规划数据驻留

预览 — Security Command Center data residency for EU, US, and Global locations

此功能须遵守服务专用条款的“通用服务条款”部分中的“非正式版产品条款”。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

注意：此功能仅适用于 Security Command Center 优质层级和标准层级。

借助数据驻留，您可以更好地控制 Security Command Center 数据的位置。本页面提供了有关 Security Command Center 如何支持数据驻留的基本信息。

以下定义适用于本页：

• 位置是指与数据所在的位置对应的 Google Cloud 区域或多区域。
• “您的数据”一词的含义等同于 Google Cloud 通用服务条款中数据位置条目中的“客户数据”一词的含义。

支持的数据位置

Security Command Center 仅支持以下 Google Cloud 多区域作为数据位置：

欧盟 (eu)

数据位于欧盟成员国内的任何 Google Cloud 区域中。

美国 (us)

数据位于美国的任何 Google Cloud 区域中。

沙特阿拉伯王国 (KSA) (sa)

数据位于沙特阿拉伯的任何 Google Cloud 区域中。

全球支持专线（global）

数据可以位于任何 Google Cloud 区域。如果未启用数据驻留，则全球 (global) 是唯一支持的位置。

如需详细了解 Security Command Center 的适用地区，请参阅各位置可使用的产品。

如果您需要为数据驻留指定 Security Command Center 不支持的默认位置，请与您的客户代表或 Google Cloud 销售专家联系。

数据驻留要求

只有在首次在组织中激活 Security Command Center 的标准层级或高级层级时，您才能启用数据驻留。企业版不支持数据驻留。

启用数据驻留后，您将无法停用该功能或更改默认位置。

若要实现数据驻留，您需要使用 Security Command Center v2 API。如果启用了数据驻留，则无法使用较低版本的 Security Command Center API。

如果您在激活 Security Command Center 时未启用数据驻留，则 Security Command Center 不会将您的数据限制在任何特定位置，并且会根据 Google Cloud Platform 服务条款进行存储。

地区性网址

对于沙特阿拉伯王国 (KSA) 位置，您必须使用特定于位置的网址才能访问相应管辖区的 Google Cloud 控制台，以及 gcloud CLI、Cloud 客户端库和 Security Command Center API 中的某些方法和命令：

控制台

如需访问 Security Command Center，请使用相应管辖区的 Google Cloud 控制台 https://console.sa.cloud.google.com/。

您可以通过相应管辖区的 Google Cloud 控制台访问沙特阿拉伯和全球位置的 Security Command Center 数据。

gcloud

如需访问沙特阿拉伯位置中的数据，以下 gcloud CLI 命令组要求您使用 Security Command Center API 的区域服务端点：

• gcloud scc bqexports：管理 BigQuery Export 配置
• gcloud scc findings：管理发现结果
• gcloud scc muteconfigs：管理忽略规则配置
• gcloud scc notifications：管理持续导出配置

此外，gcloud scc operations 命令组不适用于沙特阿拉伯境内的长时间运行操作。例如，您无法检查长时间运行的操作的状态以批量静音发现结果。

对于所有其他 gcloud scc 命令组，您必须使用 Security Command Center API 的默认服务端点。

如需切换到区域服务端点，请运行以下命令：

gcloud config set api_endpoint_overrides/securitycenter \
    https://securitycenter.me-central2.rep.googleapis.com/

如需切换到默认服务端点，请运行以下命令：

gcloud config unset api_endpoint_overrides/securitycenter

如果您愿意，可以为使用区域服务端点的 gcloud CLI 创建命名配置，然后在 KSA 位置运行 Security Command Center 命令之前切换到该命名配置。如需切换到命名配置，请运行 gcloud config configurations activate 命令。

REST

对于沙特阿拉伯位置，Security Command Center API 使用区域性服务端点 https://securitycenter.me-central2.rep.googleapis.com/。

