Batas Data untuk Publikasi IRS 1075

Halaman ini menjelaskan serangkaian kontrol yang diterapkan pada Batas Data untuk workload IRS 1075 di Assured Workloads. Dokumen ini memberikan informasi mendetail tentang lokasi penyimpanan data, produk Google Cloud yang didukung dan endpoint API-nya, serta pembatasan atau batasan yang berlaku pada produk tersebut. Informasi tambahan berikut berlaku untuk Batas Data untuk IRS 1075:

• Residensi data: Paket kontrol Batas Data untuk IRS 1075 menetapkan kontrol lokasi data untuk mendukung wilayah khusus AS. Lihat bagian Batasan kebijakan organisasi di seluruhGoogle Cloud untuk mengetahui informasi selengkapnya.

• Dukungan: Layanan dukungan teknis untuk Data Boundary untuk beban kerja IRS 1075 tersedia dengan langganan Layanan Pelanggan Cloud Enhanced atau Premium. Kasus dukungan Data Boundary untuk beban kerja IRS 1075 diarahkan ke Orang Amerika Serikat yang berada di Amerika Serikat yang telah menyelesaikan pemeriksaan latar belakang CJIS berbasis sidik jari, pemeriksaan penegakan hukum tingkat negara bagian, dan verifikasi kewarganegaraan. Untuk mengetahui informasi selengkapnya, lihat Mendapatkan dukungan.

• Harga: Paket kontrol Batas Data untuk IRS 1075 disertakan dalam tingkat Premium Assured Workloads, yang dikenai biaya tambahan sebesar 20%. Lihat harga Assured Workloads untuk mengetahui informasi selengkapnya.

Prasyarat

Agar tetap mematuhi persyaratan sebagai pengguna paket kontrol Batas Data untuk IRS 1075, verifikasi bahwa Anda memenuhi dan mematuhi prasyarat berikut:

• Buat Batas Data untuk folder IRS 1075 menggunakan Assured Workloads dan deploy Batas Data untuk beban kerja IRS 1075 hanya di folder tersebut.
• Aktifkan dan gunakan hanya Batas Data dalam cakupan untuk layanan IRS 1075 untuk Batas Data untuk beban kerja IRS 1075.
• Jangan ubah nilai batasan kebijakan organisasi default kecuali jika Anda memahami dan bersedia menerima risiko residensi data yang mungkin terjadi.
• Pertimbangkan untuk menerapkan praktik terbaik keamanan umum yang disediakan di Google Cloud pusat praktik terbaik keamanan.
• Saat mengakses konsol Google Cloud , Anda memiliki opsi untuk menggunakan konsol Google Cloud Yurisdiksi. Anda tidak diwajibkan menggunakan konsol Jurisdiksi Google Cloud untuk Batas Data untuk IRS 1075. API ini dapat diakses di salah satu URL berikut:
  • console.us.cloud.google.com
  • console.us.cloud.google untuk pengguna identitas gabungan

Produk dan endpoint API yang didukung

Kecuali jika dinyatakan lain, pengguna dapat mengakses semua produk yang didukung melalui konsol Google Cloud . Pembatasan atau batasan yang memengaruhi fitur produk yang didukung, termasuk yang diterapkan melalui setelan batasan kebijakan organisasi, tercantum dalam tabel berikut.

Jika produk tidak tercantum, produk tersebut tidak didukung dan tidak memenuhi persyaratan kontrol Batas Data untuk IRS 1075. Produk yang tidak didukung tidak direkomendasikan untuk digunakan tanpa uji tuntas dan pemahaman menyeluruh tentang tanggung jawab Anda dalam model tanggung jawab bersama. Sebelum menggunakan produk yang tidak didukung, pastikan Anda mengetahui dan bersedia menerima risiko terkait yang mungkin timbul, seperti dampak negatif terhadap residensi data atau kedaulatan data.

Batas dan pembatasan

Bagian berikut menjelaskan batasan atau pembatasan Google Cloud-wide atau spesifik per produk untuk fitur, termasuk batasan kebijakan organisasi yang ditetapkan secara default pada Batas Data untuk folder IRS 1075. Batasan kebijakan organisasi lainnya yang berlaku—meskipun tidak ditetapkan secara default—dapat memberikan pertahanan mendalam tambahan untuk lebih melindungi resource Google Cloud organisasi Anda.

Google Cloudlebar

Fitur Google Cloudyang terpengaruh

Fitur

Deskripsi

Google Cloud console

Untuk mengakses konsol Google Cloud saat menggunakan paket kontrol Batas Data untuk IRS 1075, Anda memiliki opsi untuk menggunakan konsol Google Cloud Jurisdiksi. Konsol Google Cloud Yurisdiksi tidak diperlukan untuk Batas Data untuk IRS 1075, dan dapat diakses menggunakan salah satu URL berikut: console.us.cloud.google.com console.us.cloud.google untuk pengguna identitas gabungan Untuk mengetahui informasi selengkapnya, lihat halaman Konsol Google Cloud yurisdiksi.

