Batas Data Kerajaan Arab Saudi (KSA) dengan Alasan Akses

Halaman ini menjelaskan batasan, keterbatasan, dan opsi konfigurasi lainnya saat menggunakan paket kontrol Pembenaran Akses dengan Batas Data KSA.

Ringkasan

Paket kontrol Batas Data KSA dengan Pembenaran Akses mengaktifkan fitur kontrol akses data dan residensi data untuk produk Google Cloud yang didukung. Beberapa fitur layanan ini dibatasi atau dibatasi oleh Google agar kompatibel dengan Batas Data KSA dengan Justifikasi Akses. Sebagian besar batasan dan keterbatasan ini diterapkan saat membuat folder Assured Workloads baru untuk Batas Data KSA dengan Pembenaran Akses. Namun, beberapa di antaranya dapat diubah nanti dengan mengubah kebijakan organisasi. Selain itu, beberapa batasan dan batasan memerlukan tanggung jawab pengguna untuk mematuhinya.

Penting untuk memahami bagaimana batasan ini mengubah perilaku untuk layanan tertentu atau memengaruhi akses data atau lokasi penyimpanan data. Google Cloud Misalnya, beberapa fitur atau kemampuan dapat dinonaktifkan secara otomatis untuk memastikan bahwa pembatasan akses data dan residensi data tetap dipertahankan. Selain itu, jika setelan kebijakan organisasi diubah, hal ini dapat menyebabkan konsekuensi yang tidak diinginkan, yaitu menyalin data dari satu region ke region lain.

Layanan yang didukung

Kecuali jika dinyatakan lain, pengguna dapat mengakses semua layanan yang didukung melalui konsol Google Cloud .

Layanan berikut kompatibel dengan Batas Data KSA dengan Alasan Akses:

Produk yang didukung endpoint API Batasan atau pembatasan
Access Approval Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • accessapproval.googleapis.com
 Tidak ada
Access Context Manager Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • accesscontextmanager.googleapis.com
 Tidak ada
Artifact Registry Endpoint API regional:
  • artifactregistry.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • artifactregistry.googleapis.com
 Tidak ada
BigQuery Endpoint API regional:
  • bigquery.me-central2.rep.googleapis.com
  • bigqueryconnection.me-central2.rep.googleapis.com
  • bigqueryreservation.me-central2.rep.googleapis.com
  • bigquerystorage.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • bigquery.googleapis.com
  • bigqueryconnection.googleapis.com
  • bigquerydatapolicy.googleapis.com
  • bigqueryreservation.googleapis.com
  • bigquerystorage.googleapis.com
 Tidak ada
Bigtable Endpoint API regional:
  • bigtable.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • bigtable.googleapis.com
  • bigtableadmin.googleapis.com
 Tidak ada
Certificate Authority Service Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • privateca.googleapis.com
 Tidak ada
Cloud Build Endpoint API regional:
  • cloudbuild.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • cloudbuild.googleapis.com
 Tidak ada
Cloud DNS Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • dns.googleapis.com
 Tidak ada
Cloud HSM Endpoint API regional:
  • cloudkms.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • cloudkms.googleapis.com
 Tidak ada
Cloud Interconnect Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Fitur yang terpengaruh
Cloud Key Management Service (Cloud KMS) Endpoint API regional:
  • cloudkms.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • cloudkms.googleapis.com
 Tidak ada
Cloud Load Balancing Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Tidak ada
Cloud Logging Endpoint API regional:
  • logging.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • logging.googleapis.com
 Tidak ada
Cloud Monitoring Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • monitoring.googleapis.com
 Fitur yang terpengaruh
Cloud NAT Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Tidak ada
Cloud Router Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Tidak ada
Cloud Run Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • run.googleapis.com
 Fitur yang terpengaruh
Cloud SQL Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • sqladmin.googleapis.com
 Tidak ada
Cloud Service Mesh Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • mesh.googleapis.com
  • meshconfig.googleapis.com
  • trafficdirector.googleapis.com
  • networkservices.google.com
 Tidak ada
Cloud Storage Endpoint API regional:
  • storage.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • storage.googleapis.com
 Fitur yang terpengaruh
Cloud VPN Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Fitur yang terpengaruh
Compute Engine Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Fitur yang terpengaruh dan batasan kebijakan organisasi
Connect Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • gkeconnect.googleapis.com
  • connectgateway.googleapis.com
 Tidak ada
Dataflow Endpoint API regional:
  • dataflow.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • dataflow.googleapis.com
  • datapipelines.googleapis.com
 Tidak ada
Dataproc Endpoint API regional:
  • dataproc.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • dataproc-control.googleapis.com
  • dataproc.googleapis.com
 Tidak ada
Kontak Penting Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • essentialcontacts.googleapis.com
 Tidak ada
Filestore Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • file.googleapis.com
 Tidak ada
GKE Hub Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • gkehub.googleapis.com
 Tidak ada
GKE Identity Service Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • anthosidentityservice.googleapis.com
 Tidak ada
Google Cloud Armor Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Fitur yang terpengaruh
Google Cloud console Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • N/A
 Tidak ada
Google Kubernetes Engine Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • container.googleapis.com
  • containersecurity.googleapis.com
 Batasan kebijakan organisasi
Identity and Access Management (IAM) Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • iam.googleapis.com
 Tidak ada
Identity-Aware Proxy (IAP) Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • iap.googleapis.com
 Tidak ada
Memorystore for Redis Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • redis.googleapis.com
 Tidak ada
Network Connectivity Center Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • networkconnectivity.googleapis.com
 Tidak ada
Organization Policy Service Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • orgpolicy.googleapis.com
 Tidak ada
Persistent Disk Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Tidak ada
Pub/Sub Endpoint API regional:
  • pubsub.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • pubsub.googleapis.com
 Tidak ada
Resource Manager Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • cloudresourcemanager.googleapis.com
 Tidak ada
Setelan Resource Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • resourcesettings.googleapis.com
 Tidak ada
Secret Manager Endpoint API regional:
  • secretmanager.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • secretmanager.googleapis.com
 Tidak ada
Sensitive Data Protection Endpoint API regional:
  • dlp.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • dlp.googleapis.com
 Tidak ada
Direktori Layanan Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • servicedirectory.googleapis.com
 Tidak ada
Spanner Endpoint API regional:
  • spanner.me-central2.rep.googleapis.com

