含存取依據的瑞士資料邊界

本頁面說明在 Assured Workloads 中，套用至含存取依據的瑞士資料邊界工作負載的一組控制項。其中詳細說明瞭資料落地、支援的產品 Google Cloud 及其 API 端點，以及這些產品適用的限制。含存取依據的瑞士資料邊界適用下列額外資訊：

  • 資料落地：含存取依據的瑞士資料邊界控制套件會設定資料位置控制項，以便僅支援瑞士區域。詳情請參閱「Google Cloud-wide 組織政策限制」一節。
  • 支援：如要取得含存取依據的瑞士資料邊界工作負載技術支援服務，請訂閱 Enhanced 或 Premium Cloud Customer Care。含存取依據的瑞士資料邊界工作負載支援案件，會轉送給位於歐盟的歐盟人員。詳情請參閱「取得支援」一文。
  • 價格：含存取依據的瑞士資料邊界控制套件包含在 Assured Workloads Premium 層級中，因此會產生 5% 的額外費用。詳情請參閱 Assured Workloads 定價。

必要條件

請先確認您符合並已完成下列必要條件，再將工作負載部署至含存取依據的瑞士資料邊界：

支援的產品和 API 端點

除非另有註明，否則使用者可以透過 Google Cloud 控制台存取所有支援的產品。 下表列出會影響支援產品功能的限制，包括透過機構政策限制設定強制執行的限制。

如果產品未列出，表示該產品不受支援，且不符合含存取依據的瑞士資料邊界控制項規定。如未盡到應盡的盡職調查，並充分瞭解共同責任模式中的責任，建議不要使用不受支援的產品。使用不支援的產品前，請務必瞭解並願意接受任何相關風險，例如對資料落地或資料主權的負面影響。

支援的產品 API 端點 限制
身分與存取權管理 (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 無
Resource Manager cloudresourcemanager.googleapis.com
 無

規定與限制

以下各節說明功能 Google Cloud層面或產品專屬的限制，包括在含存取依據的瑞士資料邊界資料夾中預設設定的任何機構政策限制。其他適用的機構政策限制 (即使不是預設設定) 可提供額外的縱深防禦，進一步保護機構的 Google Cloud 資源。

Google Cloud-wide

受影響的 Google Cloud功能

功能 說明
Google Cloud 控制台 使用含存取依據的瑞士資料邊界控制套件時，如要存取 Google Cloud 控制台，請使用下列任一網址：

Google Cloud全機構適用的組織政策限制

下列機構政策限制適用於所有 Google Cloud。

機構政策限制 說明
gcp.resourceLocations 在 allowedValues 清單中設為下列地點：
  • europe-west6
這個值會將新資源的建立作業限制在所選值。設定後，您就無法在所選區域、多區域或位置以外的任何其他區域建立資源。如要查看可透過「資源位置」機構政策限制的資源清單，請參閱「資源位置支援的服務」，因為部分資源可能超出範圍，無法受到限制。

如果變更這個值，放寬限制，可能會允許在符合規定的資料邊界外建立或儲存資料，進而破壞資料落地設定。
gcp.restrictCmekCryptoKeyProjects 設為 under:organizations/your-organization-name，也就是您的 Assured Workloads 機構。您可以指定專案或資料夾，進一步限制這個值。

限制可提供 Cloud KMS 金鑰的核准資料夾或專案範圍，以使用 CMEK 加密靜態資料。這項限制可防止未獲核准的資料夾或專案提供加密金鑰，因此有助於確保適用範圍內服務的待用資料具有資料主權。
gcp.restrictServiceUsage 設為允許所有支援的產品和 API 端點。

限制對資源的執行階段存取權，決定可使用的服務。詳情請參閱「限制資源用量」。
gcp.restrictTLSVersion 設為拒絕下列 TLS 版本：
  • TLS_1_0
  • TLS_1_1
詳情請參閱「限制 TLS 版本」。

後續步驟