Restrictions et limites applicables aux contrôles souverains pour le Royaume d'Arabie saoudite

Cette page décrit les restrictions, les limites et d'autres configurations lorsque vous utilisez le package de contrôles souverains pour le Royaume d'Arabie saoudite.

Important : Le package de contrôle Sovereign Controls pour l'Arabie saoudite ne doit être utilisé que par les clients Assured Workloads dont l'adresse de facturation (entreprise, résidence ou domicile) se trouve en dehors de l'Arabie saoudite.

Présentation

Pour accéder à la console Google Cloud lorsque vous utilisez Contrôles souverains pour le package de contrôle du Royaume d'Arabie saoudite, vous devez utiliser l'une des URL suivantes:

• console.sa.cloud.google.com
• console.sa.cloud.google pour les utilisateurs de l'identité fédérée

Pour en savoir plus, consultez les Juridictionnel page de la console Google Cloud.

Le package de contrôles souverains pour le Royaume d'Arabie saoudite permet de contrôle des accès aux données les fonctionnalités de résidence pour les produits Google Cloud compatibles. Certains de ces services sont restreintes ou limitées par Google afin d'être compatible avec les contrôles souverains pour le Royaume d'Arabie saoudite. La plupart de ces restrictions et limites s'appliquent lors de la création d'un dossier Assured Workloads pour les contrôles souverains pour le Royaume d'Arabie saoudite. Cependant, certains d'entre eux peuvent être modifiés ultérieurement en modification règles d'administration. De plus, certaines restrictions et limites sont de la responsabilité des utilisateurs.

Il est important de comprendre comment ces restrictions modifient le comportement service Google Cloud ou affectent l'accès aux données résidence des données. Par exemple, certaines fonctionnalités peuvent être automatiquement désactivées pour garantir que les données les restrictions d'accès et la résidence des données sont maintenues. En outre, si un paramètre de règle d'administration est modifié, cela peut avoir des conséquences inattendues de copier des données d'une région à une autre.

Services compatibles

Sauf indication contraire, les utilisateurs peuvent accéder à tous les services compatibles via la console Google Cloud.

Important : Les services qui interagissent avec les données client dans leurs opérations d'API fournissent des points de terminaison d'API régionaux. Ils doivent être utilisés à la place point de terminaison global de l'API dans les contrôles souverains pour le Royaume d'Arabie saoudite. Pour les services dont l'API les opérations n'interagissent pas avec les données client, l'utilisation de points de terminaison d'API globaux autorisé. Voir Résidence des données pour en savoir plus sur les Données client et les Données des Services.

Les services suivants sont compatibles avec les contrôles souverains pour le Royaume d'Arabie saoudite :