如需在沙特阿拉伯境内访问以下 REST API 资源类型，您必须使用 Security Command Center 的区域性服务端点：

• folders.locations.bigQueryExports
• folders.locations.findings
• folders.locations.muteConfigs
• folders.locations.notificationConfigs
• organizations.locations.bigQueryExports
• organizations.locations.findings
• organizations.locations.muteConfigs
• organizations.locations.notificationConfigs
• projects.locations.bigQueryExports
• projects.locations.findings
• projects.locations.muteConfigs
• projects.locations.notificationConfigs

此外，您无法对 KSA 位置中的 organizations.operations 资源调用任何方法。例如，您无法检查长时间运行的操作的状态，以批量静音发现结果。

对于所有其他资源类型，您必须使用 Security Command Center API 的默认服务端点 https://securitycenter.googleapis.com/。

Go

如需在沙特阿拉伯 (KSA) 位置管理以下资源类型，您必须在为 Security Command Center 创建客户端时替换默认服务端点：

• BigQuery Export 配置
• 持续导出配置
• 发现结果
• 忽略规则配置

请针对这些资源类型使用端点 securitycenter.me-central2.rep.googleapis.com:443。以下代码示例展示了如何创建使用区域服务端点的客户端。

import (
	"context"
	"fmt"

	securitycenter "cloud.google.com/go/securitycenter/apiv2"
	"google.golang.org/api/option"
)

// createClientWithEndpoint creates a Security Command Center client for a
// regional endpoint.
func createClientWithEndpoint(repLocation string) error {
	// Assemble the regional endpoint URL using provided location.
	repEndpoint := fmt.Sprintf("securitycenter.%s.rep.googleapis.com:443", repLocation)
	// Instantiate client for regional endpoint. Use this client to access resources that
	// are subject to data residency controls, and that are located in the region
	// specified in repLocation.
	repCtx := context.Background()
	repClient, err := securitycenter.NewClient(repCtx, option.WithEndpoint(repEndpoint))
	if err != nil {
		return err
	}
	defer repClient.Close()

	return nil
}

Java

如需在沙特阿拉伯 (KSA) 位置管理以下资源类型，您必须在为 Security Command Center 创建客户端时替换默认服务端点：

• BigQuery Export 配置
• 持续导出配置
• 发现结果
• 忽略规则配置

请针对这些资源类型使用端点 securitycenter.me-central2.rep.googleapis.com:443。以下代码示例展示了如何创建使用区域服务端点的客户端。

import com.google.cloud.securitycenter.v2.SecurityCenterClient;
import com.google.cloud.securitycenter.v2.SecurityCenterSettings;
import java.io.IOException;

public class CreateClientWithEndpoint {

  public static void main(String[] args) throws IOException {
    // TODO: Replace the value with the endpoint for the region in which your
    // Security Command Center data resides.
    String regionalEndpoint = "securitycenter.me-central2.rep.googleapis.com:443";
    SecurityCenterClient client = createClientWithEndpoint(regionalEndpoint);
    System.out.println("Client initiated with endpoint: " + client.getSettings().getEndpoint());
  }

  // Creates Security Command Center client for a regional endpoint.
  public static SecurityCenterClient createClientWithEndpoint(String regionalEndpoint)
      throws java.io.IOException {
    SecurityCenterSettings regionalSettings =
        SecurityCenterSettings.newBuilder().setEndpoint(regionalEndpoint).build();
    return SecurityCenterClient.create(regionalSettings);
  }
}

强制执行数据驻留时

为 Security Command Center 启用数据驻留后，当某些 Security Command Center 数据处于以下某种状态时，这些数据会保留在指定位置：

• 休眠状态：所有受支持的位置
• 正在使用：仅限 KSA (sa)
• 传输中：仅限沙特阿拉伯 (sa)

