Globale und regionale Endpunkte für den Schutz sensibler Daten

In diesem Dokument werden die verschiedenen Arten von API-Endpunkten beschrieben, die mit Sensitive Data Protection verfügbar sind. Außerdem enthält es wichtige Punkte, die Sie bei der Entscheidung berücksichtigen sollten, welcher Endpunkttyp in Ihren Anfragen zum Schutz sensibler Daten verwendet werden soll. Allgemeine Informationen zu den verschiedenen Arten von API-Endpunkten finden Sie in der Assured Workloads-Dokumentation unter API-Endpunkttypen.

Ein API-Endpunkt (oder Dienstendpunkt) ist eine Basis-URL, die die Netzwerkadresse eines Google Cloud API-Dienstes wie Sensitive Data Protection angibt. Sensitive Data Protection hat globale und regionale Endpunkte.

Globaler API-Endpunkt

Der globale Endpunkt von Sensitive Data Protection ist dlp.googleapis.com.

Global ausgerichtete Endpunkte bieten hochverfügbare Dienstendpunkte, die die TLS-Sitzung so nah wie möglich am Client beenden. Dadurch wird die Latenz beim Bereitstellen von API-Aufrufen von einer verteilten Clientpopulation über das Internet minimiert.

Wenn Sie eine Anfrage an einen globalen Endpunkt senden, können Sie den Standort angeben, an dem die Anfrage verarbeitet werden soll.

Anfragen an einen globalen Endpunkt ohne Angabe eines Standorts

Wenn Sie in Ihrer Anfrage keinen Standort angeben oder die Region global angeben, wird die Anfrage in der Region global verarbeitet. Wenn Sie beispielsweise eine POST-Anfrage an die folgende URL senden, wird die Anfrage an den globalen Endpunkt gesendet und in der Region global verarbeitet.

https://dlp.googleapis.com/v2/projects/example-project/content:inspect

Anfragen an einen globalen Endpunkt mit Angabe eines Standorts

Wenn Sie in Ihrer Anfrage an einen globalen Endpunkt einen Standort angeben, wird die Anfrage an den globalen Endpunkt gesendet und in der von Ihnen angegebenen Region oder Multiregion verarbeitet. Wenn Sie beispielsweise eine POST-Anfrage an die folgende URL senden, wird die Anfrage an den globalen Endpunkt gesendet und in der Region us-west1 verarbeitet.

https://dlp.googleapis.com/v2/projects/example-project/locations/us-west1/content:inspect

Es gibt keine Garantie dafür, dass die übertragenen Daten in der von Ihnen angegebenen Verarbeitungsregion verbleiben. Wenn Sie Daten bei der Übertragung nicht in einer bestimmten Region aufbewahren müssen, reicht es aus, den globalen Endpunkt auf diese Weise aufzurufen.

Regionale API-Endpunkte

Mit regionalen Endpunkten (Regional Endpoints, REP) können Sie dafür sorgen, dass Daten bei der Übertragung in einer bestimmten Region bleiben. Bei einem regionalen Endpunkt wird der Standort als Subdomain angegeben, z. B. dlp.us-west1.rep.googleapis.com.

Ein regionaler Endpunkt für Sensitive Data Protection hat das folgende Format:

dlp.REP_REGION.rep.googleapis.com

Ersetzen Sie REP_REGION durch einen regionalen Endpunkt, der für den Schutz sensibler Daten verfügbar ist.

Regionale Endpunkte beenden TLS-Sitzungen an dem vom Endpunkt angegebenen Standort für Anfragen aus dem öffentlichen Internet oder über private Verbindungen.

Regionale Endpunkte stellen den Datenstandort sicher, indem inaktive, verwendete und übertragene Daten nicht aus dem vom Endpunkt angegebenen Standort verschoben werden können. Diese Garantie schließt Dienstdaten aus. Weitere Informationen finden Sie unter Hinweis zu Kundendaten und Dienstdaten.

Zwischen globalen und regionalen Endpunkten wählen

Berücksichtigen Sie bei der Auswahl zwischen globalen und regionalen Endpunkten Folgendes:

  • Wenn Ihre Organisation verpflichtet ist, inaktive, aktive und übertragene Daten in einer bestimmten Region zu speichern, müssen Sie regionale Endpunkte verwenden. Wenn Sie nicht verpflichtet sind, Daten bei der Übertragung in einer bestimmten Region zu speichern, können Sie globale Endpunkte verwenden.

  • Regionale Endpunkte werden nur an einer begrenzten Anzahl von Standorten unterstützt. Eine vollständige Liste der Regionen und Multiregionen, in denen Sensitive Data Protection verfügbar ist, finden Sie unter Standorte für Sensitive Data Protection.

  • Für Sensitive Data Protection gelten separate Kontingente für Folgendes:

    • Anfragen an den globalen Endpunkt ohne Angabe eines Standorts (Verarbeitung in der Region global)
    • Anfragen an den globalen Endpunkt, bei denen ein Verarbeitungsstandort angegeben ist (Verarbeitung in der angegebenen Region)
    • Anfragen an regionale Endpunkte

    Die Kontingente für regionale Endpunkte sind niedriger als die Kontingente für die anderen beiden.

  • Wenn Ihre Clientanwendung für die Verwendung globaler Endpunkte konfiguriert ist und Sie regionale Endpunkte verwenden möchten, müssen Sie Ihre Clientanwendung so konfigurieren, dass die REP-unterstützte Region oder Multiregion im Subdomain- und Pfadteil jedes Hostnamens angegeben wird, den Sie in Ihren Anfragen verwenden. Weitere Informationen finden Sie unter Region in einer Anfrage an einen regionalen Endpunkt angeben.

Nutzung globaler API-Endpunkt einschränken

Um die Verwendung regionaler Endpunkte zu erzwingen, können Sie die Organisationsrichtlinieneinschränkung constraints/gcp.restrictEndpointUsage verwenden, um Anfragen an den globalen API-Endpunkt zu blockieren. Weitere Informationen finden Sie in der Assured Workloads-Dokumentation unter Endpunktnutzung einschränken.

Nächste Schritte