Batasan kebijakan organisasi di seluruhGoogle Cloud

Batasan kebijakan organisasi berikut berlaku di seluruh Google Cloud.

Batasan kebijakan organisasi	Deskripsi
gcp.resourceLocations	Tetapkan ke lokasi berikut dalam daftar allowedValues: us-locations us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Nilai ini membatasi pembuatan resource baru ke nilai yang dipilih. Jika ditetapkan, tidak ada resource yang dapat dibuat di region, multi-region, atau lokasi lain di luar pilihan. Lihat Layanan yang didukung lokasi resource untuk mengetahui daftar resource yang dapat dibatasi oleh batasan kebijakan organisasi Lokasi Resource, karena beberapa resource mungkin berada di luar cakupan dan tidak dapat dibatasi. Mengubah nilai ini dengan membuatnya kurang ketat berpotensi merusak residensi data dengan mengizinkan data dibuat atau disimpan di luar batas data yang mematuhi kebijakan.
gcp.restrictNonCmekServices	Disetel ke daftar semua nama layanan API dalam cakupan, termasuk: bigquerydatatransfer.googleapis.com Beberapa fitur mungkin terpengaruh untuk setiap layanan yang tercantum di atas. Setiap layanan yang tercantum memerlukan Kunci enkripsi yang dikelola pelanggan (CMEK). CMEK memungkinkan data saat istirahat dienkripsi dengan kunci yang dikelola oleh Anda, bukan mekanisme enkripsi default Google. Mengubah nilai ini dengan menghapus satu atau beberapa layanan dalam cakupan dari daftar dapat merusak kedaulatan data, karena data saat istirahat yang baru akan dienkripsi secara otomatis menggunakan kunci Google sendiri, bukan kunci Anda. Data istirahat yang ada akan tetap dienkripsi oleh kunci yang Anda berikan.
gcp.restrictServiceUsage	Disetel untuk mengizinkan semua produk dan endpoint API yang didukung. Menentukan layanan mana yang dapat digunakan dengan membatasi akses runtime ke resource-nya. Untuk informasi selengkapnya, lihat Membatasi penggunaan resource.
gcp.restrictTLSVersion	Disetel untuk menolak versi TLS berikut: TLS_1_0 TLS_1_1 Lihat halaman Membatasi versi TLS untuk mengetahui informasi selengkapnya.