数据驻留（静态）

当数据满足以下所有条件时，即为静态数据：

• 这些数据适用于受数据驻留控制的资源类型。
• 您未请求需要访问数据的操作。
• 访问数据的方式不会生成审核日志或 Access Transparency 日志。

启用数据驻留后，Security Command Center 会执行以下操作：

欧盟、美国和全球

• 在发现数据处于静态状态时，Security Command Center 会尽可能将其存储在您的资源所在的 Google Cloud 多区域位置。

  否则，在处于休眠状态时，发现数据会存储在您选择的默认位置中。

• 当特定类型的配置资源处于休眠状态时，Security Command Center 会将其存储在您选择的默认位置。

• 如果 Security Command Center 存储的数据不是 客户数据（如 Google Cloud 一般服务条款中的数据位置条目所定义），则 Security Command Center 会根据 Google Cloud Platform 服务条款存储这些静态数据。

KSA

• 为位于 KSA 位置的资源创建发现结果后，该发现结果在闲置时始终位于 KSA 位置。
• 为位于其他位置的资源创建发现结果后，该发现结果最终会位于 KSA 位置处于休眠状态。不过，在休息时，发现结果可能会暂时位于其他区域。
• 当您在沙特阿拉伯位置创建特定类型的配置资源，并且这些资源处于休眠状态时，它们会位于沙特阿拉伯位置。

• 如果 Security Command Center 存储的数据不是 客户数据（如 Google Cloud 一般服务条款中的数据位置条目所定义），则 Security Command Center 会根据 Google Cloud Platform 服务条款存储这些静态数据。

使用中的数据驻留

当满足以下所有条件时，数据处于使用中状态：

• 这些数据适用于受数据驻留控制的资源类型。
• Google Cloud 正在完成您请求发起的操作（例如，因为您的应用调用了 Security Command Center API），或生成审核日志或 Access Transparency 日志的操作。
• Google Cloud 可能会以需要了解数据含义的方式对数据进行操作，例如通过更新配置资源中的特定字段。这包括数据在内存中处于未加密状态的任何情况。

启用数据驻留后，Security Command Center 会执行以下操作：

欧盟、美国和全球

在欧盟、美国和全球位置，正在使用的 Google 数据不受数据驻留控制。

KSA

• 为位于 KSA 位置的资源创建发现结果后，该发现结果始终位于当前使用的 KSA 位置。
• 为位于其他位置的资源创建发现时，该发现最终会位于所使用的沙特阿拉伯位置。不过，发现结果可能会暂时位于其他正在使用的区域。
• 当您在沙特阿拉伯位置创建特定类型的配置资源，并且这些资源正在使用时，它们会驻留在沙特阿拉伯位置。

• 如果 Security Command Center 存储的数据不是 客户数据（如 Google Cloud 一般服务条款中的数据位置条目所定义），则 Security Command Center 会根据 Google Cloud Platform 服务条款存储使用中的数据。

传输中的数据驻留

当满足以下所有条件时，数据处于传输中状态：

• 这些数据适用于受数据驻留控制的资源类型。
• 数据正在 Google 网络中加密传输，或者数据已加密并存储在内存中，目的是将其在 Google 网络中传输。

启用数据驻留后，Security Command Center 会执行以下操作：

欧盟、美国和全球

在欧盟、美国和全球位置，传输中的数据不受数据驻留地控制。

KSA

• 为位于沙特阿拉伯 (KSA) 位置的资源创建发现结果时，该发现结果在传输过程中始终位于 KSA 位置。
• 为位于其他位置的资源创建发现后，该发现最终会位于传输过程中的沙特阿拉伯位置。不过，在传输过程中，发现结果可能会暂时位于其他区域。
• 当您在沙特阿拉伯位置创建特定类型的配置资源，并且这些资源正在传输时，它们会位于沙特阿拉伯位置。

• 如果 Security Command Center 存储的数据不是 客户数据（如 Google Cloud 一般服务条款中的数据位置条目所定义），则 Security Command Center 会根据 Google Cloud Platform 服务条款存储传输中的数据。

