Einschränkungen in EU-Regionen und Support mit Datenhoheitskontrollen

Auf dieser Seite werden die Einschränkungen und Einschränkungen sowie weitere bei Verwendung von EU-Regionen und -Support mit Datenhoheitskontrollen.

Übersicht

EU-Regionen und -Support mit Datenhoheitskontrollen bietet Funktionen für Datenstandort- und Datenhoheit für unterstützte Google Cloud-Dienste. Einige dieser Funktionen sind eingeschränkt oder limitiert, um diese Funktionen bereitstellen zu können. Die meisten dieser Änderungen werden während des Onboarding-Prozesses beim Erstellen eines neuen Ordners oder Projekts in eine Umgebung für EU-Regionen und -Support mit Datenhoheitskontrollen. Einige davon können jedoch später geändert werden. Ändern Organisationsrichtlinien.

Es ist wichtig zu verstehen, wie diese Einschränkungen das Verhalten für einen bestimmten Google Cloud-Dienst ändern oder die Datenhoheit oder den Datenstandort beeinflussen. Einige Funktionen können beispielsweise automatisch deaktiviert werden, um die Datenhoheit und den Datenstandort beizubehalten. Wenn die Einstellung einer Organisationsrichtlinie geändert wird, kann das außerdem unbeabsichtigte Auswirkungen haben, wenn Daten von einer Region in eine andere kopiert werden.

Unterstützte Produkte und Dienste

Weitere Informationen finden Sie auf der Seite Unterstützte Produkte. finden Sie eine Liste der Produkte und Dienste, die von EU-Regionen und -Support mit Datenhoheitskontrollen unterstützt werden.

Organisationsrichtlinien

In diesem Abschnitt wird beschrieben, wie sich jeder Dienst auf die Standardwerte für Organisationsrichtlinien auswirkt, wenn Ordner oder Projekte mithilfe von EU-Regionen und mit Datenhoheitssteuerelementen erstellt werden. Andere anwendbare Einschränkungen, auch wenn sie nicht standardmäßig festgelegt sind, können eine zusätzliche "gestaffelte Sicherheitsebene" bieten, um die Google Cloud-Ressourcen Ihrer Organisation weiter zu schützen.

Einschränkungen für Cloud-Organisationsrichtlinien

Die folgenden Einschränkungen für Organisationsrichtlinien gelten für alle entsprechenden Google Cloud-Dienste.

Organisationsrichtlinie-Beschränkung Beschreibung
gcp.resourceLocations Legen Sie in:eu-locations als Listenelement allowedValues fest.

Dieser Wert beschränkt das Erstellen neuer Ressourcen nur auf die EU-Wertgruppe. Wenn diese Option festgelegt ist, können keine Ressourcen in anderen Regionen, in mehreren Regionen oder an Standorten außerhalb der EU erstellt werden. Weitere Informationen finden Sie in der Dokumentation zu Wertgruppen für Organisationsrichtlinien.

Wenn Sie diesen Wert ändern, indem Sie ihn weniger einschränken, untergraben Sie sowohl die Datenhoheit als auch den Datenstandort, indem Sie das Erstellen oder Speichern von Daten außerhalb der EU-Datengrenze zulassen. Beispiel: Ersetzen der Wertgruppe in:eu-locations durch die Wertgruppe in:europe-locations, die Standorte außerhalb des EU-Mitgliedsstatus enthält.
gcp.restrictNonCmekServices Legen Sie eine Liste aller API-Dienstnamen innerhalb des Geltungsbereichs fest, einschließlich:
  • compute.googleapis.com
  • container.googleapis.com
  • storage.googleapis.com
Einige Funktionen können für jeden der oben aufgeführten Dienste betroffen sein. Weitere Informationen finden Sie unten im Abschnitt "Betroffene Funktionen".

Für jeden aufgeführten Dienst sind vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK) erforderlich. Mit CMEK können inaktive Daten mit einem von Ihnen verwalteten Schlüssel verschlüsselt werden, nicht mit den Standardverschlüsselungsmechanismen von Google.

