Paquete de control de regiones de Brasil

En esta página, se describe el conjunto de controles que se aplican a las cargas de trabajo de las regiones de Brasil en Assured Workloads. Proporciona información detallada sobre la residencia de datos, los productos Google Cloud compatibles y sus extremos de API, y cualquier restricción o limitación aplicable a esos productos. La siguiente información adicional se aplica a las regiones de Brasil:

• Residencia de datos: El paquete de control de regiones de Brasil establece controles de ubicación de datos para admitir regiones solo de Brasil. Consulta la sección restricciones de las políticas de la organización deGoogle Cloud para obtener más información.
• Asistencia: Los servicios de asistencia técnica para las cargas de trabajo de las regiones de Brasil están disponibles con las suscripciones a Atención al cliente de Cloud estándar, mejorada o premium. Los casos de asistencia de cargas de trabajo de las regiones de Brasil se enrutan al personal de asistencia global.
• Precios: El paquete de control de regiones de Brasil se incluye en el nivel gratuito de Assured Workloads, que no genera cargos adicionales. Consulta los precios de Assured Workloads para obtener más información.

Productos y extremos de API compatibles

A menos que se indique lo contrario, los usuarios pueden acceder a todos los productos compatibles a través de la consola de Google Cloud. En la siguiente tabla, se enumeran las restricciones o limitaciones que afectan las funciones de un producto compatible, incluidas las que se aplican a través de la configuración de restricciones de la política de la organización.

Si un producto no aparece en la lista, significa que no es compatible y no cumple con los requisitos de control de las regiones de Brasil. No se recomienda el uso de productos no compatibles sin la diligencia debida y sin comprender a fondo tus responsabilidades en el modelo de responsabilidad compartida. Antes de usar un producto no compatible, asegúrate de conocer y aceptar los riesgos asociados, como los impactos negativos en la residencia o soberanía de los datos.

Restricciones y limitaciones

En las siguientes secciones, se describen las restricciones o limitaciones de las funciones de Google Cloudo específicas del producto, incluidas las restricciones de las políticas de la organización que se establecen de forma predeterminada en las carpetas de regiones de Brasil. Otras restricciones aplicables de la política de la organización, incluso si no se establecen de forma predeterminada, pueden proporcionar una defensa en profundidad adicional para proteger aún más los recursos Google Cloud de tu organización.

Ancho deGoogle Cloud

Restricciones de las políticas de la organización enGoogle Cloud

Las siguientes restricciones de la política de la organización se aplican a Google Cloud.

Restricción de las políticas de la organización	Descripción
gcp.resourceLocations	Establece las siguientes ubicaciones en la lista allowedValues: southamerica-east1 Este valor restringe la creación de recursos nuevos solo al grupo de valores seleccionado. Cuando se establece, no se pueden crear recursos en ninguna otra región, multirregión ni ubicaciones fuera de la selección. Si cambias este valor y lo haces menos restrictivo, podrías socavar la residencia de datos, ya que permitirá que se creen o almacenen datos fuera de un límite de datos conforme. Consulta la documentación sobre grupos de valores de políticas de la organización para obtener más información.
gcp.restrictServiceUsage	Se establece para permitir todos los productos y extremos de API compatibles. Determina qué servicios se pueden habilitar y usar. Para obtener más información, consulta Restringe el uso de recursos.
gcp.restrictTLSVersion	Se establece para denegar las siguientes versiones de TLS: TLS_1_0 TLS_1_1 Consulta la página Cómo restringir las versiones de TLS para obtener más información.

