美國醫療照護與生命科學資料邊界

本頁面說明在 Assured Workloads 中，套用至美國醫療照護與生命科學資料邊界工作負載的一組控管措施。其中提供資料落地、支援的產品 Google Cloud 及其 API 端點，以及這些產品的任何適用限制或限制的詳細資訊。

美國醫療照護與生命科學資料邊界可讓您執行符合《健康保險流通與責任法案》(HIPAA) 和健康資訊信賴聯盟 (HITRUST) 規定的工作負載。如要查看支援的產品，請前往《健康保險流通與責任法案》業務夥伴協議 (BAA) 頁面Google Cloud，以及 HITRUST Common Security Framework (CSF) 頁面Google Cloud。

以下額外資訊適用於美國醫療照護與生命科學資料邊界：

  • 資料落地：美國醫療照護與生命科學資料邊界控制套件會設定資料位置控制項，以便僅支援美國的區域。詳情請參閱「Google Cloud-wide 組織政策限制」一節。
  • 支援：如要取得美國醫療照護與生命科學資料邊界工作負載的技術支援服務，請訂閱 Standard、Enhanced 或 Premium Cloud Customer Care 方案。美國醫療照護與生命科學資料邊界工作負載支援案件會轉送給全球支援人員。如需更嚴格的支援人員控管選項，建議改用「美國醫療照護與生命科學資料邊界與支援」控管套件。
  • 價格：美國醫療照護與生命科學資料邊界控制套件包含在 Assured Workloads 的免費層級中，因此不會產生額外費用。詳情請參閱 Assured Workloads 定價。

必要條件

如要繼續使用美國醫療照護與生命科學資料邊界控管套件，請確認您符合並遵守下列先決條件：

  • 使用 Assured Workloads 建立美國醫療照護與生命科學資料邊界資料夾，並只在該資料夾中部署《健康保險流通與責任法案》或 HITRUST 工作負載。

  • 僅針對美國醫療照護與生命科學資料邊界工作負載，啟用及使用適用範圍內的服務。如果您修改在 Assured Workloads 資料夾中設定的「限制服務用量」(gcp.restrictServiceUsage) 機構政策限制，啟用任何其他服務，即表示您選擇接受相關風險，如「Assured Workloads 中的責任分擔」一文所述。此外，還須符合下列先決條件：

  • 除非另有註明，否則請勿使用 Google Cloud MCP 伺服器。 美國醫療照護與生命科學資料邊界不會針對 Google Cloud MCP 伺服器上使用中和傳輸中的資料，提供資料落地控管。如要封鎖不必要的 Google Cloud MCP 伺服器存取權，請參閱「使用 IAM 頁面控管 Google Cloud MCP 伺服器使用情形」頁面。

  • 除非您瞭解並願意承擔可能發生的資料落地風險，否則請勿變更機構政策限制的預設值。

  • 建議您採用Google Cloud 安全性最佳做法中心提供的一般安全性最佳做法。

支援的產品和 API 端點

除非另有註明，否則使用者可以透過 Google Cloud 控制台存取所有支援的產品。 下表列出會影響支援產品功能的限制，包括透過機構政策限制設定強制執行的限制。

如果產品未列出，表示該產品不支援，且未符合美國醫療照護與生命科學資料邊界的控管規定。如未盡到應盡的盡職調查，並充分瞭解共同責任模式中的責任，建議不要使用不受支援的產品。使用不支援的產品前，請務必瞭解並願意接受任何相關風險，例如對資料落地或資料主權的負面影響。

