EU のデータ境界とサポート
このページでは、Assured Workloads の EU データ境界とサポート ワークロードに適用される一連の制御について説明します。データ所在地、サポートされている Google Cloud プロダクトとその API エンドポイント、それらのプロダクトに適用される制限事項に関する詳細情報が提供されます。EU のデータ境界とサポートには、次の追加情報が適用されます。
- データ所在地: EU データ境界とサポートのコントロール パッケージは、EU のみのリージョンをサポートするデータ ロケーション コントロールを設定します。詳細については、Google Cloud全体の組織のポリシーの制約をご覧ください。
- サポート: EU データ境界とサポート ワークロードのテクニカル サポート サービスは、エンハンストまたはプレミアムの Cloud カスタマーケア サブスクリプションでご利用いただけます。EU データ境界とサポート ワークロードのサポートケースは、EU 在住の EU 担当者に転送されます。詳細については、サポートを受けるをご覧ください。
- 料金: EU データ境界とサポートのコントロール パッケージは、Assured Workloads のプレミアム ティアに含まれており、5% の追加料金が発生します。詳細については、Assured Workloads の料金をご覧ください。
サポートされているプロダクトと API エンドポイント
特に明記されていない限り、ユーザーは Google Cloud コンソールからすべてのサポート対象プロダクトにアクセスできます。サポートされているプロダクトの機能に影響する制限事項（組織のポリシーの制約の設定によって適用される制限事項を含む）を次の表に示します。
プロダクトがリストにない場合、そのプロダクトはサポートされておらず、EU データ境界とサポートの制御要件を満たしていません。デュー デリジェンスや責任共有モデルにおけるお客様の責任を十分に理解せずに、サポート対象外のプロダクトを使用することはおすすめしません。サポートされていないプロダクトを使用する前に、データ所在地やデータ主権への悪影響など、関連するリスクを認識し、受け入れることを確認してください。
| サポートされているサービス | API エンドポイント | 制限事項 |
|---|---|---|
| アクセス承認 |
accessapproval.googleapis.com |
なし |
| Access Context Manager |
accesscontextmanager.googleapis.com |
なし |
| アクセスの透明性 |
accessapproval.googleapis.com |
なし |
| AlloyDB for PostgreSQL |
alloydb.googleapis.com |
なし |
| Cloud Service Mesh |
mesh.googleapis.commeshca.googleapis.commeshconfig.googleapis.com |
なし |
| Apigee |
apigee.googleapis.com |
なし |
| Artifact Registry |
artifactregistry.googleapis.com |
なし |
| Backup for GKE |
gkebackup.googleapis.com |
なし |
| BigQuery |
bigquery.googleapis.combigqueryconnection.googleapis.combigquerydatapolicy.googleapis.combigquerydatatransfer.googleapis.combigquerymigration.googleapis.combigqueryreservation.googleapis.combigquerystorage.googleapis.com |
影響を受ける機能 |
| Bigtable |
bigtable.googleapis.combigtableadmin.googleapis.com |
なし |
| Binary Authorization |
binaryauthorization.googleapis.com |
なし |
| Certificate Authority Service |
privateca.googleapis.com |
なし |
| Cloud Asset Inventory |
cloudasset.googleapis.com |
なし |
| Cloud Build |
cloudbuild.googleapis.com |
なし |
| Cloud Composer |
composer.googleapis.com |
なし |
| Cloud DNS |
dns.googleapis.com |
なし |
| Cloud Data Fusion |
datafusion.googleapis.com |
なし |
| Cloud External Key Manager（Cloud EKM） |
cloudkms.googleapis.com |
なし |
| Cloud HSM |
cloudkms.googleapis.com |
なし |
| Cloud Interconnect |
compute.googleapis.com |
なし |
| Cloud Key Management Service（Cloud KMS） |
cloudkms.googleapis.com |
なし |
| Cloud Load Balancing |
compute.googleapis.com |
なし |
| Cloud Logging |
logging.googleapis.com |
影響を受ける機能 |
| Cloud Monitoring |
monitoring.googleapis.com |
なし |
| Cloud NAT |
compute.googleapis.com |
なし |
| Cloud OS Login API |
oslogin.googleapis.com |
なし |
| Cloud Router |
compute.googleapis.com |
なし |
