Restricciones y limitaciones de los controles soberanos para el Reino de Arabia Saudita (KSA)

En esta página, se describen las restricciones, las limitaciones y otras opciones de configuración cuando se usa el paquete de controles de Controles de soberanía del Reino de Arabia Saudita (KSA).

Importante: Los controles de soberanía para el paquete de control de KSA solo deben usarse en Los clientes de Assured Workloads cuya dirección de facturación, ya sea un empresa, residencia o domicilio) se encuentra fuera del Reino de Arabia Saudita.

Descripción general

Para acceder a la consola de Google Cloud Debes usar una de las siguientes URLs para usar los controles soberanos para el paquete de control de KSA:

• console.sa.cloud.google.com
• console.sa.cloud.google para usuarios de identidad federada

Para obtener más información, consulta la Jurisdicción Página de la consola de Google Cloud

El paquete de controles de soberanía para el KSA permite controlar el acceso a los datos de residencia para productos de Google Cloud compatibles. Algunos de estos servicios funciones están restringidas o limitadas por Google compatibles con los controles soberanos para KSA. La mayoría de estas restricciones y se aplican limitaciones cuando se crea una nueva carpeta de Assured Workloads de controles soberanos para el Reino de Arabia Saudita. Sin embargo, algunos de ellos pueden modificarse más adelante modificando políticas de la organización. Además, algunas restricciones y limitaciones requieren responsabilidad del usuario para garantizar el cumplimiento.

Es importante comprender cómo modifican estas restricciones el comportamiento de una un servicio de Google Cloud o que afectan el acceso a los datos o residencia de datos. Por ejemplo, algunos funciones o capacidades puedan inhabilitarse automáticamente para garantizar que los datos se mantienen las restricciones de acceso y la residencia de los datos. Además, si un se cambia el parámetro de configuración de la política de la organización, podría tener una consecuencia no deseada de copiar datos de una región a otra.

Servicios compatibles

A menos que se indique lo contrario, los usuarios pueden acceder a todos los servicios admitidos a través de la consola de Google Cloud.

Importante: Servicios que interactúan con datos del cliente en sus operaciones de API proporcionan extremos de API regionales. Estos se deben usar en lugar del nombre extremo global de la API en controles de soberanía para KSA. Para los servicios cuya API operaciones no interactúan con datos del cliente, usar extremos de API globales es por lo que está permitido. Consulta Residencia de los datos para obtener más información sobre los Datos del Cliente y los Datos del Servicio.

Los siguientes servicios son compatibles con los controles de soberanía del Reino de Arabia Saudita (KSA):

