Pembatasan dan batasan untuk Kontrol Kedaulatan untuk Kerajaan Arab Saudi (KSA)

Halaman ini menjelaskan pembatasan, batasan, dan konfigurasi lainnya opsi saat menggunakan paket kontrol Sovereign Controls untuk Kerajaan Arab Saudi (KSA).

Penting: Paket kontrol Sovereign Controls untuk KSA hanya boleh digunakan oleh Pelanggan Assured Workloads yang memiliki alamat penagihan—baik bisnis, tempat tinggal, atau domisili—berbasis di luar KSA.

Ringkasan

Untuk mengakses konsol Google Cloud saat menggunakan Sovereign Controls untuk paket kontrol KSA, Anda harus menggunakan salah satu URL berikut:

• console.sa.cloud.google.com
• console.sa.cloud.google untuk pengguna identitas gabungan

Untuk informasi selengkapnya, lihat Wilayah Hukum Halaman Konsol Google Cloud.

Paket kontrol Sovereign Controls untuk KSA memungkinkan kontrol akses data dan data fitur residensi untuk produk Google Cloud yang didukung. Beberapa layanan ini fitur dibatasi atau dibatasi oleh Google agar kompatibel dengan Sovereign Controls untuk KSA. Sebagian besar pembatasan ini dan batasan diterapkan saat membuat folder Assured Workloads baru untuk Sovereign Controls untuk KSA. Namun, beberapa dari mereka dapat diubah nanti dengan memodifikasi kebijakan organisasi. Selain itu, beberapa batasan dan batasan memerlukan tanggung jawab pengguna untuk kepatuhan.

Penting untuk memahami bagaimana batasan ini memodifikasi perilaku sebuah diberikan layanan Google Cloud atau memengaruhi akses data atau residensi data. Misalnya, beberapa fitur atau kemampuan tertentu dapat dinonaktifkan secara otomatis untuk memastikan bahwa data pembatasan akses dan residensi data dipertahankan. Selain itu, jika perubahan setelan kebijakan organisasi, dapat menyebabkan timbulnya dampak yang tidak penyalinan data dari satu region ke region lain.

Layanan yang didukung

Kecuali jika dinyatakan lain, pengguna dapat mengakses semua layanan yang didukung melalui konsol Google Cloud.

Penting: Layanan yang berinteraksi dengan Data Pelanggan dalam operasi API mereka menyediakan endpoint API regional. ID ini harus digunakan sebagai pengganti endpoint API global di Sovereign Controls untuk KSA. Untuk layanan yang API-nya operasi tidak berinteraksi dengan Data Pelanggan, menggunakan endpoint API global diizinkan. Lihat Residensi data untuk informasi selengkapnya tentang Data Pelanggan dan Data Layanan.

Layanan berikut kompatibel dengan Sovereign Controls untuk Kerajaan Arab Saudi (KSA):

Produk yang didukung	endpoint API	Fitur atau kebijakan organisasi yang terpengaruh
Access Approval	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: accessapproval.googleapis.com	Tidak ada
Artifact Registry	Endpoint API regional: artifactregistry.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
BigQuery ^[2]	Endpoint API regional: bigquery.me-central2.googleapis.com bigqueryconnection.me-central2.googleapis.com bigqueryreservation.me-central2.googleapis.com bigquerystorage.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Bigtable	Endpoint API regional: bigtable.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Cloud DNS	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: dns.googleapis.com	Tidak ada
Cloud HSM	Endpoint API regional: cloudkms.me-central2.rep.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Cloud Interconnect	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: networkconnectivity.googleapis.com	Fitur yang terpengaruh
Cloud Key Management Service (Cloud KMS)	Endpoint API regional: cloudkms.me-central2.rep.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Cloud Load Balancing	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: compute.googleapis.com	Tidak ada
Cloud Logging	Endpoint API regional: logging.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Cloud Monitoring	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: monitoring.googleapis.com	Tidak ada
Cloud NAT	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: networkconnectivity.googleapis.com	Tidak ada
Cloud Router	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: networkconnectivity.googleapis.com	Tidak ada
Cloud SQL	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: sqladmin.googleapis.com	Tidak ada
Cloud Storage	Endpoint API regional: storage.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Cloud VPN	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: compute.googleapis.com	Tidak ada
Compute Engine	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: compute.googleapis.com	Fitur yang terpengaruh dan batasan kebijakan organisasi
Dataflow	Endpoint API regional: dataflow.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Dataproc	Endpoint API regional: dataproc.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Kontak Penting	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: essentialcontacts.googleapis.com	Tidak ada
GKE Hub	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: gkehub.googleapis.com	Tidak ada
Konsol Google Cloud	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: T/A	Tidak ada
Google Kubernetes Engine	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: container.googleapis.com containersecurity.googleapis.com	Fitur yang terpengaruh dan batasan kebijakan organisasi
Identity and Access Management (IAM)	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: iam.googleapis.com	Tidak ada
Identity-Aware Proxy	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: iap.googleapis.com	Tidak ada
Network Connectivity Center	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: networkconnectivity.googleapis.com	Tidak ada
Organization Policy Service	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: orgpolicy.googleapis.com	Tidak ada
Persistent Disk	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: compute.googleapis.com	Tidak ada
Pub/Sub	Endpoint API regional: pubsub.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Resource Manager	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: cloudresourcemanager.googleapis.com	Tidak ada
Setelan Resource	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: resourcesettings.googleapis.com	Tidak ada
Direktori Layanan	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: servicedirectory.googleapis.com	Tidak ada
Spanner	Endpoint API regional: spanner.me-central2.googleapis.com Endpoint API lokasi tidak didukung. Endpoint API global tidak didukung.	Tidak ada
Virtual Private Cloud	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: vpcaccess.googleapis.com	Tidak ada
Kontrol Layanan VPC	Endpoint API regional tidak didukung. Endpoint API lokasi tidak didukung. Endpoint API global: accesscontextmanager.googleapis.com	Tidak ada

