Restricciones y limitaciones de los controles soberanos para el Reino de Arabia Saudita (KSA)
En esta página, se describen las restricciones, las limitaciones y otras opciones de configuración cuando se usa el paquete de controles de Controles de soberanía del Reino de Arabia Saudita (KSA).
Descripción general
El paquete de controles de soberanía para el KSA permite controlar el acceso a los datos de residencia para productos de Google Cloud compatibles. Algunos de estos servicios funciones están restringidas o limitadas por Google compatibles con los controles soberanos para KSA. La mayoría de estas restricciones y se aplican limitaciones cuando se crea una nueva carpeta de Assured Workloads de controles soberanos para el Reino de Arabia Saudita. Sin embargo, algunos de ellos pueden modificarse más adelante modificando políticas de la organización. Además, algunas restricciones y limitaciones requieren responsabilidad del usuario para garantizar el cumplimiento.
Es importante comprender cómo modifican estas restricciones el comportamiento de una un servicio de Google Cloud o que afectan el acceso a los datos o residencia de datos. Por ejemplo, algunos funciones o capacidades puedan inhabilitarse automáticamente para garantizar que los datos se mantienen las restricciones de acceso y la residencia de los datos. Además, si un se cambia el parámetro de configuración de la política de la organización, podría tener una consecuencia no deseada de copiar datos de una región a otra.
Servicios compatibles
A menos que se indique lo contrario, los usuarios pueden acceder a todos los servicios admitidos a través de la consola de Google Cloud.
Los siguientes servicios son compatibles con los controles de soberanía del Reino de Arabia Saudita (KSA):
Producto admitido | extremos de API | Funciones o políticas de la organización afectadas |
---|---|---|
Aprobación de acceso |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Artifact Registry |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
BigQuery [2] |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Bigtable |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Cloud DNS |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Cloud HSM |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Cloud Interconnect |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Funciones afectadas |
Cloud Key Management Service (Cloud KMS) |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Cloud Load Balancing |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Cloud Logging |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Cloud Monitoring |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Cloud NAT |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Cloud Router |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Cloud SQL |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Cloud Storage |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Cloud VPN |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Compute Engine |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Funciones afectadas y las restricciones de las políticas de la organización |
Dataflow |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Dataproc |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Contactos esenciales |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
GKE Hub |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Consola de Google Cloud |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Google Kubernetes Engine |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Funciones afectadas y las restricciones de las políticas de la organización |
Administración de identidades y accesos (IAM) |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Identity-Aware Proxy |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Network Connectivity Center |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Servicio de políticas de la organización |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Persistent Disk |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Pub/Sub |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Resource Manager |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Configuración de recursos |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Directorio de servicios |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Spanner |
Extremos de API regional:
No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global. | Ninguno |
Nube privada virtual |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Controles del servicio de VPC |
No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales:
| Ninguno |
Políticas de la organización
En esta sección, se describe la forma en que la organización predeterminada afecta cada servicio valores de restricción de política cuando se crean carpetas o proyectos Controles soberanos para el Reino de Arabia Saudita. Otras restricciones aplicables, incluso si no las establece de forma predeterminada, pueden proporcionar “defensa en profundidad” para proteger aún más tu en los recursos de Google Cloud de tu organización.
Restricciones de la política de la organización en toda la nube
Las siguientes restricciones de política de la organización se aplican a cualquier servicio de Google Cloud aplicable.