默认数据位置

对于欧盟、美国和全球位置，在您启用 Security Command Center 数据驻留后，您需要指定默认的 Security Command Center 位置。您可以选择任何受支持的数据位置作为默认位置。

Security Command Center 仅使用默认位置来存储适用于以下类型资源的休眠状态发现结果：

• 资源未位于 Security Command Center 的受支持的数据位置
• 在元数据中未指定位置的资源

如果您在多个位置或多个区域部署 Google Cloud 资源，则可以选择“全球”(global) 位置作为默认位置。

如果您仅在单个位置部署资源，则可以选择包含该位置的多区域作为默认区域。

Security Command Center 资源和数据驻留

以下列表介绍了 Security Command Center 如何将数据驻留控制措施应用于 Security Command Center 资源。如果资源未在此处列出，则不受数据驻留控制措施的约束，并且会根据 Google Cloud Platform 服务条款进行存储。

资产

资产元数据由 Cloud Asset Inventory 存储，不受数据驻留地控制。这些数据的存储方式符合 Google Cloud Platform 服务条款。

因此，Google Cloud 控制台中的 Security Command Center 资产页面始终会显示组织、文件夹或项目中的所有资源，无论其位置如何，也不受您在 Google Cloud 控制台中选择的位置影响。不过，启用数据驻留后，当您查看素材资源的详细信息时，素材资源页面不会显示影响素材资源的发现信息。

攻击风险得分和攻击路径

攻击风险得分和攻击路径不受数据驻留控制的约束。这些数据的存储方式符合 Google Cloud Platform 服务条款。

BigQuery Export

BigQuery Export 配置受数据驻留地控制。

欧盟、美国和全球

创建这些资源时，您需要指定它们所在的位置。这些配置仅适用于位于同一位置的发现。

KSA

您可以使用区域性网址创建和管理这些配置资源。他们位于沙特阿拉伯境内，并附上您的调查结果。

Security Command Center API 将 BigQuery 导出配置表示为 BiqQueryExport 资源。

持续导出

持续导出配置受数据驻留控制措施的约束。

欧盟、美国和全球

创建这些资源时，您需要指定它们所在的位置。这些配置仅适用于位于同一位置的发现。

KSA

您可以使用区域性网址创建和管理这些配置资源。他们位于沙特阿拉伯境内，并附上您的调查结果。

Security Command Center API 将持续导出配置表示为 NotificationConfig 资源。

发现结果

结果会受到数据驻留控制措施的约束。

欧盟、美国和全球

创建发现结果后，该结果会位于受影响资源所在的 Security Command Center 位置。

如果受影响的资源位于不受支持的位置或没有位置标识符，则该资源的发现结果会存储在您的默认位置。

KSA

为位于沙特阿拉伯 (KSA) 位置的资源创建发现结果后，该发现结果将始终位于沙特阿拉伯 (KSA) 位置。

为位于其他位置的资源创建发现结果后，该发现结果最终会位于沙特阿拉伯位置。不过，在创建时，相应发现可能位于其他区域。

为确保发现结果始终位于沙特阿拉伯位置，请在沙特阿拉伯位置创建所有资源。

忽略规则

忽略规则配置受数据驻留控制措施的约束。

欧盟、美国和全球

创建这些资源时，您需要指定它们所在的位置。这些配置仅适用于位于同一位置的发现。

KSA

您可以使用区域性网址创建和管理这些配置资源。他们位于沙特阿拉伯境内，并附上您的调查结果。

Security Command Center API 将忽略规则配置表示为 MuteConfig 资源。

Security Command Center 的其他资源和设置

此处未列出的 Security Command Center 资源和设置（例如用于定义启用了哪些服务或处于活跃状态的层级的设置）不受数据驻留控制措施的约束。我们会根据 Google Cloud Platform 服务条款存储这些数据。