Kebijakan organisasi

Bagian ini menjelaskan pengaruh organisasi default terhadap setiap layanan nilai batasan kebijakan saat folder atau project dibuat menggunakan Kontrol Kedaulatan untuk KSA. Batasan lain yang berlaku—meskipun tidak ditetapkan oleh default—dapat memberikan tambahan "defense-in-depth" untuk lebih melindungi resource Google Cloud organisasi Anda.

Penting: Sebaiknya jangan ubah nilai yang diperlukan batasan kebijakan organisasi yang tercantum di bagian berikut. Melakukan hal itu dapat merusak residensi data. Ketika perubahan tersebut telah dibuat, efek dari perubahan sulit atau tidak mungkin untuk dibalik. Pastikan Anda memahami konsekuensi dari perubahan nilai batasan kebijakan organisasi sebelum melanjutkan.

Selain itu, pastikan bahwa setiap mekanisme otomatis digunakan oleh organisasi untuk mengelola kebijakan organisasi diperbarui untuk mencegah nilai agar tidak diubah secara tidak sengaja.

Batasan kebijakan organisasi di seluruh cloud

Hal berikut batasan kebijakan organisasi berlaku di seluruh layanan Google Cloud yang berlaku.

Batasan kebijakan organisasi	Deskripsi
gcp.resourceLocations	Tetapkan ke in:us-locations sebagai allowedValues item daftar. Nilai ini membatasi pembuatan resource baru ke Grup nilai me-central2 saja. Jika ditetapkan, tidak ada resource yang dapat yang dibuat di wilayah, multi-wilayah, atau lokasi lain di luar KSA. Lihat Grup nilai kebijakan organisasi dokumentasi untuk informasi selengkapnya. Mengubah nilai ini dengan membuatnya lebih longgar dan berpotensi melemahkan residensi data dengan memungkinkan data dibuat atau disimpan di luar KSA batas data.
gcp.restrictServiceUsage	Tetapkan untuk mengizinkan semua layanan yang didukung. Menentukan layanan mana yang dapat diaktifkan dan digunakan. Untuk informasi selengkapnya, lihat Membatasi penggunaan resource untuk workload.

Batasan kebijakan organisasi Compute Engine

Batasan kebijakan organisasi	Deskripsi
compute.disableInstanceDataAccessApis	Tetapkan ke True. Secara global menonaktifkan instances.getSerialPortOutput() dan instances.getScreenshot() API. Mengaktifkan kebijakan organisasi ini mencegah Anda membuat kredensial di VM Windows Server. Jika Anda perlu mengelola nama pengguna dan {i>password<i} di VM Windows, lakukan berikut ini: Mengaktifkan SSH untuk VM Windows. Jalankan perintah berikut untuk mengubah sandi VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Ganti yang berikut: VM_NAME: Nama VM yang Anda setel sandinya untuk mereka. USERNAME: Nama pengguna dari pengguna yang Anda tetapkan sandinya. PASSWORD: Sandi baru.
compute.enableComplianceMemoryProtection	Tetapkan ke True. Menonaktifkan beberapa fitur diagnostik internal untuk memberikan perlindungan konten memori ketika terjadi kesalahan infrastruktur. Mengubah nilai ini dapat memengaruhi residensi data dalam workload Anda; kami sarankan untuk mempertahankan nilai yang ditetapkan.