Ändern Sie diesen Wert, indem Sie einen oder mehrere unterstützte Dienste aus der kann die Liste Datenhoheit, da neue ruhende Daten automatisch mit dem anstelle Ihrer Schlüssel. Vorhandene inaktive Daten werden mit dem von Ihnen angegebenen Schlüssel verschlüsselt.
gcp.restrictCmekCryptoKeyProjects Nutzer können diesen Wert auf Projekte oder Ordner festlegen, die für Verwendung mit EU-Regionen und -Support mit Datenhoheitskontrollen. Beispiel: under:folders/my-folder-name

Beschränkt den Bereich genehmigter Ordner oder Projekte, die KMS-Schlüssel für die Verschlüsselung von Daten im Ruhzustand mithilfe von CMEK bereitstellen können. Diese Einschränkung verhindert, nicht zugelassenen Ordnern oder Projekten zur Bereitstellung von Verschlüsselungsschlüsseln. die Datenhoheit für unterstützte Dienste ruhende Inhalte Daten.

Einschränkungen für Compute Engine-Organisationsrichtlinien

Organisationsrichtlinie-Beschränkung Beschreibung
compute.enableComplianceMemoryProtection Auf True festlegen.

Deaktiviert einige interne Diagnosefunktionen, um bei einem Infrastrukturfehler zusätzlichen Speicherinhalt zu bieten.

Die Änderung dieses Werts kann sich auf den Datenstandort oder die Datenhoheit auswirken.
compute.disableInstanceDataAccessApis Auf True festlegen.

Deaktiviert global die APIs instances.getSerialPortOutput() und instances.getScreenshot().
compute.restrictNonConfidentialComputing

 (Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um zusätzliche gestaffelte Sicherheitsebenen. Weitere Informationen finden Sie in der Confidential VM-Dokumentation.
compute.trustedImageProjects

 (Optional) Wert ist nicht festgelegt. Legen Sie diesen Wert fest, um eine zusätzliche Verteidigungsebene zu schaffen.

Durch Festlegen dieses Werts wird die Image-Speicherung und Instanziierung von Laufwerken auf die angegebene Liste von Projekten beschränkt. Dieser Wert wirkt sich auf die Datenhoheit aus, da nicht autorisierte Images oder Agents nicht verwendet werden.

Einschränkungen für Cloud Storage-Organisationsrichtlinien

Organisationsrichtlinie-Beschränkung Beschreibung
storage.uniformBucketLevelAccess Auf True festlegen.

Der Zugriff auf neue Buckets wird mithilfe von IAM-Richtlinien anstelle von Cloud Storage-Zugriffssteuerungslisten (ACLs) verwaltet. Diese Einschränkung bietet detaillierte Berechtigungen für Buckets und deren Inhalte.

Wenn ein Bucket erstellt wird, während diese Einschränkung aktiviert ist, kann der Zugriff darauf nicht über ACLs verwaltet werden. Die Zugriffssteuerungsmethode für einen Bucket ist also dauerhaft auf die Verwendung von IAM-Richtlinien anstelle von Cloud Storage-ACLs festgelegt.

Einschränkungen für Organisationsrichtlinien von Google Kubernetes Engine

Organisationsrichtlinie-Beschränkung Beschreibung
container.restrictNoncompliantDiagnosticDataAccess Auf True festlegen.

Wird zur Deaktivierung der aggregierten Analyse von Kernel-Problemen verwendet. Dies ist erforderlich, um die unabhängige Kontrolle einer Arbeitslast zu gewährleisten.

Die Änderung dieses Werts kann sich auf die Datenhoheit in Ihrer Arbeitslast auswirken. Wir empfehlen dringend, den Wert beizubehalten.

Einschränkungen der Organisationsrichtlinien für Cloud Key Management Service

Organisationsrichtlinie-Beschränkung Beschreibung
cloudkms.allowedProtectionLevels Legen Sie EXTERNAL fest.

Schränkt die CryptoKey-Typen der Cloud Key Management Service ein, die erstellt werden können, und ist so eingestellt, dass nur externe Schlüsseltypen zulässig sind.

Betroffene Features

In diesem Abschnitt wird erläutert, wie sich dies auf die Funktionen der einzelnen Dienste durch EU-Regionen und -Support mit Datenhoheitskontrollen.

BigQuery-Features

Feature Beschreibung
BigQuery für einen neuen Ordner aktivieren BigQuery wird unterstützt, aber nicht automatisch aktiviert, wenn Sie ein neues Assured Workloads-Ordner aufgrund eines internen Konfigurationsprozesses. Dieser Vorgang wird normalerweise endet in zehn Minuten, kann aber unter bestimmten Umständen viel länger dauern. So prüfen Sie, ob der Vorgang abgeschlossen ist, und aktivieren BigQuery:
  1. Rufen Sie in der Google Cloud Console die Seite Assured Workloads auf.

