Endpoint globali e regionali per la protezione dei dati sensibili

Questo documento descrive i diversi tipi di endpoint API disponibili con Sensitive Data Protection. Questo documento fornisce anche punti da considerare quando decidi quale tipo di endpoint utilizzare nelle richieste di Sensitive Data Protection. Per informazioni generali sui diversi tipi di endpoint API, consulta Tipi di endpoint API nella documentazione di Assured Workloads.

Un endpoint API (o endpoint di servizio) è un URL di base che specifica l'indirizzo di rete di un servizio API come Sensitive Data Protection. Google Cloud Sensitive Data Protection dispone di endpoint globali e regionali.

Endpoint API globale

L'endpoint globale di Sensitive Data Protection è dlp.googleapis.com.

Gli endpoint con ambito globale forniscono endpoint di servizio a disponibilità elevata che terminano la sessione TLS il più vicino possibile al client, il che riduce al minimo la latenza durante la gestione delle chiamate API da una popolazione di client dispersa su internet.

Quando invii una richiesta a un endpoint globale, puoi specificare la località in cui vuoi elaborare la richiesta.

Richieste a un endpoint globale senza località specificata

Se non specifichi una località nella richiesta o se specifichi la regione global, la richiesta viene elaborata nella regione global. Ad esempio, se invii una richiesta POST al seguente URL, la richiesta viene inviata all'endpoint globale ed elaborata nella regione global.

https://dlp.googleapis.com/v2/projects/example-project/content:inspect

Richieste a un endpoint globale con una località specificata

Se specifichi una località nella richiesta a un endpoint globale, la richiesta viene inviata all'endpoint globale ed elaborata nella regione o nella multi-regione che hai specificato. Ad esempio, se invii una richiesta POST al seguente URL, la richiesta viene inviata all'endpoint globale ed elaborata nella regione us-west1.

https://dlp.googleapis.com/v2/projects/example-project/locations/us-west1/content:inspect

Non vi è alcuna garanzia che i dati in transito rimangano nella regione di elaborazione che hai specificato. Se non sei tenuto a conservare i dati in transito in una regione specifica, è sufficiente chiamare l'endpoint globale in questo modo.

Endpoint API regionali

Gli endpoint regionali (REP) ti consentono di mantenere i dati in transito all'interno di una regione specifica. Un endpoint regionale specifica la località come sottodominio, ad esempio dlp.us-west1.rep.googleapis.com.

Un endpoint regionale per Sensitive Data Protection segue questo formato:

dlp.REP_REGION.rep.googleapis.com

Sostituisci REP_REGION con un endpoint regionale disponibile per Sensitive Data Protection.

Gli endpoint regionali terminano le sessioni TLS nella località specificata dall'endpoint per le richieste ricevute da internet pubblico o dalla connettività privata.

Gli endpoint regionali garantiscono la residenza dei dati assicurando che i dati at-rest, in uso e in transito non vengano spostati dalla posizione specificata dall'endpoint. Questa garanzia esclude i dati di servizio. Per ulteriori informazioni, consulta la Nota sui dati dei clienti e sui dati dei servizi.

Scegliere tra gli endpoint globali e regionali

Quando scegli tra endpoint globali e regionali, tieni presente quanto segue:

  • Se la tua organizzazione è tenuta a conservare i dati at-rest, in uso e in transito all'interno di una regione specifica, devi utilizzare endpoint regionali. Se non devi mantenere i dati in transito all'interno di una regione specifica, puoi utilizzare endpoint globali.

  • Gli endpoint regionali sono supportati da un numero limitato di località. Per un elenco completo delle regioni e delle multiregioni in cui è disponibile Sensitive Data Protection, consulta Località di Sensitive Data Protection.

  • Sensitive Data Protection dispone di set separati di quote per quanto segue:

    • Richieste all'endpoint globale senza specificare una località (elaborate nella regione global)
    • Richieste all'endpoint globale in cui è specificata una località di elaborazione (elaborate nella regione specificata)
    • Richieste agli endpoint regionali

    Le quote per gli endpoint regionali sono inferiori a quelle per gli altri due.

  • Se la tua applicazione client è configurata per utilizzare endpoint globali e vuoi iniziare a utilizzare endpoint regionali, devi configurare la tua applicazione client in modo da specificare la regione o la multiregione supportata da REP nel sottodominio e nel percorso di ogni nome host che utilizzi nelle tue richieste. Per maggiori informazioni, consulta Specificare una regione in una richiesta a un endpoint regionale.

Limita l'utilizzo degli endpoint API globali

Per contribuire a imporre l'utilizzo di endpoint regionali, utilizza il vincolo del criterio dell'organizzazione constraints/gcp.restrictEndpointUsage per bloccare le richieste all'endpoint API globale. Per maggiori informazioni, consulta la sezione Limitare l'utilizzo degli endpoint nella documentazione di Assured Workloads.

Passaggi successivi