支援的產品 API 端點 限制
存取權核准 accessapproval.googleapis.com
 無
Access Context Manager accesscontextmanager.googleapis.com
 無
資料存取透明化控管機制 accessapproval.googleapis.com
 無
Agent Assist dialogflow.googleapis.com
 無
AlloyDB for PostgreSQL alloydb.googleapis.com
 無
Apigee apigee.googleapis.com
 無
Application Integration integrations.googleapis.com
 無
Artifact Registry artifactregistry.googleapis.com
 無
AutoML Tables aiplatform.googleapis.com
 無
備份和災難復原服務 backupdr.googleapis.com
 無
Google Kubernetes Engine (GKE) 的備份 gkebackup.googleapis.com
 無
BigQuery bigquery.googleapis.com
bigqueryconnection.googleapis.com
bigquerydatapolicy.googleapis.com
bigquerydatatransfer.googleapis.com
bigqueryreservation.googleapis.com
bigquerystorage.googleapis.com
 受影響的功能
BigQuery 資料移轉服務 bigquerydatatransfer.googleapis.com
 無
Bigtable bigtable.googleapis.com
bigtableadmin.googleapis.com
 受影響的功能
二進位授權 binaryauthorization.googleapis.com
 無
憑證授權單位服務 privateca.googleapis.com
 無
Certificate Manager certificatemanager.googleapis.com
 無
Cloud Asset Inventory cloudasset.googleapis.com
 無
Cloud Build cloudbuild.googleapis.com
 無
Cloud DNS dns.googleapis.com
 無
Cloud Data Fusion datafusion.googleapis.com
 無
Cloud Deploy clouddeploy.googleapis.com
 無
Cloud HSM cloudkms.googleapis.com
 無
Cloud Healthcare API healthcare.googleapis.com
 無
Cloud Interconnect compute.googleapis.com
 受影響的功能
Cloud Key Management Service (Cloud KMS) cloudkms.googleapis.com
 無
Cloud Logging logging.googleapis.com
 受影響的功能
Cloud Monitoring monitoring.googleapis.com
 受影響的功能
Cloud Router compute.googleapis.com
 無
Cloud Run run.googleapis.com
 受影響的功能
Cloud Run functions run.googleapis.com
 無
Cloud SQL sqladmin.googleapis.com
 無
Cloud Service Mesh mesh.googleapis.com
meshca.googleapis.com
meshconfig.googleapis.com
trafficdirector.googleapis.com
networkservices.googleapis.com
 無
Cloud Storage storage.googleapis.com
 無
Cloud Tasks cloudtasks.googleapis.com
 無
Cloud VPN compute.googleapis.com
 受影響的功能
Cloud Vision API vision.googleapis.com
 受影響的功能
Compute Engine compute.googleapis.com
 受影響的功能 和機構政策限制
Dialogflow CX dialogflow.googleapis.com
 無
Customer Experience Insights contactcenterinsights.googleapis.com
 無
Dataflow dataflow.googleapis.com
datapipelines.googleapis.com
 無
Dataform dataform.googleapis.com
 無
Document AI documentai.googleapis.com
 無
Eventarc eventarc.googleapis.com
 無
外部直通式網路負載平衡器 compute.googleapis.com
 無
Filestore file.googleapis.com
 無
Firestore firestore.googleapis.com
 無
Google Kubernetes Engine (GKE) Hub gkehub.googleapis.com
 無
Vertex AI 生成式 AI aiplatform.googleapis.com
 無
Google Cloud Armor compute.googleapis.com
networksecurity.googleapis.com
 受影響的功能
Google Kubernetes Engine (GKE) container.googleapis.com
containersecurity.googleapis.com
 無
身分與存取權管理 (IAM) iam.googleapis.com
policytroubleshooter.googleapis.com
 無
Identity-Aware Proxy (IAP) iap.googleapis.com
 無
內部直通式網路負載平衡器 compute.googleapis.com
 無
金鑰存取依據 cloudekm.googleapis.com
cloudkms.googleapis.com
 無
Knowledge Catalog dataplex.googleapis.com
datalineage.googleapis.com
 受影響的功能
Looker (Google Cloud Core) looker.googleapis.com
 無
Managed Service for Apache Airflow composer.googleapis.com
 無
Managed Service for Apache Spark dataproc-control.googleapis.com
dataproc.googleapis.com
 無
Memorystore for Redis redis.googleapis.com
 無
Model Armor modelarmor.googleapis.com
 無
Network Connectivity Center networkconnectivity.googleapis.com
 受影響的功能
Persistent Disk compute.googleapis.com
 無
Pub/Sub pubsub.googleapis.com
 組織政策限制
區域性外部應用程式負載平衡器 compute.googleapis.com
 無
區域性外部 Proxy 網路負載平衡器 compute.googleapis.com
 無
區域性內部應用程式負載平衡器 compute.googleapis.com
 無
區域性內部 Proxy 網路負載平衡器 compute.googleapis.com
 無
Secret Manager secretmanager.googleapis.com
 無
Secure Source Manager securesourcemanager.googleapis.com
 無
Security Command Center Premium securitycenter.googleapis.com
securitycentermanagement.googleapis.com
securityposture.googleapis.com
websecurityscanner.googleapis.com
 無
Sensitive Data Protection dlp.googleapis.com
 無
Spanner spanner.googleapis.com
 受影響的功能 和機構政策限制
Speech-to-Text speech.googleapis.com
 無
Storage 移轉服務 storagetransfer.googleapis.com
 無
Text-to-Speech texttospeech.googleapis.com
 無
VPC Service Controls accesscontextmanager.googleapis.com
accesscontextintelligence.googleapis.com
 無
Vertex AI 批次預測 aiplatform.googleapis.com
 無
Vertex AI 線上預測 aiplatform.googleapis.com
 無
Agent Search discoveryengine.googleapis.com
 無
Vertex AI Training aiplatform.googleapis.com
 無
Vertex AI Workbench notebooks.googleapis.com
 無
虛擬私有雲 (VPC) compute.googleapis.com
 無

