Package de contrôle ITAR (International Traffic in Arms Regulations)

Cette page décrit l'ensemble de contrôles appliqués aux charges de travail ITAR dans Assured Workloads. Il fournit des informations détaillées sur la résidence des données, les produits Google Cloud compatibles et leurs points de terminaison d'API, ainsi que les restrictions ou limites applicables à ces produits. Les informations supplémentaires suivantes s'appliquent à l'ITAR:

• Résidence des données: le package de contrôle ITAR définit les contrôles d'emplacement des données pour n'accepter que les régions des États-Unis. Pour en savoir plus, consultez la section Contraintes de règles d'administration au niveau deGoogle Cloud.
• Assistance: les services d'assistance technique pour les charges de travail ITAR sont disponibles avec les abonnements Cloud Customer Care Enhanced ou Premium. Les demandes d'assistance pour les charges de travail ITAR sont transmises aux personnes des États-Unis situées aux États-Unis. Pour en savoir plus, consultez la page Obtenir de l'aide.
• Tarification: le package de contrôle ITAR est inclus dans le niveau Premium d'Assured Workloads, qui entraîne des frais supplémentaires de 20 %. Pour en savoir plus, consultez la page Tarifs d'Assured Workloads.

Prérequis

Pour rester conforme en tant qu'utilisateur du package de contrôle ITAR, assurez-vous de remplir les conditions préalables suivantes et de les respecter:

• Créez un dossier ITAR à l'aide d'Assured Workloads et déployez vos charges de travail ITAR uniquement dans ce dossier.
• N'activez et n'utilisez que les services ITAR concernés pour les charges de travail ITAR.
• Ne modifiez pas les valeurs par défaut des contraintes de règles d'administration, sauf si vous comprenez et acceptez les risques de résidence des données qui peuvent survenir.
• Lorsque vous accédez à la console Google Cloud pour les charges de travail ITAR, vous devez utiliser l'une des URL de la console Google Cloud par juridiction suivantes :
  • console.us.cloud.google.com
  • console.us.cloud.google pour les utilisateurs d'identités fédérées
• Lorsque vous vous connectez à des Google Cloud points de terminaison de service, vous devez utiliser des points de terminaison régionaux pour les services qui les proposent. En outre :
  • Lorsque vous vous connectez à des points de terminaison de service à partir de VM autres queGoogle Cloud(par exemple, des VM sur site ou d'autres fournisseurs de services cloud), vous devez utiliser l'une des options d'accès privé disponibles qui acceptent les connexions à des VM autres queGoogle Cloud pour acheminer le trafic autre queGoogle Cloud vers Google Cloud. Google Cloud
  • Lorsque vous vous connectez à des Google Cloud points de terminaison de service à partir de Google Cloud VM, vous pouvez utiliser l'une des options d'accès privé disponibles.
  • Lorsque vous vous connectez à des VM Google Cloud exposées avec des adresses IP externes, consultez la section Accéder aux API à partir de VM avec des adresses IP externes.
• Pour tous les services utilisés dans un dossier ITAR, ne stockez pas de données techniques dans les types d'informations de configuration de sécurité ou définies par l'utilisateur suivants :
  • Messages d'erreur
  • Sortie vers la console
  • Données d'attribut
  • Données de configuration du service
  • En-têtes de paquets réseau
  • Identifiants de ressource
  • Libellés de données
• N'utilisez que les points de terminaison régionaux ou localisés spécifiés pour les services qui les proposent. Pour en savoir plus, consultez la section Services ITAR concernés.
• Envisagez d'adopter les bonnes pratiques de sécurité générales fournies dans le Google Cloud centre des bonnes pratiques de sécurité.

Produits et points de terminaison d'API compatibles

Sauf indication contraire, les utilisateurs peuvent accéder à tous les produits compatibles via la console Google Cloud. Les restrictions ou limitations qui affectent les fonctionnalités d'un produit compatible, y compris celles qui sont appliquées via les paramètres de contrainte des règles d'administration, sont indiquées dans le tableau suivant.

Si un produit n'est pas listé, il n'est pas pris en charge et ne respecte pas les exigences de contrôle de l'ITAR. Nous vous déconseillons d'utiliser des produits non compatibles sans faire preuve de la diligence requise et sans bien comprendre vos responsabilités dans le modèle de responsabilité partagée. Avant d'utiliser un produit non pris en charge, assurez-vous d'être conscient des risques associés et d'être prêt à les accepter, par exemple les impacts négatifs sur la résidence ou la souveraineté des données.