BigQuery

Fitur BigQuery yang terpengaruh

Fitur	Deskripsi
Mengaktifkan BigQuery di folder baru	BigQuery didukung, tetapi tidak otomatis diaktifkan saat Anda membuat folder Assured Workloads baru karena proses konfigurasi internal. Proses ini biasanya selesai dalam sepuluh menit, tetapi dapat memakan waktu lebih lama dalam beberapa keadaan. Untuk memeriksa apakah proses telah selesai dan mengaktifkan BigQuery, selesaikan langkah-langkah berikut: Di konsol Google Cloud , buka halaman Assured Workloads. Buka Assured Workloads Pilih folder Assured Workloads baru Anda dari daftar. Di halaman Folder Details di bagian Allowed services, klik Review Available Updates. Di panel Layanan yang diizinkan, tinjau layanan yang akan ditambahkan ke kebijakan organisasi Pembatasan Penggunaan Resource untuk folder. Jika layanan BigQuery tercantum, klik Izinkan Layanan untuk menambahkannya. Jika layanan BigQuery tidak tercantum, tunggu hingga proses internal selesai. Jika layanan tidak tercantum dalam waktu 12 jam setelah pembuatan folder, hubungi Cloud Customer Care. Setelah proses pengaktifan selesai, Anda dapat menggunakan BigQuery di folder Assured Workloads Anda. Gemini di BigQuery tidak didukung oleh Assured Workloads.
Fitur yang tidak didukung	Fitur BigQuery berikut tidak didukung dan tidak boleh digunakan di BigQuery CLI. Anda bertanggung jawab untuk tidak menggunakannya di BigQuery untuk Assured Workloads. Interaksi dengan sumber data jarak jauh Model BQML yang dilatih secara eksternal tidak didukung. Model BQML yang dilatih secara internal didukung. Penyamaran data dinamis Ekspor GDrive Fungsi jarak jauh Kueri tersimpan Penjadwalan alur kerja Untuk BigQuery Studio, notebook tidak didukung. Gemini di BigQuery tidak didukung.
CLI BigQuery	BigQuery CLI didukung.
Google Cloud SDK	Anda harus menggunakan Google Cloud SDK versi 403.0.0 atau yang lebih baru untuk mempertahankan jaminan regionalisasi data bagi data teknis. Untuk memverifikasi versi Google Cloud SDK Anda saat ini, jalankan gcloud --version, lalu gcloud components update untuk mengupdate ke versi terbaru.
Kontrol administrator	BigQuery akan menonaktifkan API yang tidak didukung, tetapi administrator dengan izin yang memadai untuk membuat folder Assured Workloads dapat mengaktifkan API yang tidak didukung. Jika hal ini terjadi, Anda akan diberi tahu tentang potensi ketidakpatuhan melalui dasbor pemantauan Assured Workloads.
Memuat data	Konektor BigQuery Data Transfer Service untuk aplikasi Software as a Service (SaaS) Google, penyedia penyimpanan cloud eksternal, dan data warehouse tidak didukung. Anda bertanggung jawab untuk tidak menggunakan konektor BigQuery Data Transfer Service untuk Data Boundary bagi beban kerja IRS 1075.
Transfer pihak ketiga	BigQuery tidak memverifikasi dukungan untuk transfer pihak ketiga untuk BigQuery Data Transfer Service. Anda bertanggung jawab untuk memverifikasi dukungan saat menggunakan transfer pihak ketiga untuk BigQuery Data Transfer Service.
Model BQML yang tidak sesuai	Model BQML yang dilatih secara eksternal tidak didukung.
Tugas kueri	Tugas kueri hanya boleh dibuat dalam folder Assured Workloads.
Kueri pada set data di project lain	BigQuery tidak mencegah set data Assured Workloads dikueri dari project non-Assured Workloads. Anda harus memastikan bahwa kueri apa pun yang memiliki baca atau gabungan pada data Assured Workloads ditempatkan di folder Assured Workloads. Anda dapat menentukan nama tabel yang sepenuhnya memenuhi syarat untuk hasil kuerinya menggunakan projectname.dataset.table di BigQuery CLI.
Cloud Logging	BigQuery menggunakan Cloud Logging untuk beberapa data log Anda. Anda harus menonaktifkan bucket logging _default atau membatasi bucket _default ke wilayah yang termasuk dalam cakupan untuk mempertahankan kepatuhan menggunakan perintah berikut: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Lihat Melokalkan log untuk mengetahui informasi selengkapnya.

Compute Engine

Fitur Compute Engine yang terpengaruh

Fitur	Deskripsi
Menangguhkan dan melanjutkan instance VM	Fitur ini dinonaktifkan. Menangguhkan dan melanjutkan instance VM memerlukan penyimpanan persistent disk, dan penyimpanan persistent disk yang digunakan untuk menyimpan status VM yang ditangguhkan saat ini tidak dapat dienkripsi menggunakan CMEK. Lihat batasan kebijakan organisasi gcp.restrictNonCmekServices di bagian di atas untuk memahami implikasi kedaulatan data dan residensi data dari pengaktifan fitur ini.
SSD Lokal	Fitur ini dinonaktifkan. Anda tidak akan dapat membuat instance dengan SSD Lokal karena saat ini tidak dapat dienkripsi menggunakan CMEK. Lihat batasan kebijakan organisasi gcp.restrictNonCmekServices di bagian di atas untuk memahami implikasi kedaulatan data dan residensi data dari pengaktifan fitur ini.
Lingkungan tamu	Skrip, daemon, dan biner yang disertakan dengan lingkungan tamu dapat mengakses data yang tidak dienkripsi saat istirahat dan saat digunakan. Bergantung pada konfigurasi VM Anda, update software ini mungkin diinstal secara default. Lihat Lingkungan tamu untuk mengetahui informasi spesifik tentang konten, kode sumber, dan lainnya dari setiap paket. Komponen ini membantu Anda memenuhi kedaulatan data melalui kontrol dan proses keamanan internal. Namun, jika menginginkan kontrol tambahan, Anda juga dapat menyeleksi gambar atau agen Anda sendiri dan secara opsional menggunakan batasan kebijakan organisasi compute.trustedImageProjects. Lihat halaman Membangun image kustom untuk mengetahui informasi selengkapnya.
Kebijakan OS di VM Manager	Skrip inline dan file output biner dalam file kebijakan OS tidak dienkripsi menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Oleh karena itu, jangan sertakan informasi sensitif apa pun dalam file ini. Atau, pertimbangkan untuk menyimpan skrip dan file output ini di bucket Cloud Storage. Untuk mengetahui informasi selengkapnya, lihat Contoh kebijakan OS. Jika Anda ingin membatasi pembuatan atau modifikasi resource kebijakan OS yang menggunakan skrip inline atau file output biner, aktifkan batasan kebijakan organisasi constraints/osconfig.restrictInlineScriptAndOutputFileUsage. Untuk mengetahui informasi selengkapnya, lihat Batasan untuk Konfigurasi OS.

