沙特阿拉伯王国 (KSA) 主权控制功能的限制

本页将介绍相关限制、局限性 选项。

重要提示：“适用于沙特阿拉伯的管制措施”控制包仅适用于账单邮寄地址（无论是企业、住宅还是居住地）位于沙特阿拉伯境外的安全工作负载客户。

概览

如需在使用适用于沙特阿拉伯的“主权控制”控制包时访问 Google Cloud 控制台，您必须使用以下网址之一：

• console.sa.cloud.google.com
• console.sa.cloud.google（适用于联合身份用户）

有关详情，请参阅 管辖区 Google Cloud 控制台页面。

适用于沙特阿拉伯的主权控制功能包可为受支持的 Google Cloud 产品启用数据访问控制和数据驻留功能。其中部分服务的功能被 Google 限制或限制， 与适用于 KSA 的主权控制兼容。大多数限制和 创建新的 Assured Workloads 文件夹时，系统会应用限制 适用于 KSA 的主权控制。不过，您可以稍后通过修改组织政策来更改其中的部分设置。此外，某些限制和限制要求用户负责遵守。

您有必要了解这些限制是如何改变 或影响数据访问或 数据驻留。例如，一些 功能。 访问限制和数据驻留。此外，如果 组织政策设置发生更改，可能会导致意外后果 即将数据从一个区域复制到另一个区域

支持的服务

除非另有说明，否则用户可以通过 Google Cloud 控制台

重要提示 ：在 API 操作中与客户数据交互的服务 提供区域级 API 端点在沙特阿拉伯的 Sovereign Controls 中，必须使用这些端点，而不是服务的全局 API 端点。对于 API 操作不会与客户数据互动的服务，允许使用全局 API 端点。如需详细了解客户数据和服务数据，请参阅数据驻留。

