datos en tu carga de trabajo. Te recomendamos que mantengas el valor establecido. |
Funciones afectadas
En esta sección, se enumera cómo las funciones o capacidades de cada servicio se ven afectadas por la ITAR, incluidos los requisitos de los usuarios cuando usan una función.
Características de BigQuery
Función | Descripción |
---|---|
Habilita BigQuery en una carpeta nueva | BigQuery es compatible, pero no se habilita automáticamente cuando creas una nueva
carpeta de cargas de trabajo aseguradas debido a un proceso de configuración interno. Por lo general, este proceso finaliza en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si el proceso finalizó y habilitar BigQuery, completa los siguientes pasos:
Una vez que se complete el proceso de habilitación, podrás usar BigQuery en tu carpeta Assured Workloads. Assured Workloads no es compatible con Gemini en BigQuery. |
Características no compatibles | Las siguientes funciones de BigQuery no son compatibles y están inhabilitadas para el cumplimiento de ITAR:
|
APIs de BigQuery que cumplen con las políticas | Las siguientes APIs de BigQuery cumplen con el ITAR: |
Regiones | BigQuery cumple con el ITAR en todas las regiones de BigQuery de EE.UU., excepto en la multirregional de EE.UU. No se puede garantizar el cumplimiento de las ITAR si se crea un conjunto de datos en una multirregión de EE.UU., una región que no sea de EE.UU. o una multirregión que no sea de EE.UU. Es responsabilidad del cliente especificar una región que cumpla con el ITAR cuando cree conjuntos de datos de BigQuery. |
Carga datos | Los conectores del Servicio de transferencia de datos de BigQuery para apps de software de Google como servicio (SaaS), proveedores externos de almacenamiento en la nube y almacenes de datos no cumplen con el ITAR. Los clientes solo pueden usar Cloud Storage Transfer en un entorno de ITAR. |
Conexiones a fuentes de datos externas | La responsabilidad de cumplimiento de Google se limita a la función de la API de BigQuery Connection. Es responsabilidad del cliente garantizar el cumplimiento de los productos de origen que se usan con la API de BigQuery Connection. |
Consultas sobre conjuntos de datos de ITAR desde proyectos que no son de ITAR | BigQuery no impide que se consulten conjuntos de datos de ITAR desde proyectos que no son de ITAR. Los clientes deben asegurarse de que cualquier consulta que tenga una operación de lectura o unión en datos técnicos de ITAR se coloque en una carpeta que cumpla con ITAR. |
Características de Compute Engine
Atributo | Descripción |
---|---|
Consola de Google Cloud | Las siguientes funciones de Compute Engine no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI:
|
VM de la solución Bare Metal | Es su responsabilidad no usar las VMs de Bare Metal Solution (VMs de o2) porque estas no cumplen con las ITAR.
|
VMs de Google Cloud VMware Engine | Es tu responsabilidad no usar las VMs de Google Cloud VMware Engine, ya que estas no cumplen con las ITAR.
|
Crea una instancia de VM C3 | Esta función está inhabilitada. |
Usa discos persistentes o sus instantáneas sin CMEK | No puedes usar discos persistentes ni sus instantáneas, a menos que se hayan encriptado con CMEK. |
Creación de VMs anidadas o VMs que usan virtualización anidada | No puedes crear VMs anidadas ni VMs que usen virtualización anidada. La restricción de la política de la organización compute.disableNestedVirtualization que se describe en la sección anterior inhabilita esta función.
|
Agrega un grupo de instancias a un balanceador de cargas global | No puedes agregar un grupo de instancias a un balanceador de cargas global. La restricción de la política de la organización compute.disableGlobalLoadBalancing , que se describe en la sección anterior, inhabilita esta función.
|
Enruta las solicitudes a un balanceador de cargas HTTPS externo multirregional | No puedes enrutar solicitudes a un balanceador de cargas HTTPS externo multirregional. La restricción de la política de la organización compute.restrictLoadBalancerCreationForTypes que se describe en la sección anterior inhabilita esta función.
|
Comparte un disco persistente SSD en modo de multiescritura | No puedes compartir un disco persistente SSD en modo de multiescritura entre instancias de VM. |
Suspende y reanuda una instancia de VM | Se inhabilitó esta función. La suspensión y reanudación de una instancia de VM requiere almacenamiento en disco persistente, y el almacenamiento en disco persistente usado para almacenar el estado de la VM suspendida no se puede encriptar mediante el uso de CMEK. Consulta la restricción de la política de la organización gcp.restrictNonCmekServices en la sección anterior para comprender las implicaciones de residencia de datos de habilitar esta función.
|
SSD locales | Se inhabilitó esta función. No podrás crear una instancia con SSD locales porque no se pueden encriptar con CMEK. Consulta la restricción de la política de la organización gcp.restrictNonCmekServices en la sección anterior para comprender las implicaciones de residencia de datos de habilitar esta función.
|
Entorno huésped |
Es posible que las secuencias de comandos, los daemons y los objetos binarios incluidos en el entorno invitado accedan a datos en reposo y en uso no encriptados.
