Standortendpunkte für die ITAR-Compliance

Auf dieser Seite wird beschrieben, wie Sie mit Standortendpunkten auf Cloud Storage zugreifen. Mit Standortendpunkten können Sie Ihre Arbeitslasten so ausführen, dass sie den Vorschriften von „International Traffic in Arms Regulations“ (ITAR) entsprechen.

Informationen zu Einschränkungen bei der ITAR-konformen Verwendung von Cloud Storage finden Sie unter Einschränkungen und Einschränkungen für ITAR.

Übersicht

Standortendpunkte sind Anfrageendpunkte, die nur Anfragen zulassen, wenn die betroffene Ressource am vom Endpunkt angegebenen Standort vorhanden ist. Wenn Sie beispielsweise den Endpunkt https://us-central1-storage.googleapis.com in einer Anfrage zum Löschen eines Buckets verwenden, wird die Anfrage nur fortgesetzt, wenn sich der Bucket in US-CENTRAL1 befindet.

Im Gegensatz zu globalen Endpunkten, bei denen Anfragen an einem anderen Standort als dem der Ressource verarbeitet werden können, sorgen Standortendpunkte dafür, dass Ihre Anfragen nur innerhalb des durch den Endpunkt angegebenen Standorts (an dem sich die Ressource befindet) verarbeitet werden. Mit Standortendpunkten können Sie dafür sorgen, dass Ihre inaktiven Daten und die Daten bei der Übertragung innerhalb der Zuständigkeit bleiben, um die Anforderungen an den Datenstandort zu erfüllen.

Hinweis: Cloud Load Balancing verwendet beim Weiterleiten von Anfragen an Cloud Storage-Buckets globale Anfrageendpunkte. Sie können Cloud Load Balancing nicht für die Verwendung von Standortendpunkten konfigurieren. Anfragen, die an Cloud Load Balancing gesendet werden, erfüllen nicht unbedingt die ITAR-Anforderungen.

Durch die Verwendung von Standortendpunkten ist Folgendes gewährleistet:

• Ihre in Cloud Storage gespeicherten Daten verlassen nicht den angegebenen Standort.

• Ihre Daten erfahren bei der Übertragung von einer lokalen Umgebung zu Google Cloudeine Terminierung in der Region, die vom Endpunkt angegeben wurde.

• Ihre Daten bleiben bei der Übertragung zwischen Diensten Google Cloudin der Zuständigkeit.

Bei der Verwendung von Standortendpunkten übernehmen Sie die folgenden Aufgaben:

• Um Datenstandortgarantien zu erhalten, müssen Anfragen an einen Standortendpunkt von dem Standort stammen, der vom Endpunkt angegeben wurde. Wenn Sie beispielsweise eine virtuelle Compute Engine-Maschine verwenden, um eine Anfrage an einen Bucket in US-CENTRAL1 über den Endpunkt us-central1-storage.googleapis.com durchzuführen, muss sich die virtuelle Maschine ebenfalls in US-CENTRAL1 befinden.

• Standortendpunkte dürfen nur verwendet werden, wenn Sie unterstützte Vorgänge durchführen. Nicht unterstützte Vorgänge führen zu einem Fehler.

Standortendpunkte unterstützen Traffic während der Übertragung zwischen lokalen Systemen undGoogle Cloud über Interconnect oder VPN sowie Traffic während der Übertragung zwischenGoogle Cloud -Diensten (z. B. von BigQuery zu Cloud Storage). Internet-Traffic wird nicht unterstützt.

Unterstützte Vorgänge

In der folgenden Tabelle sind die Vorgänge zusammengefasst, die mit Standortendpunkten ausgeführt werden können und die nicht ausgeführt werden können. Im Allgemeinen können standortübergreifende Vorgänge mit Standortendpunkten ausgeführt werden, standortübergreifende Vorgänge jedoch nicht.

Wenn Sie versuchen, einen nicht unterstützten Vorgang mit einem Standortendpunkt durchzuführen, gibt Cloud Storage den HTTP-Fehlercode 400 mit folgender Meldung zurück: "Dieser Endpunkt implementiert diesen Vorgang nicht. Verwenden Sie den globalen Endpunkt."