Restrictions et limitations

Les sections suivantes décrivent les restrictions ou limites pour les fonctionnalités, y compris les contraintes de règles d'administration définies par défaut sur les dossiers ITAR. Google CloudD'autres contraintes de règles d'administration applicables, même si elles ne sont pas définies par défaut, peuvent fournir une défense en profondeur supplémentaire pour mieux protéger les ressources de votre organisation. Google Cloud

Google Cloudde large

Contraintes liées aux règles d'administration au niveau deGoogle Cloud

Les contraintes de règles d'administration suivantes s'appliquent à l'ensemble de Google Cloud.

Contrainte liée aux règles d'administration	Description
gcp.resourceLocations	Définissez les emplacements suivants dans la liste allowedValues : us us-central1 us-central2 us-east1 us-east4 us-east5 us-south1 us-west1 us-west2 us-west3 us-west4 Cette valeur limite la création de ressources au groupe de valeurs sélectionné uniquement. Lorsqu'il est défini, aucune ressource ne peut être créée dans d'autres régions, multirégions ou emplacements en dehors de la sélection. Modifier cette valeur pour la rendre moins restrictive compromet la résidence des données en autorisant la création ou le stockage de données en dehors d'une limite de données conforme. Pour en savoir plus, consultez la documentation sur les groupes de valeurs des règles d'administration.
gcp.restrictCmekCryptoKeyProjects	Défini sur under:organizations/your-organization-name, qui correspond à votre organisation Assured Workloads. Vous pouvez également restreindre davantage cette valeur en spécifiant un projet ou un dossier. Limite le champ d'application des dossiers ou projets approuvés pouvant fournir des clés Cloud KMS pour le chiffrement des données au repos à l'aide de CMEK. Cette contrainte empêche les dossiers ou projets non approuvés de fournir des clés de chiffrement, ce qui permet de garantir la souveraineté des données pour les données au repos des services concernés.
gcp.restrictNonCmekServices	Définissez la liste de tous les noms de service d'API couverts par le champ d'application, y compris : bigquery.googleapis.com compute.googleapis.com container.googleapis.com storage.googleapis.com Certaines fonctionnalités peuvent être concernées pour chacun des services listés ci-dessus. Chaque service listé nécessite des clés de chiffrement gérées par le client (CMEK). CMEK permet de chiffrer les données au repos avec une clé gérée par vous, et non avec les mécanismes de chiffrement par défaut de Google. La modification de cette valeur en supprimant un ou plusieurs services couverts dans la liste peut compromettre la souveraineté des données, car les nouvelles données au repos seront automatiquement chiffrées à l'aide des clés Google et non de la vôtre. Les données au repos existantes resteront chiffrées par la clé que vous avez fournie.
gcp.restrictServiceUsage	Définissez cette valeur pour autoriser tous les produits et points de terminaison d'API compatibles. Détermine les services pouvant être activés et utilisés. Pour en savoir plus, consultez la section Limiter l'utilisation des ressources.
gcp.restrictTLSVersion	Définissez la valeur sur "deny" pour les versions TLS suivantes: TLS_1_0 TLS_1_1 Pour en savoir plus, consultez la page Limiter les versions TLS.