以下服务与沙特阿拉伯王国 (KSA) 主权控制功能兼容：

支持的产品	API 端点	限制
Access Approval	不支持区域性 API 端点。 不支持位置 API 端点。 全球 API 端点： accessapproval.googleapis.com	无
Artifact Registry	区域性 API 端点： artifactregistry.me-central2.rep.googleapis.com 不支持位置 API 端点。 不支持全局 API 端点。	无
BigQuery	区域级 API 端点： bigquery.me-central2.rep.googleapis.com bigqueryconnection.me-central2.rep.googleapis.com bigqueryreservation.me-central2.rep.googleapis.com bigquerystorage.me-central2.rep.googleapis.com 不支持位置 API 端点。 不支持全局 API 端点。	无
Bigtable	区域性 API 端点： bigtable.me-central2.rep.googleapis.com 不支持位置 API 端点。 不支持全球 API 端点。	无
Google Cloud 控制台	不支持区域性 API 端点。 不支持位置 API 端点。 全球 API 端点： 不适用	无
Compute Engine	不支持区域级 API 端点。 不支持位置 API 端点。 全局 API 端点： compute.googleapis.com	受影响的功能 和组织政策限制条件
Cloud DNS	不支持区域级 API 端点。 不支持 Locational API 端点。 全球 API 端点： dns.googleapis.com	无
Dataflow	区域级 API 端点： dataflow.me-central2.rep.googleapis.com 不支持位置 API 端点。 不支持全局 API 端点。	无
Dataproc	区域级 API 端点： dataproc.me-central2.rep.googleapis.com 不支持位置 API 端点。 不支持全球 API 端点。	无
重要联系人	不支持区域级 API 端点。 不支持 Locational API 端点。 全球 API 端点： essentialcontacts.googleapis.com	无
Filestore	不支持区域级 API 端点。 不支持 Locational API 端点。 全局 API 端点： file.googleapis.com	无
Cloud Storage	区域级 API 端点： storage.me-central2.rep.googleapis.com 不支持 Locational API 端点。 不支持全球 API 端点。	受影响的功能
Google Kubernetes Engine	不支持区域性 API 端点。 不支持 Locational API 端点。 全球 API 端点： container.googleapis.com containersecurity.googleapis.com	组织政策限制条件
GKE Hub	不支持区域性 API 端点。 不支持位置 API 端点。 全局 API 端点： gkehub.googleapis.com	无
Cloud HSM	区域级 API 端点： cloudkms.me-central2.rep.googleapis.com 不支持位置 API 端点。 不支持全局 API 端点。	无
Identity and Access Management (IAM)	不支持区域性 API 端点。 不支持位置 API 端点。 全球 API 端点： iam.googleapis.com	无
Identity-Aware Proxy (IAP)	不支持区域性 API 端点。 不支持位置 API 端点。 全球 API 端点： iap.googleapis.com	无
Cloud Interconnect	不支持区域性 API 端点。 不支持位置 API 端点。 全局 API 端点： networkconnectivity.googleapis.com	受影响的功能
Cloud Key Management Service (Cloud KMS)	区域级 API 端点： cloudkms.me-central2.rep.googleapis.com 不支持位置 API 端点。 不支持全局 API 端点。	无
Cloud Load Balancing	不支持区域性 API 端点。 不支持 Locational API 端点。 全球 API 端点： compute.googleapis.com	无
Cloud Logging	区域性 API 端点： logging.me-central2.rep.googleapis.com 不支持 Locational API 端点。 不支持全局 API 端点。	无
Cloud Monitoring	不支持区域性 API 端点。 不支持 Locational API 端点。 全局 API 端点： monitoring.googleapis.com	无
Cloud NAT	不支持区域级 API 端点。 不支持 Locational API 端点。 全球 API 端点： networkconnectivity.googleapis.com	无
Network Connectivity Center	不支持区域性 API 端点。 不支持位置 API 端点。 全局 API 端点： networkconnectivity.googleapis.com	无
组织政策服务	不支持区域级 API 端点。 不支持位置 API 端点。 全局 API 端点： orgpolicy.googleapis.com	无
Persistent Disk	不支持区域级 API 端点。 不支持位置 API 端点。 全球 API 端点： compute.googleapis.com	无
Pub/Sub	区域性 API 端点： pubsub.me-central2.rep.googleapis.com 不支持 Locational API 端点。 不支持全球 API 端点。	无
Resource Manager	不支持区域性 API 端点。 不支持位置 API 端点。 全局 API 端点： cloudresourcemanager.googleapis.com	无
Resource Settings	不支持区域性 API 端点。 不支持 Locational API 端点。 全局 API 端点： resourcesettings.googleapis.com	无
Cloud Router 路由器	不支持区域级 API 端点。 不支持 Locational API 端点。 全局 API 端点： networkconnectivity.googleapis.com	无
Cloud Run	不支持区域级 API 端点。 不支持 Locational API 端点。 全局 API 端点： run.googleapis.com	无
Cloud SQL	不支持区域性 API 端点。 不支持位置 API 端点。 全球 API 端点： sqladmin.googleapis.com	无
Service Directory	不支持区域级 API 端点。 不支持 Locational API 端点。 全球 API 端点： servicedirectory.googleapis.com	无
Spanner	区域级 API 端点： spanner.me-central2.rep.googleapis.com 不支持 Locational API 端点。 不支持全局 API 端点。	无
Virtual Private Cloud (VPC)	不支持区域级 API 端点。 不支持位置 API 端点。 全局 API 端点： compute.googleapis.com	无
VPC Service Controls	不支持区域性 API 端点。 不支持位置 API 端点。 全局 API 端点： accesscontextmanager.googleapis.com	无
Cloud VPN	不支持区域级 API 端点。 不支持位置 API 端点。 全局 API 端点： compute.googleapis.com	受影响的功能

组织政策

本部分介绍使用适用于沙特阿拉伯的 Sovereign Controls 创建文件夹或项目时，每项服务如何受到默认组织政策限制条件值影响。其他适用的限制条件 - 即使不是由 默认—可提供额外的“深度防御”以进一步保护您的 组织的 Google Cloud 资源。

重要提示 ：我们强烈建议您不要更改必需的字段值 组织政策限制条件。这样做可能会导致 破坏数据驻留。进行此类更改时，此类更改的影响很难逆转，或者无法逆转。确保您了解 更改组织政策限制条件的值之前产生的影响

此外，请确保您的所有自动化机制 我们将更新组织用来管理组织政策的机制， 值可能会意外更改。

云范围的组织政策限制条件

以下组织政策限制条件适用于任何适用的 Google Cloud 服务。

组织政策限制条件	说明
gcp.resourceLocations	设置为 in:us-locations 作为 allowedValues 列表项。 此值将任何新资源的创建限制为仅 me-central2 值组。设置后，任何资源都不可设为 在任何其他区域、多区域位置或 沙特阿拉伯。请参阅 组织政策值组 文档。 通过降低限制来降低此值可能会造成危害，从而更改此值 数据驻留（通过允许在 KSA 之外创建或存储数据） 数据边界。
gcp.restrictServiceUsage	设置为允许所有受支持的服务。 确定可以启用和使用哪些服务。如需了解详情，请参阅限制工作负载的资源使用量。