| Cloud Run |
run.googleapis.com |
影響を受ける機能 |
| Cloud Run functions |
run.googleapis.com |
なし |
| Cloud SQL |
sqladmin.googleapis.com |
なし |
| Cloud SQL for PostgreSQL |
sqladmin.googleapis.com |
なし |
| Cloud Storage |
storage.googleapis.com |
なし |
| Cloud Tasks |
cloudtasks.googleapis.com |
なし |
| Cloud VPN |
compute.googleapis.com |
なし |
| Cloud Vision API |
vision.googleapis.com |
なし |
| Cloud Workstations |
workstations.googleapis.com |
なし |
| Compute Engine |
compute.googleapis.com |
影響を受ける機能と組織のポリシーの制約 |
| Config Sync |
anthosconfigmanagement.googleapis.com |
なし |
| Connect |
gkeconnect.googleapis.com |
なし |
| Sensitive Data Protection |
dlp.googleapis.com |
なし |
| データベース センター |
Not applicable |
なし |
| Dataflow |
dataflow.googleapis.comdatapipelines.googleapis.com |
なし |
| Dataform |
dataform.googleapis.com |
なし |
| Dataplex Universal Catalog |
dataplex.googleapis.comdatalineage.googleapis.com |
なし |
| Dataproc |
dataproc-control.googleapis.comdataproc.googleapis.com |
なし |
| Document AI |
documentai.googleapis.com |
なし |
| 重要な連絡先 |
essentialcontacts.googleapis.com |
なし |
| Eventarc |
eventarc.googleapis.com |
なし |
| Filestore |
file.googleapis.com |
なし |
| Firebase セキュリティ ルール |
firebaserules.googleapis.com |
なし |
| Firestore |
firestore.googleapis.com |
なし |
| GKE Hub |
gkehub.googleapis.com |
なし |
| GKE Identity Service |
anthosidentityservice.googleapis.com |
なし |
| Vertex AI の生成 AI |
aiplatform.googleapis.com |
なし |
| Google Agentspace |
discoveryengine.googleapis.com |
なし |
| Google Cloud Armor |
compute.googleapis.comnetworksecurity.googleapis.com |
影響を受ける機能 |
| Google Cloud NetApp Volumes |
netapp.googleapis.com |
影響を受ける機能 |
| Google Kubernetes Engine（GKE） |
container.googleapis.comcontainersecurity.googleapis.com |
なし |
| Google Security Operations SIEM |
chronicle.googleapis.comchronicleservicemanager.googleapis.com |
なし |
| Google Security Operations SOAR |
Not applicable |
なし |
| Identity and Access Management（IAM） |
iam.googleapis.com |
なし |
| Identity-Aware Proxy（IAP） |
iap.googleapis.com |
なし |
| Infrastructure Manager |
config.googleapis.com |
なし |
| Looker（Google Cloud コア） |
looker.googleapis.com |
なし |
| Memorystore for Redis |
redis.googleapis.com |
なし |
| Model Armor |
modelarmor.googleapis.com |
なし |
| Network Connectivity Center |
networkconnectivity.googleapis.com |
なし |
| 組織ポリシー サービス |
orgpolicy.googleapis.com |
なし |
| Persistent Disk |
compute.googleapis.com |
なし |
| Personalized Service Health |
servicehealth.googleapis.com |
なし |
| Pub/Sub |
pubsub.googleapis.com |
なし |
| Resource Manager |
cloudresourcemanager.googleapis.com |
なし |
| Secret Manager |
secretmanager.googleapis.com |
なし |
| Secure Source Manager |
securesourcemanager.googleapis.com |
なし |
| サーバーレス VPC アクセス |
vpcaccess.googleapis.com |