BigQuery

Fonctionnalités BigQuery concernées

Fonctionnalité	Description
Activer BigQuery sur un nouveau dossier	BigQuery est compatible, mais il n'est pas automatiquement activé lorsque vous créez un dossier de charges de travail assurées en raison d'un processus de configuration interne. Cette procédure se termine normalement en 10 minutes, mais peut prendre beaucoup plus de temps dans certains cas. Pour vérifier si le processus est terminé et pour activer BigQuery, procédez comme suit: Dans la console Google Cloud, accédez à la page Assured Workloads. Accéder à Assured Workloads Sélectionnez votre nouveau dossier Assured Workloads dans la liste. Sur la page Informations sur le dossier, dans la section Services autorisés, cliquez sur Examiner les mises à jour disponibles. Dans le volet Services autorisés, examinez les services à ajouter à la règle d'administration Restrictions d'utilisation des ressources pour le dossier. Si des services BigQuery sont listés, cliquez sur Allow Services (Autoriser les services) pour les ajouter. Si les services BigQuery ne sont pas listés, attendez la fin du processus interne. Si les services ne sont pas listés dans les 12 heures suivant la création du dossier, contactez l'assistance client Cloud. Une fois le processus d'activation terminé, vous pouvez utiliser BigQuery dans votre dossier Assured Workloads. Gemini dans BigQuery n'est pas compatible avec Assured Workloads.
API BigQuery conformes	Les API BigQuery suivantes sont conformes à l'ITAR: bigquery.googleapis.com bigquerydatapolicy.googleapis.com bigqueryconnection.googleapis.com bigquerymigration.googleapis.com bigquerystorage.googleapis.com bigqueryreservation.googleapis.com bigquerydatatransfer.googleapis.com
Régions	BigQuery est conforme à l'ITAR pour toutes les régions BigQuery aux États-Unis, à l'exception de la région multirégionale des États-Unis. La conformité aux ITAR ne peut pas être garantie si un ensemble de données est créé dans une zone multirégionale des États-Unis, une région hors États-Unis ou une zone multirégionale hors États-Unis. Il est de votre responsabilité de spécifier une région conforme à l'ITAR lorsque vous créez des ensembles de données BigQuery.
Requêtes sur des ensembles de données ITAR à partir de projets non ITAR	BigQuery n'empêche pas les requêtes sur les ensembles de données ITAR à partir de projets non ITAR. Vous devez vous assurer que toute requête utilisant une opération de lecture ou de jointure sur des données techniques ITAR est placée dans un dossier conforme à l'ITAR.
Connexions à des sources de données externes	La responsabilité de Google en matière de conformité est limitée à la fonctionnalité de l'API BigQuery Connection. Il vous incombe de vous assurer de la conformité des produits sources utilisés avec l'API BigQuery Connection.
Fonctionnalités non compatibles	Les fonctionnalités BigQuery suivantes ne sont pas compatibles et ne doivent pas être utilisées dans la CLI BigQuery. Il vous incombe de ne pas les utiliser dans BigQuery pour Assured Workloads. Interaction avec des sources de données distantes Les modèles BQML entraînés en externe ne sont pas acceptés. Les modèles BQML entraînés en interne sont acceptés. Requêtes planifiées et fédérées Masquage dynamique des données Exportation GDrive Fonctions à distance Requêtes enregistrées Planification des workflows Pour BigQuery Studio, les notebooks ne sont pas compatibles. Gemini dans BigQuery n'est pas compatible.
ICL BigQuery	La CLI BigQuery est prise en charge.
SDK Google Cloud	Vous devez utiliser le SDK Google Cloud version 403.0.0 ou ultérieure pour conserver les garanties de régionalisation des données pour les données techniques. Pour vérifier votre version actuelle du SDK Google Cloud, exécutez gcloud --version, puis gcloud components update pour passer à la dernière version.
Commandes d'administration	BigQuery désactive les API non compatibles, mais les administrateurs disposant d'autorisations suffisantes pour créer un dossier de charges de travail assurées peuvent activer une API non compatible. Dans ce cas, vous serez averti d'un éventuel non-respect via le tableau de bord de surveillance Assured Workloads.
Charger des données	Les connecteurs du service de transfert de données BigQuery pour les applications SaaS (Software as a Service) de Google, les fournisseurs de stockage cloud externes et les entrepôts de données ne sont pas compatibles. Il vous incombe de ne pas utiliser les connecteurs du service de transfert de données BigQuery pour les charges de travail ITAR.
Transferts tiers	BigQuery ne vérifie pas la compatibilité des transferts tiers avec le service de transfert de données BigQuery. Il est de votre responsabilité de vérifier la prise en charge lorsque vous utilisez un transfert tiers pour le service de transfert de données BigQuery.
Modèles BQML non conformes	Les modèles BQML entraînés en externe ne sont pas acceptés.
Tâches de requête	Les tâches de requête ne doivent être créées que dans des dossiers Assured Workloads.
Requêtes sur des ensembles de données dans d'autres projets	BigQuery n'empêche pas les ensembles de données Assured Workloads d'être interrogés à partir de projets non Assured Workloads. Vous devez vous assurer que toute requête comportant une lecture ou une jointure sur des données Assured Workloads est placée dans un dossier Assured Workloads. Vous pouvez spécifier un nom de table complet pour le résultat de la requête à l'aide de projectname.dataset.table dans la CLI BigQuery.
Cloud Logging	BigQuery utilise Cloud Logging pour certaines de vos données de journaux. Pour respecter la conformité, vous devez désactiver vos buckets de journalisation _default ou les limiter aux régions concernées à l'aide de la commande suivante: gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink Pour en savoir plus, consultez la section Régionaliser vos journaux._default