Según la configuración de la VM, es posible que se instalen actualizaciones de este software de forma predeterminada. Consulta Entorno invitado para obtener información específica sobre el contenido de cada paquete, el código fuente y mucho más. Estos componentes te ayudan a cumplir con la residencia de datos mediante procesos y controles de seguridad internos. Sin embargo, para los usuarios que desean un control adicional, también puedes seleccionar tus propias imágenes o agentes y, de forma opcional, usar la restricción de la política de la organización compute.trustedImageProjects .
Consulta la página Cómo compilar una imagen personalizada para obtener más información. |
instances.getSerialPortOutput() |
Esta API está inhabilitada no podrás obtener la salida del puerto en serie de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo.
|
instances.getScreenshot() |
Esta API está inhabilitada no podrás obtener una captura de pantalla de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes habilitar y usar el puerto en serie interactivo.
|
Funciones de Cloud DNS
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Cloud DNS no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
Características de Cloud Interconnect
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Cloud Interconnect no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
VPN con alta disponibilidad (HA) | Debes habilitar la funcionalidad de VPN con alta disponibilidad (HA) cuando uses Cloud Interconnect con Cloud VPN. Además, debes cumplir con los requisitos de encriptación y regionalización que se indican en esta sección. |
Funciones de Cloud Load Balancing
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Cloud Load Balancing no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
Balanceadores de cargas regionales | Solo debes usar balanceadores de cargas regionales con ITAR. Consulta las siguientes
páginas para obtener más información sobre la configuración de balanceadores de cargas regionales: |
Funciones de Cloud Logging
Para usar Cloud Logging con claves de encriptación administradas por el cliente (CMEK), debes completar los pasos de la página Habilita CMEK para una organización en la documentación de Cloud Logging.
Función | Descripción |
---|---|
Receptores de registros | No incluyas información sensible (datos del cliente) en los filtros de eliminación. Los filtros de sink se tratan como datos de servicio. |
Entradas de registro de transmisión de registros en tiempo real | No crees filtros que contengan datos de clientes. Una sesión de transmisión de registros en tiempo real incluye un filtro que se almacena como configuración. Los registros de cola no almacenan ningún dato de entrada de registro, pero pueden consultar y transmitir datos entre regiones. |
Alertas basadas en registros | Se inhabilitó esta función. No puedes crear alertas basadas en registros en la consola de Google Cloud. |
URL reducidas para las consultas del Explorador de registros | Se inhabilitó esta función. No puedes crear URL acortadas de consultas en la consola de Google Cloud. |
Guarda consultas en el Explorador de registros | Se inhabilitó esta función. No puedes guardar ninguna consulta en la consola de Google Cloud. |
Estadísticas de registros con BigQuery | Se inhabilitó esta función. No puedes usar la función de estadísticas de registros. |
Políticas de alertas basadas en SQL | Se inhabilitó esta función. No puedes usar la función de políticas de alertas basadas en SQL. |
Funciones de Cloud Monitoring
Función | Descripción |
---|---|
Monitor sintético | Se inhabilitó esta función. |
Verificación del tiempo de actividad | Se inhabilitó esta función. |
Widgets del panel de registros en Paneles de control | Esta función está inhabilitada. No puedes agregar un panel de registro a un panel. |
Widgets del panel de informes de errores en Paneles | Esta función está inhabilitada. No puedes agregar un panel de informes de errores a un panel. |
Filtra en
EventAnnotation
por Paneles.
|
Esta función está inhabilitada. No se puede configurar el filtro de EventAnnotation en un panel.
|
SqlCondition
en alertPolicies
|
Esta función está inhabilitada. No puedes agregar un SqlCondition a un alertPolicy .