なし |
| Spanner |
spanner.googleapis.com |
なし |
| Speech-to-Text |
speech.googleapis.com |
なし |
| Storage Transfer Service |
storagetransfer.googleapis.com |
なし |
| Text-to-Speech |
texttospeech.googleapis.com |
なし |
| Cloud Service Mesh |
trafficdirector.googleapis.com |
なし |
| VPC Service Controls |
accesscontextmanager.googleapis.com |
なし |
| Vertex AI Batch prediction |
aiplatform.googleapis.com |
なし |
| Vertex AI Model Monitoring |
aiplatform.googleapis.com |
なし |
| Vertex AI Model Registry |
aiplatform.googleapis.com |
なし |
| Vertex AI オンライン予測 |
aiplatform.googleapis.com |
なし |
| Vertex AI Pipelines |
aiplatform.googleapis.com |
なし |
| Vertex AI Search |
discoveryengine.googleapis.com |
なし |
| Vertex AI Training |
aiplatform.googleapis.com |
なし |
| Virtual Private Cloud（VPC） |
compute.googleapis.com |
なし |
| Web Risk |
webrisk.googleapis.com |
なし |
制限事項
以下のセクションでは、 Google Cloud全体またはプロダクト固有の制限、または機能の制限について説明します。これには、EU データ境界とサポートのフォルダにデフォルトで設定されている組織ポリシーの制約も含まれます。デフォルトで設定されていない場合でも、その他の適用可能な組織のポリシーの制約により、組織の Google Cloud リソースをさらに保護するための多層防御を追加できます。
Google Cloud幅
Google Cloud全体の組織ポリシー制約
次の組織のポリシーの制約は、 Google Cloud全体に適用されます。
| 組織のポリシーの制約 | 説明 |
|---|---|
gcp.resourceLocations |
allowedValues リストの次のロケーションに設定します。
制限を緩くしてこの値を変更すると、準拠したデータ境界外でデータを作成または保存できるようになるため、データ所在地が損なわれる可能性があります。 |
gcp.restrictServiceUsage |
すべてのサポートされているプロダクトと API エンドポイントを許可するように設定します。 リソースへのランタイム アクセスを制限することで、使用できるサービスを決定します。詳細については、リソースの使用量の制限をご覧ください。 |
gcp.restrictTLSVersion |
次の TLS バージョンを拒否するように設定します。
|
BigQuery
影響を受ける BigQuery の機能
| 機能 | 説明 |
|---|---|
| 新しいフォルダで BigQuery を有効にする | BigQuery はサポートされていますが、内部構成プロセスにより、Assured Workloads フォルダ新規作成時には自動的には有効になりません。通常、このプロセスは 10 分で完了しますが、状況によってはさらに時間がかかることもあります。プロセスが完了したかどうかを確認し、BigQuery を有効にするには、次の操作を行います。
有効化プロセスが完了すると、Assured Workloads フォルダで BigQuery を使用できるようになります。 Gemini in BigQuery は Assured Workloads ではサポートされていません。 |
| サポートされていない機能 | 次の BigQuery 機能はサポートされていないため、BigQuery CLI では使用しないでください。Assured Workloads に対して、これらを BigQuery で使用しないようにすることはお客様の責任です。
|
| BigQuery CLI | BigQuery CLI がサポートされています。
|
| Google Cloud SDK | テクニカル データのデータリージョン指定の保証を維持するには、Google Cloud SDK バージョン 403.0.0 以降を使用する必要があります。現在の Google Cloud SDK のバージョンを確認するには、gcloud --version を実行してから gcloud components update を実行し、最新バージョンに更新します。 |
| 管理機能 | BigQuery はサポートされていない API を無効にしますが、Assured Workloads フォルダを作成するのに十分な権限を持つ管理者は、サポートされていない API を有効にできます。この場合、Assured Workloads モニタリング ダッシュボードで、コンプライアンス違反の可能性がある旨が通知されます。 |
| データの読み込み | Google Software as a Service（SaaS）アプリ、外部クラウド ストレージ プロバイダ、データ ウェアハウス用の BigQuery Data Transfer Service コネクタはサポートされていません。EU データ境界とサポートのワークロードに対して、BigQuery Data Transfer Service コネクタを使用しないようにすることはお客様の責任です。 |
| サードパーティ転送 | BigQuery は、BigQuery Data Transfer Service のサードパーティ転送のサポートを検証しません。BigQuery Data Transfer Service のサードパーティ転送を使用する際のサポート確認は、お客様の責任です。 |