Produit compatible	points de terminaison de l'API	Restrictions ou limites
Access Approval	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison d'API globaux : accessapproval.googleapis.com	Aucun
Artifact Registry	Points de terminaison régionaux de l'API: artifactregistry.me-central2.rep.googleapis.com Les points de terminaison d'API localisés ne sont pas acceptés. Les points de terminaison mondiaux de l'API ne sont pas acceptés.	Aucun
BigQuery	Points de terminaison régionaux de l'API: bigquery.me-central2.rep.googleapis.com bigqueryconnection.me-central2.rep.googleapis.com bigqueryreservation.me-central2.rep.googleapis.com bigquerystorage.me-central2.rep.googleapis.com Les points de terminaison de l'API de localisation ne sont pas acceptés. Les points de terminaison d'API globaux ne sont pas compatibles.	Aucun
Bigtable	Points de terminaison régionaux de l'API: bigtable.me-central2.rep.googleapis.com Les points de terminaison d'API localisés ne sont pas acceptés. Les points de terminaison d'API globaux ne sont pas compatibles.	Aucun
Google Cloud Console	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison d'API globaux : N/A	Aucun
Compute Engine	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: compute.googleapis.com	Fonctionnalités concernées et contraintes liées aux règles d'administration
Cloud DNS	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : dns.googleapis.com	Aucun
Dataflow	Points de terminaison d'API régionaux : dataflow.me-central2.rep.googleapis.com Les points de terminaison de l'API de localisation ne sont pas acceptés. Les points de terminaison globaux de l'API ne sont pas acceptés.	Aucun
Dataproc	Points de terminaison régionaux de l'API: dataproc.me-central2.rep.googleapis.com Les points de terminaison de l'API de localisation ne sont pas acceptés. Les points de terminaison globaux de l'API ne sont pas acceptés.	Aucun
Contacts essentiels	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : essentialcontacts.googleapis.com	Aucun
Filestore	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: file.googleapis.com	Aucun
Cloud Storage	Points de terminaison d'API régionaux : storage.me-central2.rep.googleapis.com Les points de terminaison de l'API de localisation ne sont pas acceptés. Les points de terminaison d'API globaux ne sont pas compatibles.	Fonctionnalités concernées
Google Kubernetes Engine	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : container.googleapis.com containersecurity.googleapis.com	Contraintes liées aux règles d'administration
GKE Hub	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison d'API globaux : gkehub.googleapis.com	Aucun
Cloud HSM	Points de terminaison régionaux de l'API: cloudkms.me-central2.rep.googleapis.com Les points de terminaison d'API localisés ne sont pas acceptés. Les points de terminaison d'API globaux ne sont pas compatibles.	Aucun
Identity and Access Management (IAM)	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : iam.googleapis.com	Aucun
Identity-Aware Proxy (IAP)	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: iap.googleapis.com	Aucun
Cloud Interconnect	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison d'API globaux : networkconnectivity.googleapis.com	Fonctionnalités concernées
Cloud Key Management Service (Cloud KMS)	Points de terminaison régionaux de l'API: cloudkms.me-central2.rep.googleapis.com Les points de terminaison d'API localisés ne sont pas acceptés. Les points de terminaison d'API globaux ne sont pas compatibles.	Aucun
Cloud Load Balancing	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : compute.googleapis.com	Aucun
Cloud Logging	Points de terminaison d'API régionaux : logging.me-central2.rep.googleapis.com Les points de terminaison d'API localisés ne sont pas acceptés. Les points de terminaison globaux de l'API ne sont pas acceptés.	Aucun
Cloud Monitoring	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison d'API globaux : monitoring.googleapis.com	Fonctionnalités concernées
Cloud NAT	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: networkconnectivity.googleapis.com	Aucun
Network Connectivity Center	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: networkconnectivity.googleapis.com	Aucun
Service de règles d'organisation	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: orgpolicy.googleapis.com	Aucun
Persistent Disk	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API basés sur la position géographique ne sont pas acceptés. Points de terminaison d'API globaux : compute.googleapis.com	Aucun
Pub/Sub	Points de terminaison régionaux de l'API: pubsub.me-central2.rep.googleapis.com Les points de terminaison de l'API de localisation ne sont pas acceptés. Les points de terminaison globaux de l'API ne sont pas acceptés.	Aucun
Resource Manager	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : cloudresourcemanager.googleapis.com	Aucun
Paramètres de ressources	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : resourcesettings.googleapis.com	Aucun
Cloud Router	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: networkconnectivity.googleapis.com	Aucun
Cloud Run	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison mondiaux de l'API: run.googleapis.com	Aucun
Cloud SQL	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison d'API globaux : sqladmin.googleapis.com	Aucun
Annuaire des services	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : servicedirectory.googleapis.com	Aucun
Spanner	Points de terminaison d'API régionaux : spanner.me-central2.rep.googleapis.com Les points de terminaison de l'API de localisation ne sont pas acceptés. Les points de terminaison mondiaux de l'API ne sont pas acceptés.	Aucun
Cloud privé virtuel (VPC)	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison d'API globaux : compute.googleapis.com	Aucun
VPC Service Controls	Les points de terminaison régionaux de l'API ne sont pas acceptés. Les points de terminaison de l'API de localisation ne sont pas acceptés. Points de terminaison mondiaux de l'API: accesscontextmanager.googleapis.com	Aucun
Cloud VPN	Les points de terminaison d'API régionaux ne sont pas acceptés. Les points de terminaison d'API localisés ne sont pas acceptés. Points de terminaison mondiaux de l'API: compute.googleapis.com	Fonctionnalités concernées