Compute Engine

Fonctionnalités Compute Engine concernées

Fonctionnalité	Description
Suspendre et réactiver une instance de VM	Cette fonctionnalité est désactivée. La suspension et la réactivation d'une instance de VM nécessitent un stockage sur disque persistant, et le stockage sur disque persistant utilisé pour stocker l'état de VM suspendue ne peut actuellement pas être chiffré avec CMEK. Consultez la contrainte de règle d'administration gcp.restrictNonCmekServices dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté et la résidence des données.
Disques SSD locaux	Cette fonctionnalité est désactivée. Vous ne pourrez pas créer d'instance avec des SSD locaux, car ils ne peuvent pas être chiffrés à l'aide de CMEK pour le moment. Consultez la contrainte de règle d'administration gcp.restrictNonCmekServices dans la section ci-dessus pour comprendre les implications de l'activation de cette fonctionnalité sur la souveraineté et la résidence des données.
Console Google Cloud	Les fonctionnalités Compute Engine suivantes ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI: Vérifications d'état Groupes de points de terminaison du réseau
VM Bare Metal Solution	Il est de votre responsabilité de ne pas utiliser de VM Bare Metal (VM o2), car elles ne sont pas conformes à l'ITAR.
VM Google Cloud VMware Engine	Il vous incombe de ne pas utiliser de VM Google Cloud VMware Engine, car elles ne sont pas conformes à l'ITAR.
Créer une instance de VM C3	Cette fonctionnalité est désactivée.
Utiliser des disques persistants ou leurs instantanés sans CMEK	Vous ne pouvez pas utiliser de disques persistants ni leurs instantanés, sauf s'ils ont été chiffrés à l'aide de CMEK.
Créer des VM imbriquées ou des VM qui utilisent la virtualisation imbriquée	Vous ne pouvez pas créer de VM imbriquées ni de VM qui utilisent la virtualisation imbriquée. Cette fonctionnalité est désactivée par la contrainte de règle d'administration compute.disableNestedVirtualization.
Ajouter un groupe d'instances à un équilibreur de charge global	Vous ne pouvez pas ajouter un groupe d'instances à un équilibreur de charge global. Cette fonctionnalité est désactivée par la contrainte de règle d'administration compute.disableGlobalLoadBalancing.
Routage des requêtes vers un équilibreur de charge HTTPS externe multirégional	Vous ne pouvez pas acheminer les requêtes vers un équilibreur de charge HTTPS externe multirégional. Cette fonctionnalité est désactivée par la contrainte de règle d'administration compute.restrictLoadBalancerCreationForTypes.
Partager un disque persistant SSD en mode écriture simultanée	Vous ne pouvez pas partager un disque persistant SSD en mode écriture simultanée entre des instances de VM.
Suspendre et réactiver une instance de VM	Cette fonctionnalité est désactivée. La suspension et la réactivation d'une instance de VM nécessitent un stockage sur disque persistant, et le stockage sur disque persistant utilisé pour stocker l'état de VM suspendue ne peut actuellement pas être chiffré avec CMEK. Cette fonctionnalité est désactivée par la contrainte de règle d'administration gcp.restrictNonCmekServices.
Disques SSD locaux	Cette fonctionnalité est désactivée. Vous ne pourrez pas créer d'instance avec des SSD locaux, car ils ne peuvent pas être chiffrés à l'aide de CMEK. Cette fonctionnalité est désactivée par la contrainte de règle d'administration gcp.restrictNonCmekServices.
Environnement invité	Les scripts, les daemons et les binaires inclus avec l'environnement invité peuvent accéder aux données au repos et en cours d'utilisation non chiffrées. Selon la configuration de votre VM, les mises à jour de ce logiciel peuvent être installées par défaut. Pour en savoir plus sur le contenu, le code source et plus encore de chaque package, consultez la section Environnement invité. Ces composants vous aident à respecter la souveraineté des données grâce à des contrôles et des processus de sécurité internes. Toutefois, si vous souhaitez un contrôle supplémentaire, vous pouvez également sélectionner vos propres images ou agents, et éventuellement utiliser la contrainte de règle d'administration compute.trustedImageProjects. Pour en savoir plus, consultez la page Créer une image personnalisée.
instances.getSerialPortOutput()	Cette API est désactivée ; vous ne pouvez pas obtenir de données en sortie du port série depuis l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès à un projet.
instances.getScreenshot()	Cette API est désactivée ; vous ne pouvez pas obtenir de capture d'écran à partir de l'instance spécifiée à l'aide de cette API. Définissez la valeur de la contrainte de règle d'administration compute.disableInstanceDataAccessApis sur False pour activer cette API. Vous pouvez également activer et utiliser le port série interactif en suivant les instructions de la section Activer l'accès à un projet.