    Zu „Assured Workloads“

  2. Wählen Sie den neuen Assured Workloads-Ordner aus der Liste aus.
  3. Klicken Sie auf der Seite Ordnerdetails im Abschnitt Zulässige Dienste auf Verfügbare Updates ansehen
  4. Überprüfen Sie im Bereich Zulässige Dienste die Dienste, die dem Beschränkung der Ressourcennutzung Organisationsrichtlinie für den Ordner. Wenn BigQuery-Dienste aufgeführt sind, klicken Sie auf Erlauben Sie den Diensten, sie hinzuzufügen.

    Wenn die BigQuery-Dienste nicht aufgeführt sind, warten Sie, bis der interne Prozess abgeschlossen ist. Wenn die nicht innerhalb von 12 Stunden nach Ordnererstellung aufgelistet sind, wenden Sie sich Cloud Customer Care

Nach Abschluss der Aktivierung können Sie BigQuery in Ihrem Assured Workloads-Ordner.

Gemini in BigQuery wird von Assured Workloads nicht unterstützt.
Nicht unterstützte Funktionen Die folgenden BigQuery-Features werden nicht unterstützt und sollten nicht in der BigQuery-Befehlszeile verwendet werden. Sie sind dafür verantwortlich, sie nicht in BigQuery für EU-Regionen und Support mit Souveränitätskontrollen zu verwenden.
Nicht unterstützte Integrationen Die folgenden BigQuery-Integrationen werden nicht unterstützt. Es ist sind Sie dafür verantwortlich, sie nicht mit BigQuery zu verwenden, EU-Regionen und -Support mit Datenhoheitskontrollen.
  • CreateTag, SearchCatalog Bulk tagging und Business Glossary API Methoden der Die Data Catalog API kann technische Daten auf eine Weise zu verarbeiten und zu speichern, die nicht unterstützt wird. Es ist Sie sind dafür verantwortlich, diese Methoden nicht für EU-Regionen und -Support mit Datenhoheitskontrollen zu verwenden.
Unterstützte BigQuery APIs Folgende BigQuery APIs werden unterstützt:
Regionen BigQuery wird für die gesamte BigQuery-EU unterstützt mit Ausnahme des multiregionalen Standorts „EU“. Die Einhaltung der Anforderungen kann nicht garantiert werden, wenn ein Datensatz in einer multiregionalen Region in der EU, in einer Region außerhalb der EU oder in einer multiregionalen Region außerhalb der EU erstellt wird. Sie sind dafür verantwortlich, beim Erstellen von BigQuery-Datasets eine konforme Region anzugeben.

Wenn eine Anfrage zum Auflisten von Tabellendaten mit einer EU-Region gesendet wird, aber das Dataset in einer anderen EU-Region erstellt wurde, kann BigQuery nicht ableiten, gewünschte Region und der Vorgang schlägt mit der Meldung „Dataset nicht gefunden“ fehl. Fehlermeldung erhalten.
Google Cloud Console Die BigQuery-Benutzeroberfläche in der Google Cloud Console unterstützt.

BigQuery-Befehlszeile Die BigQuery-Befehlszeile wird unterstützt.