Restricción de las políticas de la organización | Descripción |
---|---|
gcp.resourceLocations |
Se establece en in:us-locations como el elemento de lista allowedValues .Este valor restringe la creación de recursos nuevos al Solo el grupo de valores me-central2 . Cuando se establece, no se pueden
creados en cualquier otra región, multirregión o ubicación fuera de
el Reino de Arabia Saudita (KSA). Consulta la
Grupos de valores de las políticas de la organización
documentación para obtener más información.Hacerlo menos restrictivo puede socavar el cambio de este valor la residencia de datos permitiendo que los datos se creen o almacenen fuera del KSA límite de datos. |
gcp.restrictServiceUsage |
Configúralo para permitir todos los servicios compatibles. Determina qué servicios se pueden habilitar y usar. Para obtener más información, ver Restringe el uso de recursos para cargas de trabajo. |
Restricciones de las políticas de la organización de Compute Engine
Restricción de las políticas de la organización | Descripción |
---|---|
compute.disableInstanceDataAccessApis |
Configurado como True. Inhabilita de manera global las APIs instances.getSerialPortOutput() y instances.getScreenshot() .Si habilitas esta política de la organización, no podrás realizar las siguientes acciones: genera credenciales en VMs de Windows Server. Si necesitas administrar un nombre de usuario y una contraseña en una VM de Windows, haz lo siguiente: lo siguiente:
|
compute.enableComplianceMemoryProtection |
Configurado como True. Inhabilita algunas funciones de diagnóstico interno para proporcionar protección adicional del contenido de la memoria cuando se produce una falla en la infraestructura. Cambiar este valor puede afectar la residencia de los datos de tu carga de trabajo. nosotros se recomienda mantener ese valor. |
Restricciones de las políticas de la organización de Google Kubernetes Engine
Restricción de las políticas de la organización | Descripción |
---|---|
container.restrictNoncompliantDiagnosticDataAccess |
Configurado como True. Se usa para inhabilitar el análisis agregado de los problemas del kernel, que es necesario a fin de mantener el control soberano de una carga de trabajo. Cambiar este valor puede afectar la soberanía de los datos de tu carga de trabajo. nosotros se recomienda mantener ese valor. |
Funciones afectadas
En esta sección, se indica cómo se ven afectadas las funciones o capacidades de cada servicio Controles soberanos para KSA, incluidos los requisitos del usuario cuando se usa una función
Características de Compute Engine
Atributo | Descripción |
---|---|
Consola de Google Cloud | Las siguientes funciones de Compute Engine no están disponibles en el
Consola de Google Cloud Usa la API o Google Cloud CLI cuando estén disponibles:
|
instances.getSerialPortOutput() |
Esta API está inhabilitada no podrás obtener la salida del puerto en serie de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes
Habilita y usa el puerto en serie interactivo.
|
instances.getScreenshot() |
Esta API está inhabilitada no podrás obtener una captura de pantalla de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes
Habilita y usa el puerto en serie interactivo.
|
Características de Cloud Interconnect
Atributo | Descripción |
---|---|
VPN con alta disponibilidad (HA) | Debes habilitar la funcionalidad de VPN con alta disponibilidad (HA) cuando uses Cloud Interconnect con Cloud VPN. Además, debes cumplir con los requisitos de encriptación y regionalización que se enumeran esta sección. |
Características de Cloud Storage
Atributo | Descripción |
---|---|
Consola de Google Cloud | Es tu responsabilidad usar los Jurisdicción Consola de Google Cloud para controles de soberanía para KSA. La Jurisdicción console evita que se suban y descarguen objetos de Cloud Storage. Para subir y descargar objetos de Cloud Storage, consulta la siguiente Fila Extremos de API que cumplan con los requisitos. |
Extremos de API compatibles | Es su responsabilidad usar uno de los extremos de ubicación con en Google Cloud Storage. Consulta Ubicaciones de Cloud Storage para más información. |
Características de Cloud VPN
Atributo | Descripción |
---|---|
Consola de Google Cloud | Las funciones de Cloud VPN no están disponibles en la consola de Google Cloud. Usa la API o Google Cloud CLI en su lugar. |
Pies de página
1. BigQuery es compatible, pero no se habilita automáticamente cuando creas un nuevo
Carpeta de Assured Workloads debido a un proceso de configuración interno. Este proceso normalmente
finaliza en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si
finalice y, para habilitar BigQuery, completa los siguientes pasos:
- En la consola de Google Cloud, ve a la página Assured Workloads.
- Selecciona tu nueva carpeta de Assured Workloads de la lista.
- En la página Detalles de la carpeta, en la sección Servicios permitidos, haz clic en Revisa las actualizaciones disponibles.
- En el panel Servicios permitidos, revisa los servicios que deseas agregar al
Restricción del uso de recursos
política de la organización para la carpeta. Si aparecen los servicios de BigQuery, haz clic en
Permite que los servicios los agreguen.
Si los servicios de BigQuery no aparecen en la lista, espera a que se complete el proceso interno. Si el botón no aparecen en un plazo de 12 horas a partir de la creación de la carpeta, comunícate con Atención al cliente de Cloud.
Una vez completado el proceso de habilitación, puedes usar BigQuery en tu Assured Workloads.