Règles d'administration

Cette section décrit l'impact de l'organisation par défaut sur chaque service des valeurs de contrainte de règle lorsque des dossiers ou des projets sont créés Contrôles souverains pour le Royaume d'Arabie saoudite. Autres contraintes applicables, même si elles ne sont pas définies par par défaut, qui offre une protection supplémentaire pour mieux protéger aux ressources Google Cloud de votre organisation.

Important : Nous vous recommandons vivement de ne pas modifier les valeurs des contraintes de règles d'administration requises répertoriées dans les sections suivantes. Cela peut compromettre la résidence des données. Une fois ce changement effectué, il est difficile, voire impossible, de revenir en arrière. Assurez-vous de bien comprendre les les conséquences de la modification de la valeur d'une contrainte de règle d'administration avant en cours de traitement.

Assurez-vous également que tous les mécanismes automatisés de votre organisation pour gérer les règles d'administration sont mises à jour les valeurs ne soient pas modifiées involontairement.

Contraintes liées aux règles d'administration au niveau du cloud

Les contraintes des règles d'administration suivantes s'appliquent à tous les services Google Cloud applicables.

Contrainte liée aux règles d'administration	Description
gcp.resourceLocations	Définir sur in:us-locations pour allowedValues un élément de liste. Cette valeur limite la création de ressources Groupe de valeurs me-central2 uniquement. Lorsqu'elle est définie, aucune ressource ne peut être dans d'autres régions, emplacements multirégionaux ou emplacements situés en dehors de Arabie saoudite. Pour en savoir plus, consultez la documentation sur les groupes de valeurs des règles d'administration. Si vous modifiez cette valeur en la rendant moins restrictive, vous risquez d'affaiblir cette la résidence des données en autorisant la création ou le stockage de données en dehors du Royaume d'Arabie saoudite. limite de données.
gcp.restrictServiceUsage	Définissez cette valeur pour autoriser tous les services compatibles. Détermine les services pouvant être activés et utilisés. Pour en savoir plus, consultez la section Limiter l'utilisation des ressources pour les charges de travail.

Contraintes liées aux règles d'administration Compute Engine

Contrainte liée aux règles d'administration	Description
compute.disableInstanceDataAccessApis	Défini sur True. Désactive globalement les API instances.getSerialPortOutput() et instances.getScreenshot(). L'activation de cette règle d'administration vous empêche de générer des identifiants sur les VM Windows Server. Si vous devez gérer un nom d'utilisateur et un mot de passe sur une VM Windows, suivantes: Activez SSH pour les VM Windows. Exécutez la commande suivante pour modifier le mot de passe de la VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Remplacez les éléments suivants : VM_NAME : nom de la VM pour laquelle vous définissez le mot de passe. USERNAME: nom de l'utilisateur que vous définissez le mot de passe. PASSWORD: nouveau mot de passe
compute.enableComplianceMemoryProtection	Défini sur True. Désactive certaines fonctionnalités de diagnostic internes pour assurer une protection supplémentaire du contenu de la mémoire en cas de défaillance de l'infrastructure. La modification de cette valeur peut affecter la résidence des données dans votre charge de travail. nous recommande de conserver la valeur définie.

Contraintes liées aux règles de l'organisation Google Kubernetes Engine

Contrainte liée aux règles d'administration	Description
container.restrictNoncompliantDiagnosticDataAccess	Défini sur True. Permet de désactiver l'analyse globale des problèmes de noyau, ce qui est nécessaire pour conserver le contrôle souverain d'une charge de travail. La modification de cette valeur peut affecter la souveraineté des données dans votre charge de travail. Nous vous recommandons de conserver la valeur définie.