Producto admitido	extremos de API	Funciones o políticas de la organización afectadas
Aprobación de acceso	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: accessapproval.googleapis.com	Ninguno
Artifact Registry	Extremos de API regional: artifactregistry.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
BigQuery ^[2]	Extremos de API regionales: bigquery.me-central2.googleapis.com bigqueryconnection.me-central2.googleapis.com bigqueryreservation.me-central2.googleapis.com bigquerystorage.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Bigtable	Extremos de API regionales: bigtable.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Cloud DNS	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: dns.googleapis.com	Ninguno
Cloud HSM	Extremos de API regional: cloudkms.me-central2.rep.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Cloud Interconnect	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: networkconnectivity.googleapis.com	Funciones afectadas
Cloud Key Management Service (Cloud KMS)	Extremos de API regional: cloudkms.me-central2.rep.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Cloud Load Balancing	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: compute.googleapis.com	Ninguno
Cloud Logging	Extremos de API regional: logging.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Cloud Monitoring	No se admiten los extremos de la API regional. No se admiten los extremos de la API de Locational. Extremos de API globales: monitoring.googleapis.com	Ninguno
Cloud NAT	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: networkconnectivity.googleapis.com	Ninguno
Cloud Router	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: networkconnectivity.googleapis.com	Ninguno
Cloud SQL	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: sqladmin.googleapis.com	Ninguno
Cloud Storage	Extremos de API regionales: storage.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Cloud VPN	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: compute.googleapis.com	Ninguno
Compute Engine	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: compute.googleapis.com	Funciones afectadas y las restricciones de las políticas de la organización
Dataflow	Extremos de API regionales: dataflow.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Dataproc	Extremos de API regionales: dataproc.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Contactos esenciales	No se admiten los extremos de la API regional. No se admiten los extremos de la API de Locational. Extremos de API globales: essentialcontacts.googleapis.com	Ninguno
GKE Hub	No se admiten los extremos de la API regional. No se admiten los extremos de la API de Locational. Extremos de API globales: gkehub.googleapis.com	Ninguno
Consola de Google Cloud	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: N/A	Ninguno
Google Kubernetes Engine	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: container.googleapis.com containersecurity.googleapis.com	Funciones afectadas y las restricciones de las políticas de la organización
Administración de identidades y accesos (IAM)	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: iam.googleapis.com	Ninguno
Identity-Aware Proxy	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: iap.googleapis.com	Ninguno
Network Connectivity Center	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: networkconnectivity.googleapis.com	Ninguno
Servicio de políticas de la organización	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: orgpolicy.googleapis.com	Ninguno
Persistent Disk	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: compute.googleapis.com	Ninguno
Pub/Sub	Extremos de API regional: pubsub.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Resource Manager	No se admiten los extremos de la API regional. No se admiten los extremos de la API de Locational. Extremos de API globales: cloudresourcemanager.googleapis.com	Ninguno
Configuración de recursos	No se admiten los extremos de la API regional. No se admiten los extremos de la API de Locational. Extremos de API globales: resourcesettings.googleapis.com	Ninguno
Directorio de servicios	No se admiten los extremos de la API regional. No se admiten los extremos de la API de Locational. Extremos de API globales: servicedirectory.googleapis.com	Ninguno
Spanner	Extremos de API regionales: spanner.me-central2.googleapis.com No se admiten los extremos de la API de ubicación. No se admiten los extremos de la API global.	Ninguno
Nube privada virtual	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: vpcaccess.googleapis.com	Ninguno
Controles del servicio de VPC	No se admiten los extremos de la API regional. No se admiten los extremos de la API de ubicación. Extremos de API globales: accesscontextmanager.googleapis.com	Ninguno

Políticas de la organización

En esta sección, se describe la forma en que la organización predeterminada afecta cada servicio valores de restricción de política cuando se crean carpetas o proyectos Controles soberanos para el Reino de Arabia Saudita. Otras restricciones aplicables, incluso si no las establece de forma predeterminada, pueden proporcionar “defensa en profundidad” para proteger aún más tu en los recursos de Google Cloud de tu organización.

Importante: Te recomendamos que no cambies los valores de los campos obligatorios de políticas de la organización que se enumeran en las siguientes secciones. Si lo haces, es posible socavar la residencia de los datos. En ese caso, los efectos de dicho cambio cambios son difíciles o imposibles de revertir. Asegúrate de comprender las ramificaciones de cambiar el valor de una restricción de política de la organización antes con el paso del tiempo.

Además, asegúrese de que cualquier mecanismo automatizado que que usa la organización para administrar las políticas se actualizan a fin de evitar que para evitar que se cambien involuntariamente.

Restricciones de la política de la organización en toda la nube

Las siguientes restricciones de política de la organización se aplican a cualquier servicio de Google Cloud aplicable.

Restricción de las políticas de la organización	Descripción
gcp.resourceLocations	Se establece en in:us-locations como el elemento de lista allowedValues. Este valor restringe la creación de recursos nuevos al Solo el grupo de valores me-central2. Cuando se establece, no se pueden creados en cualquier otra región, multirregión o ubicación fuera de KSA. Consulta la Grupos de valores de las políticas de la organización documentación para obtener más información. Hacerlo menos restrictivo puede socavar el cambio de este valor la residencia de datos permitiendo que los datos se creen o almacenen fuera del KSA límite de datos.
gcp.restrictServiceUsage	Configúralo para permitir todos los servicios compatibles. Determina qué servicios se pueden habilitar y usar. Para obtener más información, ver Restringe el uso de recursos para cargas de trabajo.