Google Cloud SDK Sie müssen Version 403.0.0 oder höher des Google Cloud SDK verwenden, um Daten zu verwalten Regionalisierungsgarantien für technische Daten. Zur Bestätigung Ihre aktuelle Google Cloud SDK-Version, führen Sie gcloud --version aus und und dann auf gcloud components update, um ein Update auf die neueste Version durchzuführen.
Steuerelemente für Administratoren In BigQuery werden nicht unterstützte APIs deaktiviert. Administratoren mit ausreichenden Berechtigungen zum Erstellen eines Ordners für gesicherte Arbeitslasten können eine nicht unterstützte API jedoch aktivieren. In diesem Fall werden Sie über mögliche Verstöße durch das Assured Workloads-Monitoring Dashboard.
Daten laden BigQuery Data Transfer Service Connectors für SaaS-Anwendungen (Software as a Service (SaaS)) von Google, extern Cloud Storage-Anbieter und Data Warehouses werden nicht unterstützt. Es ist Ihr keine BigQuery Data Transfer Service-Connectors für EU-Regionen und -Support mit Arbeitslasten für die Datenhoheitskontrolle
Drittanbieter Übertragungen BigQuery überprüft nicht die Unterstützung für Drittanbieter-Übertragungen für den BigQuery Data Transfer Service. Es ist Ihr ist es wichtig, dass Sie dies bestätigen, wenn Sie BigQuery Data Transfer Service.
Nicht konforme BQML-Modelle Extern trainierte BQML-Modelle werden nicht unterstützt.
Abfragejobs Abfragejobs mit sollten nur in den Ordnern „EU-Regionen und -Support mit Datenhoheitskontrollen“ erstellt werden.
Abfragen von Datasets in anderen Projekten In BigQuery kann nicht verhindert werden, dass Datasets in EU-Regionen und mit Support für Datenhoheitskontrollen von Projekten außerhalb dieser Regionen abgefragt werden. Sie sollten sicherstellen, Abfrage mit einem Lese- oder Join für EU-Regionen und -Support mit Datenhoheitskontrollen, in die einen Ordner „EU-Regionen und -Support mit Datenhoheitskontrollen“. Sie können eine vollständig qualifiziert Tabellenname für das Abfrageergebnisse unter Verwendung von projectname.dataset.table. in der BigQuery-Befehlszeile.
Cloud Logging BigQuery verwendet Cloud Logging für einige Ihrer Logdaten. Sie sollten Ihre _default-Logging-Buckets deaktivieren oder _default Buckets auf EU-Regionen beschränken auf Verwenden Sie folgenden Befehl, um die Compliance sicherzustellen:

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

Weitere Informationen findest du auf dieser Seite. Informationen.

Bigtable-Features

Feature Beschreibung
Nicht unterstützte Funktionen Die folgenden Bigtable-Funktionen und API-Methoden sind nicht unterstützt. Sie sind dafür verantwortlich, sie nicht mit Bigtable für EU-Regionen und Support mit Datenhoheitskontrollen zu verwenden.
  • Die API-Methode ListHotTablets des Prozess RPC Admin API und speichern technische Daten auf eine Weise, die nicht unterstützt wird. Es ist Ihr ist, diese Methode nicht für EU-Regionen und -Support mit Datenhoheitskontrollen zu verwenden.
  • Die API-Methode hotTablets.list des Prozess Rest Admin API und speichern technische Daten auf eine Weise, die nicht unterstützt wird. Es ist Ihr ist, diese Methode nicht für EU-Regionen und -Support mit Datenhoheitskontrollen zu verwenden.
Split-Grenzen Bigtable verwendet eine kleine Teilmenge von Zeilenschlüsseln, um die Aufteilung zu definieren zu denen Kundendaten und Metadaten gehören. Eine Split-Grenze in Bigtable den Ort angibt, an dem zusammenhängende Zeilenbereiche in einer Tabelle in Tabellenreihen unterteilt.

Diese Split-Grenzen sind für Google-Mitarbeiter aus technischen Gründen Support- und Debugging-Zwecke und unterliegen nicht administrativen auf Datenkontrollen in EU-Regionen und Support mit Datenhoheitskontrollen zugreifen.

Spanner-Features

Feature Beschreibung
Split-Grenzen Spanner verwendet eine kleine Teilmenge von Primärschlüsseln und indexierte Spalten zum Definieren Teilen Grenzen, die Kundendaten und Metadaten umfassen können. Ein Split Die Grenze in Spanner gibt den Ort an, an dem zusammenhängende Bereiche werden in kleinere Teile geteilt.

Diese Split-Grenzen sind für Google-Mitarbeiter aus technischen Gründen Support- und Debugging-Zwecke und unterliegen nicht administrativen auf Datenkontrollen in EU-Regionen und Support mit Datenhoheitskontrollen zugreifen.

Dataproc-Features

Feature Beschreibung
Google Cloud Console Dataproc unterstützt derzeit nicht die Rechtsprechung Google Cloud Console Um den Datenstandort zu erzwingen, verwenden Sie entweder die Google Cloud CLI oder die API, wenn Sie Dataproc verwenden.

GKE-Features

Feature Beschreibung
Einschränkungen für Clusterressourcen Achten Sie darauf, dass Ihre Clusterkonfiguration keine Ressourcen verwendet für Dienste, die in EU-Regionen und Support mit Datenhoheitskontrollen nicht unterstützt werden. Die folgende Konfiguration ist beispielsweise ungültig, da ein nicht unterstützter Dienst aktiviert oder verwendet werden muss:

set `binaryAuthorization.evaluationMode` to `enabled`

Features von Cloud Logging

Wenn Sie Cloud Logging mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEKs) verwenden möchten, müssen Sie führen Sie die Schritte im CMEK für eine Organisation aktivieren in der Cloud Logging-Dokumentation.