Endpoint API lokasi tidak didukung.

Endpoint API global:
  • spanner.googleapis.com
 Tidak ada
Kontrol Layanan VPC Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • accesscontextmanager.googleapis.com
 Tidak ada
Virtual Private Cloud (VPC) Endpoint API regional tidak didukung.
Endpoint API lokasi tidak didukung.

Endpoint API global:
  • compute.googleapis.com
 Tidak ada

Kebijakan organisasi

Bagian ini menjelaskan pengaruh nilai batasan kebijakan organisasi default terhadap setiap layanan saat folder atau project dibuat menggunakan Batas Data KSA dengan Alasan Akses. Batasan lain yang berlaku—meskipun tidak ditetapkan secara default—dapat memberikan "pertahanan mendalam" tambahan untuk lebih melindungi resource organisasi Anda. Google Cloud

Batasan kebijakan organisasi di seluruh cloud

Batasan kebijakan organisasi berikut berlaku di seluruh layanan Google Cloud yang relevan.

Batasan kebijakan organisasi Deskripsi
gcp.resourceLocations Ditetapkan ke in:sa-locations sebagai item daftar allowedValues.

Nilai ini membatasi pembuatan resource baru hanya untuk grup nilai me-central2. Jika ditetapkan, tidak ada resource yang dapat dibuat di region, multi-region, atau lokasi lain di luar KSA. Lihat Layanan yang didukung lokasi resource untuk mengetahui daftar resource yang dapat dibatasi oleh batasan kebijakan organisasi Lokasi Resource, karena beberapa resource mungkin di luar cakupan dan tidak dapat dibatasi.

Mengubah nilai ini dengan membuatnya kurang ketat berpotensi merusak lokalitas data dengan mengizinkan data dibuat atau disimpan di luar batas data yang sesuai.
gcp.restrictServiceUsage Disetel untuk mengizinkan semua layanan yang didukung.