| 非準拠 BQML モデル | 外部でトレーニングされた BQML モデルはサポートされていません。 |
| クエリジョブ | クエリジョブは、Assured Workloads フォルダ内でのみ作成する必要があります。 |
| 他のプロジェクトのデータセットに対するクエリ | BigQuery では、Assured Workloads 以外のプロジェクトから Assured Workloads データセットへのクエリを防ぐことはできません。Assured Workloads データに対して読み取りや結合を行うクエリはすべて、Assured Workloads フォルダに配置する必要があります。ユーザーは、BigQuery CLI で projectname.dataset.table を使用して、クエリ結果の完全修飾されたテーブル名を指定できます。 |
| Cloud Logging | BigQuery は、一部のログデータに対して Cloud Logging を利用します。コンプライアンスを維持するには、_default ロギング バケットを無効にするか、次のコマンドを使用して _default バケットを対象範囲内のリージョンに制限する必要があります。gcloud alpha logging settings update --organization=ORGANIZATION_ID --disable-default-sink
詳細については、ログをリージョン化するをご覧ください。 |
Compute Engine
影響を受ける Compute Engine の機能
| 機能 | 説明 |
|---|---|
| ゲスト環境 | ゲスト環境に含まれているスクリプト、デーモン、バイナリが、暗号化されていない保存中および使用中のデータにアクセスすることは可能です。VM の構成によっては、このソフトウェアの更新がデフォルトでインストールされることがあります。各パッケージの内容、ソースコードなどの詳細については、ゲスト環境をご覧ください。 これらのコンポーネントは、内部のセキュリティ管理とプロセスを通じてデータ主権を満たすのに役立ちます。ただし、追加の制御が必要な場合は、独自のイメージまたはエージェントを選択して、 compute.trustedImageProjects 組織ポリシーの制約をオプションとして使用することもできます。詳細については、カスタム イメージのビルドのページをご覧ください。 |
| VM Manager の OS ポリシー |
OS ポリシー ファイル内のインライン スクリプトとバイナリ出力ファイルは、顧客管理の暗号鍵（CMEK）を使用して暗号化されません。そのため、これらのファイルに機密情報を含めないでください。または、これらのスクリプトと出力ファイルを Cloud Storage バケットに保存することを検討してください。詳細については、OS ポリシーの例をご覧ください。 インライン スクリプトまたはバイナリ出力ファイルを使用する OS ポリシー リソースの作成または変更を制限する場合は、 constraints/osconfig.restrictInlineScriptAndOutputFileUsage 組織のポリシー制約を有効にします。詳細については、 OS Config の制約をご覧ください。 |
Compute Engine の組織のポリシーの制約
| 組織のポリシーの制約 | 説明 |
|---|---|
compute.disableGlobalCloudArmorPolicy |
True に設定します。 新しいグローバル Google Cloud Armor セキュリティ ポリシーの作成と、既存のグローバル Google Cloud Armor セキュリティ ポリシーへのルールの追加または変更を無効にします。この制約は、ルールの削除や、グローバル Google Cloud Armor セキュリティ ポリシーの説明と一覧取得の削除または変更を制限するものではありません。リージョン Google Cloud Armor セキュリティ ポリシーは、この制約の影響を受けません。この制約の適用前から存在するグローバル セキュリティ ポリシーとリージョン セキュリティ ポリシーは引き続き有効です。 |
compute.restrictNonConfidentialComputing |
（省略可）値が設定されていません。多層防御を提供するには、この値を設定します。詳細については、Confidential VM のドキュメントをご覧ください。 |
compute.trustedImageProjects |
（省略可）値が設定されていません。多層防御を提供するには、この値を設定します。 この値を設定すると、イメージ ストレージとディスクのインスタンス化が、指定されたプロジェクトのリストに制限されます。この値は、未承認のイメージやエージェントの使用を防ぐことでデータ主権に影響を与えます。 |
Cloud Logging
影響を受ける Cloud Logging の機能
| 機能 | 説明 |
|---|---|
| ログシンク | フィルタに顧客データを含めないでください。 ログシンクには、構成として格納されるフィルタが含まれます。顧客データを含むフィルタは作成しないでください。 |
| ライブ テーリング ログエントリ | フィルタに顧客データを含めないでください。 ライブ テーリング セッションには、構成として格納されたフィルタが含まれます。テーリングログによって、ログエントリのデータが保存されることはありませんが、リージョン間でデータをクエリして送信できます。顧客データを含むフィルタは作成しないでください。 |
Google Cloud NetApp Volumes
影響を受ける Google Cloud NetApp Volumes の機能
| 機能 | 説明 |
|---|---|
| Flex サービスレベル | Flex サービスレベルは、EU データ境界とサポートのコントロール パッケージでは使用できません。 |
次のステップ
- Assured Workloads フォルダを作成する方法を学習する。
- EU データ境界コントロール パッケージについて学習する
- Assured Workloads の料金について