Feature Beschreibung
Logsenken Filter dürfen keine Kundendaten enthalten.

Logsenken enthalten Filter, die als Konfiguration gespeichert sind. Erstellen Sie keine Filter, die Kundendaten enthalten.
Live-Tailing-Logeinträge Filter dürfen keine Kundendaten enthalten.

Eine Live-Verfolgungs-Sitzung enthält einen Filter, der als Konfiguration gespeichert wird. In Tailing-Logs werden keine Logeintragsdaten gespeichert, sie können jedoch Daten zwischen Regionen abfragen und übertragen. Erstellen Sie keine Filter, die Kundendaten enthalten.
Logbasierte Benachrichtigungen Die Funktion ist deaktiviert.

Logbasierte Benachrichtigungen können nicht in der Google Cloud Console erstellt werden.
Gekürzte URLs für Log-Explorer-Abfragen Die Funktion ist deaktiviert.

In der Google Cloud Console können Sie keine verkürzten URLs von Abfragen erstellen.
Abfragen im Log-Explorer speichern Die Funktion ist deaktiviert.

In der Google Cloud Console können Sie keine Abfragen speichern.
Loganalysen mit BigQuery Die Funktion ist deaktiviert.

Das Feature "Loganalyse" kann nicht verwendet werden.

Compute Engine Features

Funktion Beschreibung
VM-Instanz anhalten bzw. fortsetzen Die Funktion ist deaktiviert.

Das Anhalten und Fortsetzen einer VM-Instanz erfordert nichtflüchtigen Speicher. Der nichtflüchtige Speicher, der zum Speichern des Status der angehaltenen VM verwendet wird, kann derzeit nicht mit CMEK verschlüsselt werden. Weitere Informationen finden Sie in der gcp.restrictNonCmekServices Organisation Richtlinieneinschränkung im obigen Abschnitt zum Verständnis der Datenhoheit und die Auswirkungen auf den Datenstandort.
Lokale SSDs Die Funktion ist deaktiviert.

Sie können keine Instanz mit lokalen SSDs erstellen, da sie derzeit nicht mit CMEK verschlüsselt werden kann. Weitere Informationen finden Sie in der gcp.restrictNonCmekServices Organisation Richtlinieneinschränkung im obigen Abschnitt zum Verständnis der Datenhoheit und die Auswirkungen auf den Datenstandort.
Gastumgebung Skripts, Daemons und Binärdateien, die in der Gastumgebung enthalten sind, können auf unverschlüsselte Daten sowie inaktive Daten zugreifen. Abhängig von Ihrer VM-Konfiguration können Aktualisierungen dieser Software standardmäßig installiert werden. Ausführliche Informationen zum Inhalt, zum Quellcode und zu den einzelnen Paketen finden Sie unter Gastumgebung.

Diese Komponenten tragen dazu bei, dass Sie die Datenhoheit durch interne Sicherheitskontrollen und -prozesse erfüllen. Wenn Sie jedoch zusätzliche Steuerungsmöglichkeiten haben, können Sie auch eigene Bilder oder Agents und optional die compute.trustedImageProjects verwenden Einschränkung der Organisationsrichtlinie.

Siehe Weitere Informationen finden Sie auf der Seite „Benutzerdefiniertes Image erstellen“.
instances.getSerialPortOutput() Diese API ist deaktiviert. Mit der API können Sie keine Ausgabe vom seriellen Port der angegebenen Instanz abrufen.

Organisation "compute.disableInstanceDataAccessApis" ändern Wert der Richtlinieneinschränkung auf False setzen, um diese API zu aktivieren. Sie können auch den interaktiven seriellen Port zu aktivieren und zu verwenden. Folgen Sie dazu der Anleitung auf der auf dieser Seite.
instances.getScreenshot() Diese API ist deaktiviert. Mit der API können Sie keinen Screenshot von der angegebenen Instanz erhalten.

Organisation "compute.disableInstanceDataAccessApis" ändern Wert der Richtlinieneinschränkung auf False setzen, um diese API zu aktivieren. Sie können den interaktiven seriellen Port auch aktivieren und verwenden. Folgen Sie dazu der Anleitung auf dieser Seite.