Batasan kebijakan organisasi Compute Engine

Batasan kebijakan organisasi	Deskripsi
compute.disableGlobalCloudArmorPolicy	Tetapkan ke True. Menonaktifkan pembuatan kebijakan keamanan Google Cloud Armor global baru, dan penambahan atau modifikasi aturan ke kebijakan keamanan Google Cloud Armor global yang ada. Batasan ini tidak membatasi penghapusan aturan atau kemampuan untuk menghapus atau mengubah deskripsi dan listingan kebijakan keamanan Google Cloud Armor global. Kebijakan keamanan Google Cloud Armor regional tidak terpengaruh oleh batasan ini. Semua kebijakan keamanan global dan regional yang ada sebelum pemberlakuan batasan ini tetap berlaku.
compute.disableGlobalLoadBalancing	Tetapkan ke True. Menonaktifkan pembuatan produk load balancing global. Mengubah nilai ini dapat memengaruhi residensi data atau kedaulatan data beban kerja Anda.
compute.restrictNonConfidentialComputing	(Opsional) Nilai tidak ditetapkan. Tetapkan nilai ini untuk memberikan pertahanan mendalam tambahan. Lihat dokumentasi Confidential VM untuk mengetahui informasi selengkapnya.
compute.trustedImageProjects	(Opsional) Nilai tidak ditetapkan. Tetapkan nilai ini untuk memberikan pertahanan mendalam tambahan. Menetapkan nilai ini akan membatasi penyimpanan image dan instansiasi disk ke daftar project yang ditentukan. Nilai ini memengaruhi kedaulatan data dengan mencegah penggunaan gambar atau agen yang tidak sah.

Cloud Run Functions

Batasan kebijakan organisasi fungsi Cloud Run

Batasan kebijakan organisasi	Deskripsi
cloudfunctions.restrictAllowedGenerations	Disetel untuk menolak pembuatan fungsi Cloud Run berikut yang dapat digunakan untuk membuat resource fungsi Cloud Run baru: 1stGen Lihat Membatasi deployment baru menurut versi produk untuk mengetahui informasi selengkapnya.

Cloud Interconnect

Fitur Cloud Interconnect yang terpengaruh

Fitur	Deskripsi
VPN ketersediaan tinggi (HA)	Anda harus mengaktifkan fungsi VPN dengan ketersediaan tinggi (HA) saat menggunakan Cloud Interconnect dengan Cloud VPN. Selain itu, Anda harus mematuhi persyaratan enkripsi dan regionalisasi yang tercantum di bagian Fitur Cloud VPN yang terpengaruh.

Cloud KMS

Batasan kebijakan organisasi Cloud KMS

Batasan kebijakan organisasi	Deskripsi

Cloud Logging

Fitur Cloud Logging yang terpengaruh

Fitur	Deskripsi
Sink log	Filter tidak boleh berisi Data Pelanggan. Sink log mencakup filter yang disimpan sebagai konfigurasi. Jangan membuat filter yang berisi Data Pelanggan.
Mengikuti entri log secara langsung	Filter tidak boleh berisi Data Pelanggan. Sesi live tailing mencakup filter yang disimpan sebagai konfigurasi. Mengikuti log tidak menyimpan data entri log apa pun, tetapi dapat membuat kueri dan mengirimkan data di seluruh region. Jangan membuat filter yang berisi Data Pelanggan.

Cloud Monitoring

Fitur Cloud Monitoring yang terpengaruh

Fitur	Deskripsi
Monitor Sintetis	Fitur ini dinonaktifkan.
Cek uptime	Fitur ini dinonaktifkan.

Cloud Run

Fitur Cloud Run yang terpengaruh

Fitur	Deskripsi
Fitur yang tidak didukung	Fitur Cloud Run berikut tidak didukung: Integrasi Cloud Trace Cloud Run Functions Pemicu Eventarc

Speech-to-Text

Fitur Speech-to-Text yang terpengaruh

Fitur	Deskripsi
Model Speech-to-Text kustom	Anda bertanggung jawab untuk tidak menggunakan model Speech-to-Text Kustom karena model tersebut tidak mematuhi Batas Data untuk IRS 1075.

Cloud VPN

Fitur Cloud VPN yang terpengaruh

Fitur	Deskripsi
Endpoint VPN	Anda hanya boleh menggunakan endpoint Cloud VPN yang berada di region dalam cakupan. Pastikan gateway VPN Anda dikonfigurasi untuk digunakan di region yang termasuk dalam cakupan saja.

Langkah berikutnya

• Pelajari cara membuat folder Assured Workloads
• Memahami harga Assured Workloads