規定與限制

以下各節說明功能層面或產品專屬的限制，包括美國醫療照護與生命科學資料邊界資料夾預設的機構政策限制。 Google Cloud其他適用的機構政策限制 (即使不是預設設定) 可提供額外的縱深防禦，進一步保護機構的 Google Cloud 資源。

Google Cloud-wide

Google Cloud全機構適用的組織政策限制

下列機構政策限制適用於所有 Google Cloud。

機構政策限制 說明
gcp.resourceLocations 在 allowedValues 清單中設為下列地點：
  • us
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-south1
  • us-west1
  • us-west2
  • us-west3
  • us-west4
這個值會將新資源的建立作業限制在所選值。設定後，您就無法在所選區域、多區域或位置以外的任何其他區域建立資源。如要查看可透過「資源位置」機構政策限制的資源清單，請參閱「資源位置支援的服務」，因為部分資源可能超出範圍，無法受到限制。

如果變更這個值，放寬限制，可能會允許在符合規定的資料邊界外建立或儲存資料，進而破壞資料落地設定。
gcp.restrictNonCmekServices 設定為所有適用範圍內API 服務名稱的清單，包括：
  • bigquerydatatransfer.googleapis.com
上述各項服務的部分功能可能會受到影響。

清單中的每項服務都必須使用客戶自行管理的加密金鑰 (CMEK)。CMEK 會使用您管理的金鑰加密靜態資料，而非 Google 的預設加密機制。

從清單中移除一或多個適用範圍內的服務來變更這個值，可能會損害資料主權，因為新的靜態資料會自動使用 Google 專屬金鑰加密，而非您的金鑰。現有的靜態資料仍會以您提供的金鑰加密。
gcp.restrictServiceUsage 設為允許所有支援的產品和 API 端點。

限制對資源的執行階段存取權，決定可使用的服務。詳情請參閱「限制資源用量」。
gcp.restrictTLSVersion 設為拒絕下列 TLS 版本：
  • TLS_1_0
  • TLS_1_1
詳情請參閱「限制 TLS 版本」。

BigQuery

受影響的 BigQuery 功能

功能 說明
在新資料夾中啟用 BigQuery 系統支援 BigQuery，但由於內部設定程序，建立新的 Assured Workloads 資料夾時不會自動啟用 BigQuery。這項程序通常會在十分鐘內完成，但在某些情況下可能需要更多時間。如要檢查程序是否完成並啟用 BigQuery，請完成下列步驟：
  1. 前往 Google Cloud 控制台的「Assured Workloads」頁面。

    前往 Assured Workloads

  2. 從清單中選取新的 Assured Workloads 資料夾。
  3. 在「Allowed services」(允許的服務) 區段的「Folder Details」(資料夾詳細資料) 頁面中，按一下「Review Available Updates」(查看可用更新)。
  4. 在「Allowed services」(允許的服務) 窗格中，查看要新增至資料夾「資源用量限制」機構政策的服務。如果列出 BigQuery 服務，請按一下「允許服務」新增服務。

    如果未列出 BigQuery 服務，請等待內部程序完成。如果服務未在資料夾建立後的 12 小時內列出，請與 Cloud Customer Care 聯絡。

啟用程序完成後，您就可以在 Assured Workloads 資料夾中使用 BigQuery。

Assured Workloads 不支援 Gemini in BigQuery。
不支援的功能 BigQuery CLI 不支援下列 BigQuery 功能，請勿使用。您有責任確保不會在 BigQuery 中使用這些模型處理 Assured Workloads。
BigQuery CLI 支援 BigQuery CLI。