Vorgang	Mutiert Objektdaten	Unterstützt für die Verwendung mit Standortendpunkten
Objekte schreiben	Ja	Ja^1
Objekte löschen	Nein	Ja^1
Objekte abrufen	Ja	Ja^1
Objekte einfügen	Ja	Ja^1
Objektliste	Nein	Ja^1
Objekt-Patch	Nein	Ja^1
Objekte kopieren	Ja	Ja^4
Objekte umschreiben	Ja	Ja^4
Buckets einfügen	Nein	Ja^2
Buckets löschen	Nein	Ja^3
Buckets erhalten	Nein	Ja^2
Buckets-Patch	Nein	Ja^2
Buckets aktualisieren	Nein	Ja^2
Buckets getIamPolicy	Nein	Ja^2
Buckets setIamPolicy	Nein	Ja^2
Buckets testIamPermissions	Nein	Ja^2
Buckets lockRetentionPolicy	Nein	Ja^2
Buckets BucketAccessControls	Nein	Ja^2
Buckets, StandardObjectAccessControls	Nein	Ja^2
Buckets ObjectAccessControls	Nein	Ja^2
HMAC-Schlüsselvorgänge	Nein	Nein
Dienstkontovorgänge	Nein	Nein
Pub/Sub-Benachrichtigungsvorgänge	Variiert je nach Vorgang	Nein
Benachrichtigungvorgänge bei Objektänderungen	Variiert je nach Vorgang	Nein
Batch-Vorgänge	Variiert je nach Vorgang	Nein

¹ Zum Ausführen dieses Vorgangs mit Standortendpunkten muss der Bucket mit dem betroffenen Objekt an dem vom Endpunkt angegebenen Speicherort vorhanden sein. Beispiel: Eine Objektlöschanfrage an us-central1-storage.googleapis.com kann nur zum Löschen von Objekten in Buckets verwendet werden, die sich in der Region US-CENTRAL1 befinden. Wenn Sie versuchen, ein Objekt an einem Standort zu löschen, der nicht US-CENTRAL1 ist, gibt der Vorgang den Fehler NOT_FOUND zurück.

² Zum Ausführen dieses Vorgangs mit Standortendpunkten muss sich der Bucket an dem vom Endpunkt angegebenen Standort befinden. Beispiel: Eine Bucket-Erstellungsanfrage an us-central1-storage.googleapis.com kann nur zum Erstellen eines Buckets in der Region US-CENTRAL1 verwendet werden. Wenn Sie versuchen, den Bucket an einem anderen Standort als US-CENTRAL1 zu erstellen, gibt der Vorgang zur Bucket-Erstellung den Fehler INVALID_ARGUMENT zurück.

³ Zum Ausführen dieses Vorgangs mit Standortendpunkten muss sich der Bucket an dem vom Endpunkt angegebenen Standort befinden. Beispiel: Mit einer Anfrage zum Löschen eines Buckets an us-central1-storage.googleapis.com kann nur ein Bucket in der Region US-CENTRAL1 gelöscht werden. Wenn Sie versuchen, einen Bucket an einem Standort zu löschen, der nicht US-CENTRAL1 ist, gibt der Vorgang den Fehler NOT_FOUND zurück.

⁴ Zum Ausführen dieses Vorgangs mit Standortendpunkten müssen die Quell- und Ziel-Buckets an dem vom Endpunkt angegebenen Standort vorhanden sein. Sie können beispielsweise Standortendpunkte verwenden, um ein Objekt von einem Bucket in einen anderen zu kopieren, wenn sich beide Buckets am selben Standort befinden. Sie können jedoch keine Standortendpunkte verwenden, um ein Objekt von einem Bucket in einen anderen zu kopieren, wenn sich die Buckets an verschiedenen Standorten befinden. Wenn sich der Quell- oder Ziel-Bucket an einem anderen Standort als dem vom Endpunkt angegebenen Standort befindet, gibt der Vorgang den Fehler NOT_FOUND zurück.

Unterstützte Regionen

Standortendpunkte werden für alle US-Regionen, den multiregionalen Standort US und die vordefinierte Dual-Region NAM4 unterstützt. Weitere Informationen zu den anzugebenden Regionen finden Sie unter Bucket-Standorte.

Anfragen durchführen

Console

Weitere Informationen dazu, wie Sie Vorgänge mit der Google Cloud Console auf IT-konforme Weise ausführen, finden Sie unter Einschränkungen und Einschränkungen für ITAR.