Batasan kebijakan organisasi Google Kubernetes Engine

Batasan kebijakan organisasi	Deskripsi
container.restrictNoncompliantDiagnosticDataAccess	Tetapkan ke True. Digunakan untuk menonaktifkan analisis gabungan masalah {i>kernel<i}, yang diperlukan untuk mempertahankan kendali atas beban kerja yang berdaulat. Mengubah nilai ini dapat memengaruhi kedaulatan data dalam workload Anda; kami sarankan untuk mempertahankan nilai yang ditetapkan.

Fitur yang terpengaruh

Bagian ini mencantumkan pengaruh fitur atau kemampuan setiap layanan oleh Sovereign Controls untuk KSA, termasuk persyaratan pengguna saat menggunakan fitur.

Fitur Compute Engine

Fitur	Deskripsi
Konsol Google Cloud	Fitur Compute Engine berikut tidak tersedia di Konsol Google Cloud Anda. Gunakan API atau Google Cloud CLI jika tersedia: Health check Grup endpoint jaringan SSH berbasis browser dinonaktifkan
instances.getSerialPortOutput()	API ini dinonaktifkan; Anda tidak akan bisa mendapatkan output port serial dari instance yang ditetapkan menggunakan API ini. Ubah organisasi compute.disableInstanceDataAccessApis nilai batasan kebijakan menjadi False untuk mengaktifkan API ini. Anda juga dapat mengaktifkan dan menggunakan port serial interaktif.
instances.getScreenshot()	API ini dinonaktifkan; Anda tidak akan bisa mendapatkan screenshot dari instance tertentu menggunakan API ini. Ubah organisasi compute.disableInstanceDataAccessApis nilai batasan kebijakan menjadi False untuk mengaktifkan API ini. Anda juga dapat mengaktifkan dan menggunakan port serial interaktif.

Fitur Cloud Interconnect

Fitur	Deskripsi
VPN ketersediaan tinggi (HA)	Anda harus mengaktifkan fungsi VPN dengan ketersediaan tinggi (HA) saat menggunakan Cloud Interconnect dengan Cloud VPN. Selain itu, Anda harus mematuhi persyaratan enkripsi dan regionalisasi yang tercantum dalam bagian ini.

Fitur Cloud Storage

Fitur	Deskripsi
Konsol Google Cloud	Anda bertanggung jawab untuk menggunakan Wilayah Hukum Konsol Google Cloud untuk Sovereign Controls untuk KSA. Wilayah Hukum mencegah upload dan download objek Cloud Storage. Kepada mengupload dan mendownload objek Cloud Storage, lihat referensi berikut Baris Endpoint API yang mematuhi kebijakan.
Endpoint API yang mematuhi kebijakan	Anda bertanggung jawab untuk menggunakan salah satu endpoint lokasi dengan yang sesuai di Cloud Storage. Lihat Lokasi Cloud Storage untuk informasi selengkapnya.

Fitur Cloud VPN

Fitur	Deskripsi
Konsol Google Cloud	Fitur Cloud VPN tidak tersedia di Konsol Google Cloud. Gunakan API atau Google Cloud CLI sebagai gantinya.

Catatan kaki

Akun Layanan 1. BigQuery didukung, tetapi tidak diaktifkan secara otomatis saat Anda membuat Folder Assured Workloads karena proses konfigurasi internal. Proses ini biasanya selesai dalam sepuluh menit, tetapi bisa memakan waktu lebih lama. Untuk memeriksa apakah selesai, dan untuk mengaktifkan BigQuery, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman Assured Workloads.

   Buka Assured Workloads

2. Pilih folder Assured Workloads baru Anda dari daftar.
3. Di halaman Detail Folder di bagian Layanan yang diizinkan, klik Tinjau Update yang Tersedia.
4. Di panel Allowed services, tinjau layanan yang akan ditambahkan ke Pembatasan Penggunaan Resource kebijakan organisasi untuk folder tersebut. Jika layanan BigQuery tercantum, klik Izinkan Layanan untuk menambahkannya.
   
   Jika layanan BigQuery tidak tercantum, tunggu hingga proses internal selesai. Jika layanan tidak tercantum dalam 12 jam setelah pembuatan folder, hubungi Cloud Customer Care.

Setelah proses pengaktifan selesai, Anda dapat menggunakan BigQuery di Folder Assured Workloads.