Google Cloud SDK 您必須使用 Google Cloud SDK 403.0.0 以上版本，才能確保技術資料的資料區域化。如要確認目前的 Google Cloud SDK 版本，請執行 gcloud --version，然後執行 gcloud components update，更新至最新版本。
管理員控制項 BigQuery 會停用不支援的 API，但具備足夠權限建立 Assured Workloads 資料夾的管理員，可以啟用不支援的 API。如果發生這種情況，您會透過 Assured Workloads 監控資訊主頁收到潛在不符規定的通知。
正在載入資料 不支援 Google 軟體即服務 (SaaS) 應用程式、外部雲端儲存空間供應商和資料倉儲的 BigQuery 資料移轉服務連接器。您有責任確保不使用 BigQuery 資料移轉服務連接器，處理美國資料邊界內的醫療保健和生命科學工作負載。
第三方轉移 BigQuery 不會驗證 BigQuery 資料移轉服務是否支援第三方轉移。使用任何第三方移轉服務搭配 BigQuery 資料移轉服務時，您有責任確認支援情況。
不符規定的 BQML 模型 不支援外部訓練的 BQML 模型。
查詢工作 查詢作業只能在 Assured Workloads 資料夾中建立。
查詢其他專案中的資料集 BigQuery 不會禁止從非 Assured Workloads 專案查詢 Assured Workloads 資料集。請務必將對 Assured Workloads 資料進行讀取或聯結的任何查詢，放在 Assured Workloads 資料夾中。您可以在 BigQuery CLI 中使用 projectname.dataset.table，為查詢結果指定完整格式的資料表名稱。
Cloud Logging BigQuery 會使用 Cloud Logging 處理部分記錄檔資料。您應停用 _default 記錄檔 bucket，或將 _default bucket 限制在適用範圍內的區域，以使用下列指令維持法規遵循狀態：

gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink

詳情請參閱「將記錄檔區域化」。

Bigtable

受影響的 Bigtable 功能

功能 說明
Data Boost 這項功能已停用。
分割邊界 Bigtable 會使用一小部分的資料列索引鍵定義分割邊界，其中可能包含客戶資料和中繼資料。Bigtable 中的分割邊界表示資料表中的連續資料列範圍分割成子表的位置。

Google 人員可基於技術支援和偵錯目的存取這些分割邊界，且這些邊界不受 Assured Workloads 的管理存取資料控管機制限制。

Cloud Interconnect

受影響的 Cloud Interconnect 功能

功能 說明
高可用性 (HA) VPN 使用 Cloud Interconnect 和 Cloud VPN 時，必須啟用高可用性 (HA) VPN 功能。此外，您必須遵守「受影響的 Cloud VPN 功能」一節列出的加密和區域化規定。

Cloud Logging

受影響的 Cloud Logging 功能

功能 說明
記錄檔接收器 篩選器不得包含客戶資料。

記錄接收器包含篩選器，篩選器會儲存為設定。請勿建立含有顧客資料的篩選器。
即時追蹤記錄項目 篩選器不得包含客戶資料。

即時追蹤工作階段包含篩選器，並儲存為設定。追蹤記錄本身不會儲存任何記錄項目資料，但可以查詢及傳輸跨區域的資料。請勿建立含有顧客資料的篩選器。
以 SQL 為基礎的警告政策 這項功能已停用。

您無法使用以 SQL 為基礎的警告政策功能。

Cloud Monitoring

受影響的 Cloud Monitoring 功能

功能 說明
綜合監控項目 這項功能已停用。
運作時間檢查 這項功能已停用。

Cloud Run

受影響的 Cloud Run 功能

功能 說明
不支援的功能 系統不支援下列 Cloud Run 功能：

Cloud Vision API

受影響的 Cloud Vision API 功能

功能 說明
符合 HCLS 標準的 Cloud Vision API 端點 您有責任僅使用美國地區 API 端點 (us-vision.googleapis.com) 存取 Cloud Vision API。全域端點 (vision.googleapis.com) 不符合 HCLS 規範，使用該端點可能會影響工作負載的資料落地。

