Package de contrôle pour les régions de l'UE

Cette page décrit l'ensemble de contrôles appliqués aux charges de travail dans les régions de l'UE dans Assured Workloads. Il fournit des informations détaillées sur la résidence des données, les produits Google Cloud compatibles et leurs points de terminaison d'API, ainsi que les restrictions ou limites applicables à ces produits. Les informations supplémentaires suivantes s'appliquent aux régions de l'UE:

• Résidence des données: le package de contrôle des régions de l'UE définit les contrôles d'emplacement des données pour n'être compatibles qu'avec les régions de l'UE. Pour en savoir plus, consultez la section Contraintes de règles d'administration au niveau deGoogle Cloud.
• Assistance: les services d'assistance technique pour les charges de travail dans les régions de l'UE sont disponibles avec les abonnements Cloud Customer Care Standard, Advanced ou Premium. Les demandes d'assistance pour les charges de travail dans les régions de l'UE sont transmises au personnel d'assistance mondial. Si vous avez besoin d'une option de contrôle du personnel d'assistance plus restrictive, envisagez plutôt le package de contrôle Régions et assistance dans l'UE.
• Tarification: le package de contrôle des régions de l'UE est inclus dans le niveau gratuit d'Assured Workloads, qui n'entraîne aucuns frais supplémentaires. Pour en savoir plus, consultez la page Tarifs d'Assured Workloads.

Produits et points de terminaison d'API compatibles

Sauf indication contraire, les utilisateurs peuvent accéder à tous les produits compatibles via la console Google Cloud. Les restrictions ou limitations qui affectent les fonctionnalités d'un produit compatible, y compris celles qui sont appliquées via les paramètres de contrainte des règles d'administration, sont indiquées dans le tableau suivant.

Si un produit n'est pas listé, il n'est pas pris en charge et ne respecte pas les exigences de contrôle pour les régions de l'UE. Nous vous déconseillons d'utiliser des produits non compatibles sans faire preuve de la diligence requise et sans bien comprendre vos responsabilités dans le modèle de responsabilité partagée. Avant d'utiliser un produit non pris en charge, assurez-vous d'être conscient des risques associés et d'être prêt à les accepter, par exemple les impacts négatifs sur la résidence ou la souveraineté des données.

Restrictions et limitations

Les sections suivantes décrivent les restrictions ou limites pour les fonctionnalités, y compris les contraintes de règles d'administration de l'organisation définies par défaut sur les dossiers des régions de l'UE. Google CloudD'autres contraintes de règles d'administration applicables, même si elles ne sont pas définies par défaut, peuvent fournir une défense en profondeur supplémentaire pour mieux protéger les ressources de votre organisation. Google Cloud

Google Cloudde large

Contraintes liées aux règles d'administration au niveau deGoogle Cloud

Les contraintes de règles d'administration suivantes s'appliquent à l'ensemble de Google Cloud.

Contrainte liée aux règles d'administration	Description
gcp.resourceLocations	Définissez les emplacements suivants dans la liste allowedValues : eu-locations europe-central2 europe-north1 europe-southwest1 europe-west1 europe-west3 europe-west4 europe-west8 europe-west9 europe-west10 europe-west12 Cette valeur limite la création de ressources au groupe de valeurs sélectionné uniquement. Lorsqu'il est défini, aucune ressource ne peut être créée dans d'autres régions, multirégions ou emplacements en dehors de la sélection. Modifier cette valeur pour la rendre moins restrictive compromet la résidence des données en autorisant la création ou le stockage de données en dehors d'une limite de données conforme. Pour en savoir plus, consultez la documentation sur les groupes de valeurs des règles d'administration.
gcp.restrictServiceUsage	Définissez cette valeur pour autoriser tous les produits et points de terminaison d'API compatibles. Détermine les services pouvant être activés et utilisés. Pour en savoir plus, consultez la section Limiter l'utilisation des ressources.
gcp.restrictTLSVersion	Définissez la valeur sur "deny" pour les versions TLS suivantes: TLS_1_0 TLS_1_1 Pour en savoir plus, consultez la page Limiter les versions TLS.