|
Funciones de Network Connectivity Center
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Network Connectivity Center no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
Funciones de Cloud NAT
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Cloud NAT no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
Funciones de Cloud Router
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Cloud Router no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
Funciones de Cloud Run
Función | Descripción |
---|---|
Características no compatibles | No se admiten las siguientes funciones de Cloud Run: |
Características de Cloud SQL
Función | Descripción |
---|---|
Exportación a CSV | La exportación a CSV no cumple con el ITAR y no se debe usar. Esta función está inhabilitada en la consola de Google Cloud. |
executeSql |
El método executeSql de la API de Cloud SQL no cumple con el ITAR y no se debe usar. |
Características de Cloud Storage
Función | Descripción |
---|---|
Consola de Google Cloud | Para mantener el cumplimiento de ITAR, es tu responsabilidad usar la consola de Google Cloud jurisdiccional. La consola de jurisdicción evita subir y descargar objetos de Cloud Storage. Para subir y descargar objetos de Cloud Storage, consulta la fila Extremos de API compatibles a continuación. |
Extremos de API que cumplen con las políticas | Debes usar uno de los extremos regionales que cumplen con el ITAR con Cloud Storage. Para obtener más información, consulta Puntos finales regionales de Cloud Storage y Ubicaciones de Cloud Storage. |
Restricciones | Debes usar extremos regionales de Cloud Storage para cumplir con la ITAR. Para obtener más información sobre los extremos regionales
de Cloud Storage para el ITAR, consulta
Extremos regionales de Cloud Storage. Los extremos regionales no admiten las siguientes operaciones. Sin embargo, estas operaciones no llevan datos del cliente, como se define en las Condiciones del servicio de residencia de datos. Por lo tanto, puedes usar extremos globales para estas operaciones según sea necesario sin infringir el cumplimiento de ITAR: |
Copia y reescribe objetos | Los extremos regionales admiten operaciones de copia y reescritura de objetos si los buckets de origen y destino se encuentran en la región especificada en el extremo. Sin embargo, no puedes usar extremos regionales para copiar o reescribir un objeto de un bucket a otro si los buckets existen en ubicaciones diferentes. Es posible usar extremos globales para copiar o reescribir en todas las ubicaciones, pero no lo recomendamos, ya que podría incumplir el cumplimiento de ITAR. |
Funciones de GKE
Función | Descripción |
---|---|
Restricciones de recursos del clúster | Asegúrate de que la configuración de tu clúster no use recursos para
servicios que no sean compatibles con el programa de cumplimiento de ITAR. Por ejemplo,
la siguiente configuración no es válida porque requiere habilitar o
usar un servicio no compatible:
set `binaryAuthorization.evaluationMode` to `enabled`
|
Funciones de VPC
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de redes de VPC no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
Funciones de Cloud VPN
Función | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Cloud VPN no están disponibles en la consola de Google Cloud. En su lugar, usa la API o Google Cloud CLI. |
Encriptación | Cuando crees certificados y configures la seguridad de tu IP, solo debes usar algoritmos de cifrado que cumplan con el estándar FIPS 140-2. Consulta
esta página
para obtener más información sobre los algoritmos de cifrado admitidos en Cloud VPN. Para obtener orientación sobre cómo seleccionar un algoritmo de cifrado que cumpla con los estándares FIPS 140-2, consulta esta página. Actualmente, no hay forma de cambiar un algoritmo de cifrado existente en Google Cloud. Asegúrate de configurar el algoritmo de cifrado en el dispositivo de terceros que se usa con Cloud VPN. |
Extremos de VPN | Solo debes usar los extremos de Cloud VPN que se encuentran en EE.UU. Asegúrate de que la puerta de enlace de VPN esté configurada para usarse solo en una región de EE.UU. |
Pies de página
2. BigQuery es compatible, pero no se habilita automáticamente cuando creas una nueva
carpeta de cargas de trabajo aseguradas debido a un proceso de configuración interno. Por lo general, este proceso finaliza en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si el proceso finalizó y habilitar BigQuery, completa los siguientes pasos:
- En la consola de Google Cloud, ve a la página Assured Workloads.
- Selecciona tu nueva carpeta de Assured Workloads en la lista.
- En la página Detalles de la carpeta, en la sección Servicios permitidos, haz clic en Revisar actualizaciones disponibles.
- En el panel Servicios permitidos, revisa los servicios que se agregarán a la política de la organización Restringir el uso de recursos de la carpeta. Si los servicios de BigQuery aparecen en la lista, haz clic en Permitir servicios para agregarlos.
Si no aparecen los servicios de BigQuery, espera a que se complete el proceso interno. Si los servicios no aparecen en la lista en un plazo de 12 horas después de crear la carpeta, comunícate con Atención al cliente de Cloud.
Una vez que se complete el proceso de habilitación, podrás usar BigQuery en tu carpeta Assured Workloads.
Assured Workloads no es compatible con Gemini en BigQuery.
¿Qué sigue?
- Obtén información sobre el paquete de control de ITAR.
- Obtén información sobre los productos compatibles para cada paquete de control.