Cloud VPN

受影響的 Cloud VPN 功能

功能 說明
VPN 端點 您只能使用位於適用區域的 Cloud VPN 端點。請確保 VPN 閘道僅在適用範圍內的區域設定使用。

Compute Engine

受影響的 Compute Engine 功能

功能 說明
訪客環境 訪客環境隨附的指令碼、常駐程式和二進位檔可能會存取未加密的靜態和使用中資料。視 VM 設定而定，系統可能會預設安裝這類軟體的更新。如要瞭解各套件的內容、原始碼等具體資訊，請參閱「訪客環境」。

這些元件可透過內部安全控管和程序，協助您符合資料主權規定。不過，如要進一步控管，您也可以自行管理圖片或代理程式，並視需要使用 compute.trustedImageProjects 組織政策限制。

詳情請參閱「建構自訂映像檔」。
VM 管理員中的 OS 政策 作業系統政策檔案中的內嵌指令碼和二進位輸出檔案，不會使用客戶自行管理的加密金鑰 (CMEK) 加密。請勿在這些檔案中提供任何私密資訊。建議將這些指令碼和輸出檔案儲存在 Cloud Storage bucket 中。詳情請參閱作業系統政策範例。

如要限制建立或修改使用內嵌指令碼或二進位輸出檔案的 OS 政策資源，請啟用constraints/osconfig.restrictInlineScriptAndOutputFileUsage組織政策限制。

詳情請參閱「OS Config 的限制」。

Compute Engine 機構政策限制

機構政策限制 說明
compute.disableGlobalCloudArmorPolicy 設為 True。

禁止建立新的全域 Google Cloud Armor 安全性政策，以及禁止在現有全域 Google Cloud Armor 安全性政策中新增或修改規則。這項限制未禁止移除規則，或者移除或變更全域 Google Cloud Armor 安全性政策的說明和清單。區域性 Google Cloud Armor 安全性政策不受此限制影響。在此限制強制執行前已存在的全域和區域性安全性政策將繼續生效。
compute.restrictNonConfidentialComputing

 (選用) 未設定值。請設定這個值，以提供額外的縱深防禦機制。詳情請參閱機密 VM 說明文件。
compute.trustedImageProjects

 (選用) 未設定值。設定這個值，提供額外的縱深防禦。

設定這個值後，映像檔儲存空間和磁碟執行個體化作業就會受到限制，只能使用指定專案清單中的專案。這個值會禁止使用任何未經授權的映像檔或代理程式，進而影響資料主權。

Knowledge Catalog

Knowledge Catalog 功能

功能 說明
屬性儲存庫 這項功能已淘汰並停用。
Data Catalog 這項功能已淘汰並停用。您無法在 Data Catalog 中搜尋或管理中繼資料。
資料湖泊與可用區 這項功能已停用。無法管理湖泊、區域和工作。

Google Cloud Armor

受影響的 Google Cloud Armor 功能

功能 說明
全域範圍的安全性政策 這項功能已遭compute.disableGlobalCloudArmorPolicy機構政策限制停用。

Network Connectivity Center

受影響的 Network Connectivity Center 功能

功能 說明
Google Cloud 控制台 Google Cloud 控制台不支援 Network Connectivity Center 功能。請改用 API 或 Google Cloud CLI。

Pub/Sub

Pub/Sub 機構政策限制

機構政策限制 說明
pubsub.managed.disableSubscriptionMessageTransforms 設為 True。

禁止使用單一訊息轉換 (SMT) 設定 Pub/Sub 訂閱項目。

變更這個值可能會影響工作負載的資料落地或資料主權。
pubsub.managed.disableTopicMessageTransforms 設為 True。

禁止 Pub/Sub 主題設定單一訊息轉換 (SMT)。

變更這個值可能會影響工作負載的資料落地或資料主權。

Spanner

受影響的 Spanner 功能

功能 說明
分割邊界 Spanner 會使用一小部分主鍵和索引資料欄定義分割邊界，其中可能包含客戶資料和中繼資料。Spanner 中的分割界線表示連續資料列範圍分割成較小區塊的位置。

Google 人員可基於技術支援和偵錯目的存取這些分割邊界，且這些邊界不受 Assured Workloads 的管理存取資料控管機制限制。

Spanner 機構政策限制

機構政策限制 說明
spanner.assuredWorkloadsAdvancedServiceControls 設為 True。

對 Spanner 資源套用額外的資料主權和支援性控制項。
spanner.disableMultiRegionInstanceIfNoLocationSelected 設為 True。

禁止建立多區域 Spanner 執行個體，以強制執行資料落地和資料主權。

後續步驟