Compute Engine 组织政策限制条件

组织政策限制条件	说明
compute.disableInstanceDataAccessApis	设置为 True。 全局停用 instances.getSerialPortOutput() 和 instances.getScreenshot() API。 启用此组织政策会阻止您 在 Windows Server 虚拟机上生成凭据。 如果您需要在 Windows 虚拟机上管理用户名和密码，请执行以下操作： 以下： 为 Windows 虚拟机启用 SSH。 运行以下命令可更改虚拟机的密码： gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" 替换以下内容： VM_NAME：您要为其设置密码的虚拟机的名称。 USERNAME：您要设置的用户的用户名 密码。 PASSWORD：新密码。
compute.enableComplianceMemoryProtection	设置为 True。 停用某些内部诊断功能，以便在发生基础架构故障时提供额外的内存保护。 更改此值可能会影响工作负载中的数据驻留；我们建议您保留此值。

Google Kubernetes Engine 组织政策限制条件

组织政策限制条件	说明
container.restrictNoncompliantDiagnosticDataAccess	设置为 True。 用于停用内核问题的汇总分析，这是维护工作负载的主权所必需的。 更改此值可能会影响工作负载中的数据主权；我们建议您保留此值。

受影响的功能

本部分列出了每项服务的特性或功能受到的影响 KSA 的主权控制，包括使用某项功能时对用户的要求。

Compute Engine 功能

特征	说明
Google Cloud 控制台	Google Cloud 控制台不提供以下 Compute Engine 功能。使用 API 或 Google Cloud CLI（如果可用）： 健康检查 网络端点组 基于浏览器的 SSH 已停用
instances.getSerialPortOutput()	此 API 已停用；您将无法使用此 API 从指定实例获取串行端口输出。 更改 compute.disableInstanceDataAccessApis 组织 将政策限制条件值设置为 False，以启用此 API。您还可以启用和使用交互式串行端口。
instances.getScreenshot()	此 API 已停用；您将无法使用此 API 从指定实例获取屏幕截图。 将 compute.disableInstanceDataAccessApis 组织政策限制条件值更改为 False 以启用此 API。您还可以启用和使用交互式串行端口。

Cloud Interconnect 特性

特征	说明
高可用性 (HA) VPN	将 Cloud Interconnect 与 Cloud VPN 搭配使用时，您必须启用高可用性 (HA) VPN 功能。此外，您还必须遵守 列出的加密和区域化要求 此部分。

Cloud Storage 的功能

特征	说明
Google Cloud 控制台	您有责任使用管辖区级 Google Cloud 控制台来管理沙特阿拉伯的主权控制功能。司法辖区 控制台阻止上传和下载 Cloud Storage 对象。接收者 上传和下载 Cloud Storage 对象，请参阅以下内容 合规 API 端点行。
合规的 API 端点	您有责任将某个位置端点与 Cloud Storage 搭配使用。如需了解详情，请参阅 Cloud Storage 位置。

Cloud VPN 功能

特征	说明
Google Cloud 控制台	Google Cloud 控制台中不提供 Cloud VPN 功能。请改用 API 或 Google Cloud CLI。

脚注

1. 系统支持 BigQuery，但由于内部配置流程，当您创建新的“受保工作负载”文件夹时，系统不会自动启用 BigQuery。此过程通常需要 10 分钟才能完成，但在某些情况下可能需要更长时间。如需检查该过程是否已完成并启用 BigQuery，请完成以下步骤：

1. 在 Google Cloud 控制台中，转到 Assured Workloads 页面。

   前往 Assured Workloads

2. 从列表中选择新的 Assured Workloads 文件夹。
3. 在文件夹详情页面的允许的服务部分，点击查看可用更新。
4. 在允许的服务窗格中，查看要添加到文件夹的资源使用限制组织政策中的服务。如果系统列出了 BigQuery 服务，请点击 选择允许服务即可添加这些服务。
   
   如果未列出 BigQuery 服务，请等待内部流程完成。如果 服务未在文件夹创建 12 小时内列出，请联系 Cloud Customer Care。

启用流程完成后，您可以在自己的 Assured Workloads 文件夹。

Assured Workloads 不支持 Gemini in BigQuery。