Contraintes liées aux règles d'administration Compute Engine

Contrainte liée aux règles d'administration	Description
compute.enableComplianceMemoryProtection	Défini sur True. Désactive certaines fonctionnalités de diagnostic internes pour fournir une protection supplémentaire du contenu de la mémoire en cas de défaillance de l'infrastructure. La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.
compute.disableGlobalCloudArmorPolicy	Défini sur True. Désactive la création de nouvelles stratégies de sécurité Google Cloud Armor globales, ainsi que l'ajout ou la modification de règles à ces stratégies globales existantes. Cette contrainte n'empêche pas la suppression de règles, ni la possibilité de supprimer ou de modifier la description et la liste des stratégies de sécurité Google Cloud Armor globales. Cette contrainte n'a aucune incidence sur les stratégies de sécurité Google Cloud Armor régionales. Toutes les stratégies de sécurité globales et régionales qui existaient avant l'application de cette contrainte restent en vigueur.
compute.disableGlobalLoadBalancing	Défini sur True. Désactive la création de produits d'équilibrage de charge mondiaux. La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.
compute.disableGlobalSelfManagedSslCertificate	Défini sur True. Désactive la création de certificats SSL autogérés au niveau mondial. La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.
compute.disableInstanceDataAccessApis	Défini sur True. Désactive globalement les API instances.getSerialPortOutput() et instances.getScreenshot(). L'activation de cette contrainte vous empêche de générer des identifiants sur des VM Windows Server. Si vous devez gérer un nom d'utilisateur et un mot de passe sur une VM Windows, procédez comme suit : Activez SSH pour les VM Windows. Exécutez la commande suivante pour modifier le mot de passe de la VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Remplacez les éléments suivants : VM_NAME: nom de la VM pour laquelle vous définissez le mot de passe. USERNAME: nom d'utilisateur de l'utilisateur pour lequel vous définissez le mot de passe. PASSWORD: nouveau mot de passe.
compute.disableNonFIPSMachineTypes	Défini sur True. Désactive la création de types d'instances de VM non conformes aux exigences FIPS.
compute.restrictNonConfidentialComputing	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour renforcer la défense en profondeur. Pour en savoir plus, consultez la documentation sur Confidential VM.
compute.trustedImageProjects	(Facultatif) La valeur n'est pas définie. Définissez cette valeur pour renforcer la défense en profondeur. Définir cette valeur limite le stockage d'images et l'instanciation de disques à la liste de projets spécifiée. Cette valeur affecte la souveraineté des données en empêchant l'utilisation d'images ou d'agents non autorisés.

Cloud DNS

Fonctionnalités Cloud DNS concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités Cloud DNS ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.

Google Kubernetes Engine

Fonctionnalités Google Kubernetes Engine concernées

Fonctionnalité	Description
Restrictions de ressources de cluster	Assurez-vous que la configuration de votre cluster n'utilise pas de ressources pour des services non pris en charge par le programme de conformité ITAR. Par exemple, la configuration suivante n'est pas valide, car elle nécessite d'activer ou d'utiliser un service non pris en charge: set `binaryAuthorization.evaluationMode` to `enabled`

Contraintes liées aux règles de l'organisation Google Kubernetes Engine

Contrainte liée aux règles d'administration	Description
container.restrictNoncompliantDiagnosticDataAccess	Défini sur True. Désactive l'analyse globale des problèmes de noyau, ce qui est nécessaire pour conserver le contrôle souverain d'une charge de travail. La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.