Restricciones de las políticas de la organización de Compute Engine

Restricción de las políticas de la organización	Descripción
compute.disableInstanceDataAccessApis	Configurado como True. Inhabilita de manera global las APIs instances.getSerialPortOutput() y instances.getScreenshot(). Si habilitas esta política de la organización, no podrás realizar las siguientes acciones: genera credenciales en VMs de Windows Server. Si necesitas administrar un nombre de usuario y una contraseña en una VM de Windows, haz lo siguiente: lo siguiente: Habilita SSH para las VMs de Windows. Ejecuta el siguiente comando para cambiar la contraseña de la VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Reemplaza lo siguiente: VM_NAME: Es el nombre de la VM en la que configuras la contraseña. . USERNAME: El nombre de usuario del usuario que estás configurando la contraseña. PASSWORD: Es la contraseña nueva.
compute.enableComplianceMemoryProtection	Configurado como True. Inhabilita algunas funciones de diagnóstico interno para proporcionar protección adicional del contenido de la memoria cuando se produce una falla en la infraestructura. Cambiar este valor puede afectar la residencia de los datos de tu carga de trabajo. nosotros se recomienda mantener ese valor.

Restricciones de las políticas de la organización de Google Kubernetes Engine

Restricción de las políticas de la organización	Descripción
container.restrictNoncompliantDiagnosticDataAccess	Configurado como True. Se usa para inhabilitar el análisis agregado de los problemas del kernel, que es necesario a fin de mantener el control soberano de una carga de trabajo. Cambiar este valor puede afectar la soberanía de los datos de tu carga de trabajo. nosotros se recomienda mantener ese valor.

Funciones afectadas

En esta sección, se indica cómo se ven afectadas las funciones o capacidades de cada servicio Controles soberanos para KSA, incluidos los requisitos del usuario cuando se usa una función

Características de Compute Engine

Atributo	Descripción
Consola de Google Cloud	Las siguientes funciones de Compute Engine no están disponibles en el Consola de Google Cloud Usa la API o Google Cloud CLI cuando estén disponibles: Verificaciones de estado Grupos de extremos de red La conexión SSH basada en el navegador está inhabilitada
instances.getSerialPortOutput()	Esta API está inhabilitada no podrás obtener la salida del puerto en serie de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes Habilita y usa el puerto en serie interactivo.
instances.getScreenshot()	Esta API está inhabilitada no podrás obtener una captura de pantalla de la instancia especificada con esta API. Cambia el valor de la restricción de política de la organización compute.disableInstanceDataAccessApis a False para habilitar esta API. También puedes Habilita y usa el puerto en serie interactivo.

Características de Cloud Interconnect

Atributo	Descripción
VPN con alta disponibilidad (HA)	Debes habilitar la funcionalidad de VPN con alta disponibilidad (HA) cuando uses Cloud Interconnect con Cloud VPN. Además, debes cumplir con los requisitos de encriptación y regionalización que se enumeran esta sección.

Características de Cloud Storage

Atributo	Descripción
Consola de Google Cloud	Es tu responsabilidad usar los Jurisdicción Consola de Google Cloud para controles de soberanía para KSA. La Jurisdicción console evita que se suban y descarguen objetos de Cloud Storage. Para subir y descargar objetos de Cloud Storage, consulta la siguiente Fila Extremos de API que cumplan con los requisitos.
Extremos de API compatibles	Es su responsabilidad usar uno de los extremos de ubicación con en Google Cloud Storage. Consulta Ubicaciones de Cloud Storage para más información.

Características de Cloud VPN

Atributo	Descripción
Consola de Google Cloud	Las funciones de Cloud VPN no están disponibles en la consola de Google Cloud. Usa la API o Google Cloud CLI en su lugar.

Pies de página

1. BigQuery es compatible, pero no se habilita automáticamente cuando creas un nuevo Carpeta de Assured Workloads debido a un proceso de configuración interno. Este proceso normalmente finaliza en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si finalice y, para habilitar BigQuery, completa los siguientes pasos:

1. En la consola de Google Cloud, ve a la página Assured Workloads.

   Ir a Assured Workloads

2. Selecciona tu nueva carpeta de Assured Workloads de la lista.
3. En la página Detalles de la carpeta, en la sección Servicios permitidos, haz clic en Revisa las actualizaciones disponibles.
4. En el panel Servicios permitidos, revisa los servicios que deseas agregar al Restricción del uso de recursos política de la organización para la carpeta. Si aparecen los servicios de BigQuery, haz clic en Permite que los servicios los agreguen.
   
   Si los servicios de BigQuery no aparecen en la lista, espera a que se complete el proceso interno. Si el botón no aparecen en un plazo de 12 horas a partir de la creación de la carpeta, comunícate con Atención al cliente de Cloud.

Una vez completado el proceso de habilitación, puedes usar BigQuery en tu Assured Workloads.