在某个位置创建或查看数据

启用数据驻留后，在创建或查看受数据驻留控制的任何数据时，您都必须指定位置。Security Command Center 会自动为其创建的发现结果选择位置。

您一次只能在一个位置创建或查看数据。例如，如果您在“全球”(global) 位置列出发现结果，则不会在“欧盟”(eu) 位置看到发现结果。

如需创建或查看位于 Security Command Center 位置中的数据，请执行以下操作：

控制台

欧盟、美国和全球

1. 在 Google Cloud 控制台中，前往 Security Command Center。

   前往 Security Command Center

2. 如需更改数据位置，请点击操作栏中的位置选择器。

   

   系统随即会显示营业地点列表。选择新位置。

KSA

在适用于沙特阿拉伯 (KSA) 位置的 Google Cloud 控制台中，前往 Security Command Center。

前往 Security Command Center

gcloud

欧盟、美国和全球

运行 Google Cloud CLI 时，请使用 --location=LOCATION 标志，如以下示例所示。

gcloud scc findings list 命令会列出组织在特定位置的发现结果。

在使用下面的命令数据之前，请先进行以下替换：

• ORGANIZATION_ID：组织的数字 ID
• LOCATION：要使用的 Security Command Center 位置，例如 eu；如果未启用数据驻留，请使用 global

执行 gcloud scc findings list 命令：

Linux、macOS 或 Cloud Shell

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

Windows (PowerShell)

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

Windows (cmd.exe)

gcloud scc findings list ORGANIZATION_ID --location=LOCATION

响应包含发现结果列表。

KSA

配置 gcloud CLI 以使用沙特阿拉伯位置的区域服务端点来调用 Security Command Center API：

gcloud config set api_endpoint_overrides/securitycenter \
    https://securitycenter.me-central2.rep.googleapis.com/

然后，您在运行 Google Cloud CLI 时必须使用 --location=sa 标志，如以下示例所示。

gcloud scc findings list 命令会列出组织在特定位置的发现结果。

在使用下面的命令数据之前，请先进行以下替换：

• ORGANIZATION_ID：组织的数字 ID

执行 gcloud scc findings list 命令：

Linux、macOS 或 Cloud Shell

gcloud scc findings list ORGANIZATION_ID --location=sa

Windows (PowerShell)

gcloud scc findings list ORGANIZATION_ID --location=sa

Windows (cmd.exe)

gcloud scc findings list ORGANIZATION_ID --location=sa

响应包含发现结果列表。

REST

欧盟、美国和全球

使用路径中包含 locations/LOCATION 的 API 端点，如以下示例所示。

Security Command Center API 的 organizations.sources.locations.findings.list 方法可列出组织在特定位置的发现结果。

在使用任何请求数据之前，请先进行以下替换：

• ORGANIZATION_ID：组织的数字 ID
• LOCATION：要使用的 Security Command Center 位置，例如 eu；如果未启用数据驻留，请使用 global

HTTP 方法和网址：

GET https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/LOCATION/findings" | Select-Object -Expand Content

响应包含发现结果列表。

KSA

使用沙特阿拉伯位置的区域性服务端点调用该 API，如以下示例所示。

Security Command Center API 的 organizations.sources.locations.findings.list 方法可列出组织在特定位置的发现结果。

在使用任何请求数据之前，请先进行以下替换：

• ORGANIZATION_ID：组织的数字 ID

HTTP 方法和网址：

GET https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securitycenter.me-central2.rep.googleapis.com/v2/organizations/ORGANIZATION_ID/sources/-/locations/sa/findings" | Select-Object -Expand Content

响应包含发现结果列表。

后续步骤

• 了解如何启用启用了数据驻留的 Security Command Center。
• 启用 Security Command Center 以将发现结果流式传输到 BigQuery。
• 设置从 Security Command Center 到 Pub/Sub 的持续导出。
• 为发现结果创建忽略规则。