Fonctionnalités concernées

Cette section liste la manière dont les fonctionnalités de chaque service sont affectées par Contrôles souverains pour le Royaume d'Arabie saoudite, y compris les exigences des utilisateurs lors de l'utilisation d'une fonctionnalité

Fonctionnalités de Compute Engine

Extraction	Description
console Google Cloud	Les fonctionnalités Compute Engine suivantes ne sont pas disponibles dans la console Google Cloud. Utilisez l'API ou la Google Cloud CLI, le cas échéant: Vérifications d'état Groupes de points de terminaison du réseau Le SSH dans le navigateur est désactivé
instances.getSerialPortOutput()	Cette API est désactivée ; vous ne pouvez pas obtenir de données en sortie du port série depuis l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif.
instances.getScreenshot()	Cette API est désactivée ; vous ne pouvez pas obtenir de capture d'écran à partir de l'instance spécifiée à l'aide de cette API. Modifier l'organisation compute.disableInstanceDataAccessApis la valeur de la contrainte de règle sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif.

Fonctionnalités de Cloud Interconnect

Caractéristique	Description
VPN haute disponibilité	Vous devez activer la fonctionnalité VPN haute disponibilité lorsque vous utilisez Cloud Interconnect avec Cloud VPN. De plus, vous devez respecter les exigences de chiffrement et de régionalisation présentées dans cette section.

Fonctionnalités de Cloud Monitoring

Caractéristique	Description
Écran synthétique	Cette fonctionnalité est désactivée.
Test de disponibilité	Cette fonctionnalité est désactivée.
Widgets du panneau des journaux dans Tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau de journal à un tableau de bord.
Widgets du panneau Error Reporting dans Tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau de signalement d'erreurs à un tableau de bord.
Filtrer dans EventAnnotation pour Tableaux de bord	Cette fonctionnalité est désactivée. Le filtre de EventAnnotation ne peut pas être défini dans un tableau de bord.
SqlCondition dans alertPolicies	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de SqlCondition à un alertPolicy

Fonctionnalités de Cloud Storage

Caractéristique	Description
console Google Cloud	Il vous incombe d'utiliser la console Google Cloud juridictionnelle pour les contrôles souverains en Arabie saoudite. La juridiction empêche l'importation et le téléchargement d'objets Cloud Storage. À pour importer et télécharger des objets Cloud Storage, consultez les ressources suivantes : Ligne Points de terminaison de l'API conformes.
Points de terminaison d'API conformes	Il vous incombe d'utiliser l'un des points de terminaison localisés avec Cloud Storage. Pour en savoir plus, consultez la section Emplacements Cloud Storage.

Fonctionnalités de Cloud VPN

Caractéristique	Description
console Google Cloud	Les fonctionnalités Cloud VPN ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou la Google Cloud CLI.

Notes de bas de page

1. BigQuery est compatible, mais il n'est pas automatiquement activé lorsque vous créez un dossier de charges de travail assurées en raison d'un processus de configuration interne. Cette procédure se termine normalement en 10 minutes, mais peut prendre beaucoup plus de temps dans certains cas. Pour vérifier si le processus est terminé et pour activer BigQuery, procédez comme suit :

1. Dans la console Google Cloud, accédez à la page Assured Workloads.

   Accéder à Assured Workloads

2. Sélectionnez votre nouveau dossier Assured Workloads dans la liste.
3. Sur la page Informations sur le dossier, dans la section Services autorisés, cliquez sur Examiner les mises à jour disponibles.
4. Dans le volet Services autorisés, passez en revue les services à ajouter au Restriction d'utilisation des ressources la règle d'administration définie pour le dossier. Si les services BigQuery sont répertoriés, cliquez sur Cliquez sur Autoriser les services pour les ajouter.
   
   Si les services BigQuery ne sont pas répertoriés, attendez la fin du processus interne. Si les services ne sont pas listés dans les 12 heures suivant la création du dossier, contactez l'assistance client Cloud.

Une fois le processus d'activation terminé, vous pouvez utiliser BigQuery dans votre dossier Assured Workloads.

Gemini dans BigQuery n'est pas compatible avec Assured Workloads.