Menentukan layanan mana yang dapat digunakan dengan membatasi akses runtime ke resourcenya. Untuk mengetahui informasi selengkapnya, lihat Membatasi penggunaan resource untuk workload.

Batasan kebijakan organisasi Compute Engine

Batasan kebijakan organisasi Deskripsi
compute.disableGlobalCloudArmorPolicy Tetapkan ke True.

Menonaktifkan pembuatan kebijakan keamanan Google Cloud Armor global baru, dan penambahan atau modifikasi aturan ke kebijakan keamanan Google Cloud Armor global yang ada. Batasan ini tidak membatasi penghapusan aturan atau kemampuan untuk menghapus atau mengubah deskripsi dan listingan kebijakan keamanan Google Cloud Armor global. Kebijakan keamanan Google Cloud Armor regional tidak terpengaruh oleh batasan ini. Semua kebijakan keamanan global dan regional yang ada sebelum pemberlakuan batasan ini tetap berlaku.
compute.disableGlobalLoadBalancing Tetapkan ke True.

Menonaktifkan pembuatan load balancer global.

Mengubah nilai ini dapat memengaruhi residensi data dalam beban kerja Anda; sebaiknya pertahankan nilai yang ditetapkan.
compute.disableInstanceDataAccessApis Tetapkan ke True.

Menonaktifkan instances.getSerialPortOutput() dan instances.getScreenshot() API secara global.

Jika kebijakan organisasi ini diaktifkan, Anda tidak dapat membuat kredensial di VM Windows Server.

Jika Anda perlu mengelola nama pengguna dan sandi di VM Windows, lakukan tindakan berikut:
  1. Aktifkan SSH untuk VM Windows.
  2. Jalankan perintah berikut untuk mengubah sandi VM: 
    gcloud compute ssh
VM_NAME --command "net user USERNAME PASSWORD"
     Ganti kode berikut:
    • VM_NAME: Nama VM yang sandinya Anda tetapkan.
    • USERNAME: Nama pengguna pengguna yang sandinya Anda tetapkan.
    • PASSWORD: Sandi baru.
compute.enableComplianceMemoryProtection Tetapkan ke True.

Menonaktifkan beberapa fitur diagnostik internal untuk memberikan perlindungan tambahan terhadap konten memori saat terjadi kesalahan infrastruktur.

Mengubah nilai ini dapat memengaruhi residensi data dalam beban kerja Anda; sebaiknya pertahankan nilai yang ditetapkan.

Batasan kebijakan organisasi Google Kubernetes Engine

Batasan kebijakan organisasi Deskripsi
container.restrictNoncompliantDiagnosticDataAccess Tetapkan ke True.

Digunakan untuk menonaktifkan analisis gabungan masalah kernel, yang diperlukan untuk mempertahankan kontrol berdaulat atas workload.

Mengubah nilai ini dapat memengaruhi kedaulatan data dalam beban kerja Anda; sebaiknya pertahankan nilai yang ditetapkan.

Fitur yang terpengaruh

Bagian ini mencantumkan bagaimana fitur atau kemampuan setiap layanan terpengaruh oleh Batas Data KSA dengan Justifikasi Akses, termasuk persyaratan pengguna saat menggunakan fitur.

Fitur Bigtable

Fitur Deskripsi
Data Boost Fitur ini dinonaktifkan.

Fitur Compute Engine

Fitur Deskripsi
Google Cloud console Fitur Compute Engine berikut tidak tersedia di konsol Google Cloud . Gunakan API atau Google Cloud CLI jika tersedia:

  1. Health check
  2. Grup endpoint jaringan
  3. SSH berbasis browser dinonaktifkan
Menambahkan grup instance ke load balancer global Anda tidak dapat menambahkan grup instance ke load balancer global.

Fitur ini dinonaktifkan oleh batasan kebijakan organisasi compute.disableGlobalLoadBalancing.
instances.getSerialPortOutput() API ini dinonaktifkan; Anda tidak akan dapat memperoleh output port serial dari instance yang ditentukan menggunakan API ini.