Cloud Interconnect

Fonctionnalités Cloud Interconnect concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités de Cloud Interconnect ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.
VPN haute disponibilité	Vous devez activer la fonctionnalité VPN haute disponibilité (HA) lorsque vous utilisez Cloud Interconnect avec Cloud VPN. En outre, vous devez respecter les exigences de chiffrement et de régionalisation indiquées dans la section Fonctionnalités Cloud VPN concernées.

Cloud Load Balancing

Fonctionnalités Cloud Load Balancing concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités Cloud Load Balancing ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.
Équilibreurs de charge régionaux	Vous ne devez utiliser que des équilibreurs de charge régionaux avec ITAR. Pour en savoir plus sur la configuration des équilibreurs de charge régionaux, consultez les pages suivantes: Équilibreur de charge d'application interne Équilibreur de charge d'application externe régional Équilibreur de charge réseau passthrough interne Équilibreur de charge réseau passthrough externe

Cloud Logging

Fonctionnalités Cloud Logging concernées

Fonctionnalité	Description
Récepteurs de journaux	Les filtres ne doivent pas contenir de données client. Les récepteurs de journaux incluent des filtres qui sont stockés en tant que configuration. Ne créez pas de filtres contenant des données client.
Affichage en direct des dernières lignes des entrées de journal	Les filtres ne doivent pas contenir de données client. Une session de suivi en direct inclut un filtre stocké en tant que configuration. Les journaux de suivi ne stockent aucune donnée d'entrée de journal, mais peuvent interroger et transmettre des données entre les régions. Ne créez pas de filtres contenant des données client.
Alertes basées sur les journaux	Cette fonctionnalité est désactivée. Vous ne pouvez pas créer d'alertes basées sur les journaux dans la console Google Cloud.
URL abrégées pour les requêtes de l'explorateur de journaux	Cette fonctionnalité est désactivée. Vous ne pouvez pas créer d'URL de requêtes raccourcies dans la console Google Cloud.
Enregistrer des requêtes dans l'explorateur de journaux	Cette fonctionnalité est désactivée. Vous ne pouvez pas enregistrer de requêtes dans la console Google Cloud.
Analyse de journaux avec BigQuery	Cette fonctionnalité est désactivée. Vous ne pouvez pas utiliser la fonctionnalité Log Analytics.
Règles d'alerte basées sur SQL	Cette fonctionnalité est désactivée. Vous ne pouvez pas utiliser la fonctionnalité de règles d'alerte basées sur SQL.

Cloud Monitoring

Fonctionnalités Cloud Monitoring concernées

Fonctionnalité	Description
Surveillance synthétique	Cette fonctionnalité est désactivée.
Test de disponibilité	Cette fonctionnalité est désactivée.
Widgets du panneau des journaux dans les tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau de journal à un tableau de bord.
Widgets du panneau Error Reporting dans Tableaux de bord	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter de panneau de signalement d'erreurs à un tableau de bord.
Filtrer dans EventAnnotation pour Tableaux de bord	Cette fonctionnalité est désactivée. Filtre de EventAnnotation ne peut pas être défini dans un tableau de bord.
SqlCondition dans alertPolicies	Cette fonctionnalité est désactivée. Vous ne pouvez pas ajouter un SqlCondition à un alertPolicy.

Cloud NAT

Fonctionnalités Cloud NAT concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités Cloud NAT ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.

Network Connectivity Center

Fonctionnalités de Network Connectivity Center concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités du Centre de connectivité réseau ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.

Pub/Sub

Contraintes liées aux règles d'administration Pub/Sub

Contrainte liée aux règles d'administration	Description
pubsub.enforceInTransitRegions	Défini sur True. Permet de s'assurer que les données client ne transitent que via les régions autorisées, qui sont indiquées dans la règle de stockage des messages définie pour le sujet Pub/Sub. La modification de cette valeur peut affecter la résidence ou la souveraineté des données de votre charge de travail.