BigQuery

Fonctionnalités BigQuery concernées

Fonctionnalité	Description
Activer BigQuery sur un nouveau dossier	BigQuery est compatible, mais il n'est pas automatiquement activé lorsque vous créez un dossier de charges de travail assurées en raison d'un processus de configuration interne. Cette procédure se termine normalement en 10 minutes, mais peut prendre beaucoup plus de temps dans certains cas. Pour vérifier si le processus est terminé et pour activer BigQuery, procédez comme suit: Dans la console Google Cloud, accédez à la page Assured Workloads. Accéder à Assured Workloads Sélectionnez votre nouveau dossier Assured Workloads dans la liste. Sur la page Informations sur le dossier, dans la section Services autorisés, cliquez sur Examiner les mises à jour disponibles. Dans le volet Services autorisés, examinez les services à ajouter à la règle d'administration Restrictions d'utilisation des ressources pour le dossier. Si des services BigQuery sont listés, cliquez sur Allow Services (Autoriser les services) pour les ajouter. Si les services BigQuery ne sont pas listés, attendez la fin du processus interne. Si les services ne sont pas listés dans les 12 heures suivant la création du dossier, contactez l'assistance client Cloud. Une fois le processus d'activation terminé, vous pouvez utiliser BigQuery dans votre dossier Assured Workloads. Gemini dans BigQuery n'est pas compatible avec Assured Workloads.
Fonctionnalités non compatibles	Les fonctionnalités BigQuery suivantes ne sont pas compatibles et ne doivent pas être utilisées dans la CLI BigQuery. Il vous incombe de ne pas les utiliser dans BigQuery pour Assured Workloads. Interaction avec des sources de données distantes Les modèles BQML entraînés en externe ne sont pas acceptés. Les modèles BQML entraînés en interne sont acceptés. Requêtes planifiées et fédérées Masquage dynamique des données Exportation GDrive Fonctions à distance Requêtes enregistrées Planification des workflows Pour BigQuery Studio, les notebooks ne sont pas compatibles. Gemini dans BigQuery n'est pas compatible.
ICL BigQuery	La CLI BigQuery est prise en charge.
SDK Google Cloud	Vous devez utiliser le SDK Google Cloud version 403.0.0 ou ultérieure pour conserver les garanties de régionalisation des données pour les données techniques. Pour vérifier votre version actuelle du SDK Google Cloud, exécutez gcloud --version, puis gcloud components update pour passer à la dernière version.
Commandes d'administration	BigQuery désactive les API non compatibles, mais les administrateurs disposant d'autorisations suffisantes pour créer un dossier de charges de travail assurées peuvent activer une API non compatible. Dans ce cas, vous serez averti d'un éventuel non-respect via le tableau de bord de surveillance Assured Workloads.
Charger des données	Les connecteurs du service de transfert de données BigQuery pour les applications SaaS (Software as a Service) de Google, les fournisseurs de stockage cloud externes et les entrepôts de données ne sont pas compatibles. Il vous incombe de ne pas utiliser les connecteurs du service de transfert de données BigQuery pour les charges de travail dans les régions de l'UE.
Transferts tiers	BigQuery ne vérifie pas la compatibilité des transferts tiers avec le service de transfert de données BigQuery. Il est de votre responsabilité de vérifier la prise en charge lorsque vous utilisez un transfert tiers pour le service de transfert de données BigQuery.
Modèles BQML non conformes	Les modèles BQML entraînés en externe ne sont pas acceptés.
Tâches de requête	Les tâches de requête ne doivent être créées que dans des dossiers Assured Workloads.
Requêtes sur des ensembles de données dans d'autres projets	BigQuery n'empêche pas les ensembles de données Assured Workloads d'être interrogés à partir de projets non Assured Workloads. Vous devez vous assurer que toute requête comportant une lecture ou une jointure sur des données Assured Workloads est placée dans un dossier Assured Workloads. Vous pouvez spécifier un nom de table complet pour le résultat de la requête à l'aide de projectname.dataset.table dans la CLI BigQuery.
Cloud Logging	BigQuery utilise Cloud Logging pour certaines de vos données de journaux. Pour respecter la conformité, vous devez désactiver vos buckets de journalisation _default ou les limiter aux régions concernées à l'aide de la commande suivante: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Pour en savoir plus, consultez la section Régionaliser vos journaux._default

Compute Engine

Fonctionnalités Compute Engine concernées

Fonctionnalité

Description

Environnement invité

Les scripts, les daemons et les binaires inclus avec l'environnement invité peuvent accéder aux données au repos et en cours d'utilisation non chiffrées. Selon la configuration de votre VM, les mises à jour de ce logiciel peuvent être installées par défaut. Pour en savoir plus sur le contenu, le code source et plus encore de chaque package, consultez la section Environnement invité. Ces composants vous aident à respecter la souveraineté des données grâce à des contrôles et des processus de sécurité internes. Toutefois, si vous souhaitez un contrôle supplémentaire, vous pouvez également sélectionner vos propres images ou agents, et éventuellement utiliser la contrainte de règle d'administration compute.trustedImageProjects. Pour en savoir plus, consultez la page Créer une image personnalisée.

Contraintes liées aux règles d'administration Compute Engine

Contrainte liée aux règles d'administration	Description
compute.disableGlobalCloudArmorPolicy	Défini sur True. Désactive la création de nouvelles stratégies de sécurité Google Cloud Armor globales, ainsi que l'ajout ou la modification de règles à ces stratégies globales existantes. Cette contrainte n'empêche pas la suppression de règles, ni la possibilité de supprimer ou de modifier la description et la liste des stratégies de sécurité Google Cloud Armor globales. Cette contrainte n'a aucune incidence sur les stratégies de sécurité Google Cloud Armor régionales. Toutes les stratégies de sécurité globales et régionales qui existaient avant l'application de cette contrainte restent en vigueur.
compute.restrictNonConfidentialComputing	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour renforcer la défense en profondeur. Pour en savoir plus, consultez la documentation sur Confidential VM.
compute.trustedImageProjects	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour renforcer la défense en profondeur. Définir cette valeur limite le stockage d'images et l'instanciation de disques à la liste de projets spécifiée. Cette valeur affecte la souveraineté des données en empêchant l'utilisation d'images ou d'agents non autorisés.

Cloud Logging

Fonctionnalités Cloud Logging concernées

Fonctionnalité	Description
Récepteurs de journaux	Les filtres ne doivent pas contenir de données client. Les récepteurs de journaux incluent des filtres qui sont stockés en tant que configuration. Ne créez pas de filtres contenant des données client.
Affichage en direct des dernières lignes des entrées de journal	Les filtres ne doivent pas contenir de données client. Une session de suivi en direct inclut un filtre stocké en tant que configuration. Les journaux de suivi ne stockent aucune donnée d'entrée de journal, mais peuvent interroger et transmettre des données entre les régions. Ne créez pas de filtres contenant des données client.

Étape suivante

• Découvrez comment créer un dossier Assured Workloads.
• En savoir plus sur le package de contrôle Régions de l'UE et assistance
• Comprendre la tarification d'Assured Workloads