BigQuery

Funciones de BigQuery afectadas

Función	Descripción
Habilita BigQuery en una carpeta nueva	BigQuery es compatible, pero no se habilita automáticamente cuando creas una nueva carpeta de cargas de trabajo aseguradas debido a un proceso de configuración interno. Por lo general, este proceso finaliza en diez minutos, pero puede tardar mucho más en algunas circunstancias. Para verificar si el proceso finalizó y habilitar BigQuery, completa los siguientes pasos: En la consola de Google Cloud, ve a la página Assured Workloads. Ve a Assured Workloads Selecciona tu nueva carpeta de Assured Workloads en la lista. En la página Detalles de la carpeta, en la sección Servicios permitidos, haz clic en Revisar actualizaciones disponibles. En el panel Servicios permitidos, revisa los servicios que se agregarán a la política de la organización Restringir el uso de recursos de la carpeta. Si los servicios de BigQuery aparecen en la lista, haz clic en Permitir servicios para agregarlos. Si no aparecen los servicios de BigQuery, espera a que se complete el proceso interno. Si los servicios no aparecen en la lista en un plazo de 12 horas después de crear la carpeta, comunícate con Atención al cliente de Cloud. Una vez que se complete el proceso de habilitación, podrás usar BigQuery en tu carpeta Assured Workloads. Gemini en BigQuery no es compatible con Assured Workloads.
Características no compatibles	Las siguientes funciones de BigQuery no son compatibles y no se deben usar en la CLI de BigQuery. Es tu responsabilidad no usarlos en BigQuery para cargas de trabajo seguras. Interacción con fuentes de datos remotas No se admiten los modelos de BQML entrenados de forma externa. Se admiten modelos de BQML entrenados de forma interna. Consultas programadas y federadas Enmascaramiento dinámico de datos Exportación a GDrive Funciones remotas Consultas guardadas Programación del flujo de trabajo En BigQuery Studio, no se admiten notebooks. Gemini en BigQuery no es compatible.
CLI de BigQuery	Se admite la CLI de BigQuery.
SDK de Google Cloud	Debes usar la versión 403.0.0 o posterior del SDK de Google Cloud para mantener las garantías de regionalización de datos para los datos técnicos. Para verificar tu versión actual del SDK de Google Cloud, ejecuta gcloud --version y, luego, gcloud components update para actualizar a la versión más reciente.
Controles del administrador	BigQuery inhabilitará las APIs no compatibles, pero los administradores con permisos suficientes para crear una carpeta de cargas de trabajo garantizadas pueden habilitar una API no compatible. Si esto ocurre, se te notificará sobre un posible incumplimiento a través del panel de supervisión de Assured Workloads.
Carga datos	No se admiten los conectores del Servicio de transferencia de datos de BigQuery para apps de software de Google como servicio (SaaS), proveedores externos de almacenamiento en la nube y almacenes de datos. Es tu responsabilidad no usar los conectores del Servicio de transferencia de datos de BigQuery para las cargas de trabajo de las regiones de Brasil.
Transferencias de terceros	BigQuery no verifica la compatibilidad con transferencias de terceros para el Servicio de transferencia de datos de BigQuery. Es tu responsabilidad verificar la compatibilidad cuando uses cualquier transferencia de terceros para el Servicio de transferencia de datos de BigQuery.
Modelos de BQML no conformes	No se admiten los modelos de BQML entrenados de forma externa.
Trabajos de consulta	Las tareas de consulta solo deben crearse dentro de las carpetas de Assured Workloads.
Consultas en conjuntos de datos de otros proyectos	BigQuery no impide que se consulten conjuntos de datos de cargas de trabajo garantizadas desde proyectos que no son de cargas de trabajo garantizadas. Debes asegurarte de que cualquier consulta que tenga una operación de lectura o unión en los datos de Assured Workloads se coloque en una carpeta de Assured Workloads. Puedes especificar un nombre de tabla completamente calificado para el resultado de la consulta con projectname.dataset.table en la CLI de BigQuery.
Cloud Logging	BigQuery utiliza Cloud Logging para algunos de tus datos de registro. Para mantener el cumplimiento, debes inhabilitar tus buckets de registro _default o restringir los buckets _default a regiones dentro del alcance con el siguiente comando: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Consulta Regionaliza los registros para obtener más información.

Compute Engine

Funciones de Compute Engine afectadas

Función

Descripción

Entorno huésped

Es posible que las secuencias de comandos, los daemons y los objetos binarios incluidos en el entorno invitado accedan a datos en reposo y en uso no encriptados. Según la configuración de la VM, es posible que se instalen actualizaciones de este software de forma predeterminada. Consulta Entorno invitado para obtener información específica sobre el contenido de cada paquete, el código fuente y mucho más. Estos componentes te ayudan a cumplir con la soberanía de los datos mediante procesos y controles de seguridad internos. Sin embargo, si deseas un control adicional, también puedes seleccionar tus propias imágenes o agentes y, de forma opcional, usar la restricción de la política de la organización compute.trustedImageProjects. Consulta la página Cómo compilar una imagen personalizada para obtener más información.

Restricciones de las políticas de la organización de Compute Engine

Restricción de las políticas de la organización	Descripción
compute.disableGlobalCloudArmorPolicy	Configurado como True. Inhabilita la creación de nuevas políticas de seguridad de Google Cloud Armor globales y la adición o modificación de reglas a las políticas de seguridad globales de Google Cloud Armor existentes. Esta restricción no limita la eliminación de reglas ni la capacidad de quitar o cambiar la descripción y la publicación de políticas de seguridad globales de Google Cloud Armor. Las políticas de seguridad regionales de Google Cloud Armor no se ven afectadas por esta restricción. Todas las políticas de seguridad globales y regionales que existían antes de la aplicación de esta restricción siguen vigentes.
compute.restrictNonConfidentialComputing	(Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Consulta la documentación de Confidential VM para obtener más información.
compute.trustedImageProjects	(Opcional) No se configuró el valor. Establece este valor para proporcionar una defensa en profundidad adicional. Si configuras este valor, se restringe el almacenamiento de imágenes y la creación de instancias de disco a la lista especificada de proyectos. Este valor afecta la soberanía de los datos, ya que se impide el uso de agentes o imágenes no autorizados.

Cloud Logging

Funciones de Cloud Logging afectadas

Función	Descripción
Receptores de registros	Los filtros no deben contener datos del cliente. Los receptores de registros incluyen filtros que se almacenan como configuración. No crees filtros que contengan datos de clientes.
Entradas de registro de transmisión de registros en tiempo real	Los filtros no deben contener datos del cliente. Una sesión de transmisión de registros en tiempo real incluye un filtro que se almacena como configuración. Los registros de cola no almacenan ningún dato de entrada de registro, pero pueden consultar y transmitir datos entre regiones. No crees filtros que contengan datos del cliente.

¿Qué sigue?

• Obtén información para crear una carpeta de Assured Workloads.
• Comprende los precios de Assured Workloads