Befehlszeile

So konfigurieren Sie die Google Cloud CLI für die Verwendung mit örtlichen Endpunkten:

1. Setzen Sie das Attribut api_endpoint_overrides/storage auf den örtlichen Endpunkt, den Sie verwenden möchten:

   gcloud config set api_endpoint_overrides/storage https://LOCATION-storage.googleapis.com/

Nachdem Sie diese Eigenschaft festgelegt haben, können Sie die gcloud CLI-Befehle wie gewohnt verwenden.

Alternativ können Sie Standortendpunkte für einzelne Befehle verwenden, indem Sie die Umgebungsvariable CLOUDSDK_API_ENDPOINT_OVERRIDES_STORAGE in jedem Befehl festlegen. Beispiel:

CLOUDSDK_API_ENDPOINT_OVERRIDES_STORAGE=https://LOCATION-storage.googleapis.com/ gcloud ls gs://my-bucket

Clientbibliotheken

Cloud Storage-Clientbibliotheken verwalten Anfrageendpunkte automatisch. Sie können Standortendpunkte jedoch manuell festlegen. Informationen zum Festlegen von Standortendpunkten finden Sie in den Codebeispielen für Clientbibliotheken, die Anfrageendpunkte verwenden.

REST APIs

JSON API

Verwenden Sie beim Senden von Anfragen an Standortendpunkte die folgenden URIs:

• Verwenden Sie für allgemeine JSON API-Anfragen ohne Objektuploads den folgenden Endpunkt:

  https://LOCATION-storage.googleapis.com

  Ersetzen Sie LOCATION durch einen unterstützten Bucket-Speicherort. Beispiel: us-central1.

• Verwenden Sie für Objektuploads über die JSON API folgenden Endpunkt:

  https://LOCATION-storage.googleapis.com/upload/storage/v1/b/BUCKET_NAME/o

  Ersetzen Sie:

  • LOCATION durch einen unterstützten Bucket-Speicherort. Beispiel: us-central1.

  • BUCKET_NAME durch den Namen des Buckets, in den Sie ein Objekt hochladen möchten. Beispiel: my-example-bucket.

• Verwenden Sie für JSON-API-Objektdownloads den folgenden Endpunkt:

  https://LOCATION-storage.googleapis.com/download/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?alt=media

  Ersetzen Sie:

  • LOCATION durch einen unterstützten Bucket-Speicherort. Beispiel: us-central1.

  • BUCKET_NAME durch den Namen des Buckets, der das Objekt enthält, das Sie herunterladen möchten. Beispiel: my-example-bucket

  • OBJECT_NAME durch den Namen des Objekts, das Sie hochladen möchten. Beispiel: waterfall.png.

Beachten Sie, dass die JSON API-Endpunkte nur HTTPS-Anfragen unterstützen.

XML API

Wenn Sie die XML API für Anfragen an Standortendpunkte verwenden, können Sie einen Endpunkt im Stil „Virtuell gehostet“ oder „Pfadstil“ verwenden:

• Endpunkt des virtuellen gehosteten Stils:

  https://BUCKET_NAME.LOCATION-storage.googleapis.com

• Endpunkt im Pfadstil:

  https://LOCATION-storage.googleapis.com/BUCKET_NAME

Ersetzen Sie bei beiden Endpunkttypen Folgendes:

• LOCATION durch einen unterstützten Bucket-Speicherort. Beispiel: us-central1.

• BUCKET_NAME durch einen gültigen Bucket-Namen. Beispiel: my-example-bucket

Hinweis: Endpunkte des Typs "virtual hosted-style" können nicht für den Zugriff auf Buckets mit Domainnamen verwendet werden. Verwenden Sie stattdessen Endpunkte des Typs „path-style“ oder eine Weiterleitung.

Alle XML API-Endpunkte unterstützen die Verschlüsselung mit Secure Socket Layer (SSL), das heißt, Sie können entweder HTTP oder HTTPS verwenden. Die Verwendung von HTTPS wird empfohlen, insbesondere wenn die Authentifizierung für Cloud Storage mit OAuth 2.0 erfolgt.

Anfragen ordnungsgemäß formatieren

So sorgen Sie dafür, dass Ihre Anfragen in allen Cloud Storage-Tools kompatibel sind:

• Achten Sie darauf, dass Sonderzeichen ordnungsgemäß codiert sind, wenn sie im Objektnamen oder Abfragestring eines Anfrage-URI angezeigt werden.

• Machen Sie sich mit den Hinweisen zur Bucket-Benennung und mit den Überlegungen zur Objektbenennung vertraut.

Bekannte Einschränkungen

mTLS-Endpunkte werden nicht unterstützt.