Ubah nilai batasan kebijakan organisasi compute.disableInstanceDataAccessApis menjadi False untuk mengaktifkan API ini. Anda juga dapat mengaktifkan dan menggunakan port serial interaktif.
instances.getScreenshot() API ini dinonaktifkan; Anda tidak akan dapat mengambil screenshot dari instance yang ditentukan menggunakan API ini.

Ubah nilai batasan kebijakan organisasi compute.disableInstanceDataAccessApis menjadi False untuk mengaktifkan API ini. Anda juga dapat mengaktifkan dan menggunakan port serial interaktif.

Fitur Cloud Interconnect

Fitur Deskripsi
VPN ketersediaan tinggi (HA) Anda harus mengaktifkan fungsi VPN dengan ketersediaan tinggi (HA) saat menggunakan Cloud Interconnect dengan Cloud VPN. Selain itu, Anda harus mematuhi persyaratan enkripsi dan regionalisasi yang tercantum di bagian ini.

Fitur Cloud Monitoring

Fitur Deskripsi
Monitor Sintetis Fitur ini dinonaktifkan.
Cek uptime Fitur ini dinonaktifkan.
Widget panel log di Dasbor Fitur ini dinonaktifkan.

Anda tidak dapat menambahkan panel log ke dasbor.
Widget panel pelaporan error di Dasbor Fitur ini dinonaktifkan.

Anda tidak dapat menambahkan panel pelaporan error ke dasbor.
Filter di EventAnnotation untuk Dasbor Fitur ini dinonaktifkan.

Filter EventAnnotation tidak dapat disetel di dasbor.
SqlCondition di alertPolicies Fitur ini dinonaktifkan.

Anda tidak dapat menambahkan SqlCondition ke alertPolicy.

Fitur Cloud Run

Fitur Deskripsi
Fitur yang tidak didukung Fitur Cloud Run berikut tidak didukung:

Fitur Cloud Storage

Fitur Deskripsi
Google Cloud console Anda bertanggung jawab untuk menggunakan Jurisdictional Google Cloud console untuk Batas Data KSA dengan Pembenaran Akses. Konsol Jurisdiksi mencegah upload dan download objek Cloud Storage. Untuk mengupload dan mendownload objek Cloud Storage, lihat baris Endpoint API yang sesuai berikut.
Endpoint API yang sesuai Anda bertanggung jawab untuk menggunakan salah satu endpoint lokasi dengan Cloud Storage. Lihat Lokasi Cloud Storage untuk informasi selengkapnya.

Fitur Google Cloud Armor

Fitur Deskripsi
Kebijakan keamanan dengan cakupan global Fitur ini dinonaktifkan oleh batasan kebijakan organisasi.compute.disableGlobalCloudArmorPolicy

Fitur Cloud VPN

Fitur Deskripsi
Google Cloud console Fitur Cloud VPN tidak tersedia di konsol Google Cloud . Gunakan API atau Google Cloud CLI sebagai gantinya.

Catatan kaki

1. BigQuery didukung, tetapi tidak otomatis diaktifkan saat Anda membuat folder Assured Workloads baru karena proses konfigurasi internal. Proses ini biasanya selesai dalam sepuluh menit, tetapi dapat memakan waktu lebih lama dalam beberapa keadaan. Untuk memeriksa apakah proses telah selesai dan mengaktifkan BigQuery, selesaikan langkah-langkah berikut:

  1. Di konsol Google Cloud , buka halaman Assured Workloads.

    Buka Assured Workloads

  2. Pilih folder Assured Workloads baru Anda dari daftar.
  3. Di halaman Folder Details di bagian Allowed services, klik Review Available Updates.
  4. Di panel Layanan yang diizinkan, tinjau layanan yang akan ditambahkan ke kebijakan organisasi Pembatasan Penggunaan Resource untuk folder. Jika layanan BigQuery tercantum, klik Izinkan Layanan untuk menambahkannya.

    Jika layanan BigQuery tidak tercantum, tunggu hingga proses internal selesai. Jika layanan tidak tercantum dalam waktu 12 jam setelah pembuatan folder, hubungi Cloud Customer Care.

Setelah proses pengaktifan selesai, Anda dapat menggunakan BigQuery di folder Assured Workloads Anda.

Gemini di BigQuery tidak didukung oleh Assured Workloads.