Cloud Router

Fonctionnalités Cloud Router concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités de Cloud Router ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.

Cloud Run

Fonctionnalités Cloud Run concernées

Fonctionnalité	Description
Fonctionnalités non compatibles	Les fonctionnalités Cloud Run suivantes ne sont pas acceptées: Intégration à Cloud Trace Cloud Run Functions Déclencheurs Eventarc

Cloud SQL

Fonctionnalités Cloud SQL concernées

Fonctionnalité	Description
Exportation au format CSV	L'exportation au format CSV n'est pas conforme à l'ITAR et ne doit pas être utilisée. Cette fonctionnalité est désactivée dans la console Google Cloud.
executeSql	La méthode executeSql de l'API Cloud SQL n'est pas conforme à l'ITAR et ne doit pas être utilisée.

Cloud Storage

Fonctionnalités Cloud Storage concernées

Fonctionnalité	Description
Console Google Cloud	Pour assurer la conformité ITAR, il est de votre responsabilité d'utiliser la console Google Cloud juridictionnelle. La console Jurisdictional empêche l'importation et le téléchargement d'objets Cloud Storage. Pour importer et télécharger des objets Cloud Storage, consultez la ligne Points de terminaison d'API conformes de cette section.
Points de terminaison d'API conformes	Vous devez utiliser l'un des points de terminaison régionaux conformes à l'ITAR avec Cloud Storage. Pour en savoir plus, consultez les pages Points de terminaison régionaux Cloud Storage et Emplacements Cloud Storage.
Restrictions	Pour être conforme à l'ITAR, vous devez utiliser des points de terminaison régionaux Cloud Storage. Pour en savoir plus sur les points de terminaison régionaux Cloud Storage pour l'ITAR, consultez la section Points de terminaison régionaux Cloud Storage. Les opérations suivantes ne sont pas compatibles avec les points de terminaison régionaux. Toutefois, ces opérations ne transfèrent pas les données client telles que définies dans les Conditions d'utilisation du service de résidence des données. Par conséquent, vous pouvez utiliser des points de terminaison globaux pour ces opérations si nécessaire, sans enfreindre la conformité ITAR : Opérations de clé HMAC Opérations de compte de service IAM Notifications Pub/Sub Notifications de modification d'objet
Copier et réécrire des objets	Les opérations de copie et de réécriture des objets sont acceptées par les points de terminaison régionaux si les buckets source et de destination se trouvent dans la région spécifiée dans le point de terminaison. Toutefois, vous ne pouvez pas utiliser de points de terminaison régionaux pour copier ou réécrire un objet d'un bucket à un autre si les buckets se trouvent dans des emplacements différents. Il est possible d'utiliser des points de terminaison globaux pour copier ou réécrire des données dans plusieurs emplacements, mais nous vous déconseillons de le faire, car cela peut ne pas respecter la conformité ITAR.

Cloud privé virtuel (VPC)

Fonctionnalités VPC concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités de mise en réseau VPC ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.

Cloud VPN

Fonctionnalités Cloud VPN concernées

Fonctionnalité	Description
Console Google Cloud	Les fonctionnalités Cloud VPN ne sont pas disponibles dans la console Google Cloud. Utilisez plutôt l'API ou Google Cloud CLI.
Chiffrement	Vous ne devez utiliser que des algorithmes de chiffrement conformes à la norme FIPS 140-2 lorsque vous créez des certificats et configurez la sécurité de vos adresses IP. Pour en savoir plus sur les algorithmes de chiffrement compatibles avec Cloud VPN, consultez la page Algorithmes de chiffrement IKE compatibles. Pour plus d'informations sur le choix d'un algorithme de chiffrement conforme à la norme FIPS 140-2, consultez la page Certification FIPS 140-2. Vous ne pouvez pas modifier un chiffrement existant dans Google Cloud. Veillez à configurer votre algorithme de chiffrement sur votre dispositif tiers utilisé avec Cloud VPN.
Points de terminaison VPN	Vous ne devez utiliser que des points de terminaison Cloud VPN situés aux États-Unis. Assurez-vous que votre passerelle VPN est configurée pour être utilisée dans une région des États-Unis uniquement.

Étape suivante

• Découvrez comment créer un dossier Assured Workloads.
• Comprendre la tarification d'Assured Workloads