Cisco Webex Teams 中的数据驻留概述

在 Cisco Webex Teams 中使用数据驻留(之前称为“数据位置”)的整体目标是将用户数据保存在与组织位置相对应的区域数据中心。 产品的第 2 阶段适用于新建组织,提供以下高级功能:

  • 您的用户拥有一个单独标识,存储在您的组织的地理区域中。 组织所在的地理区域中的标识服务用于处理客户端验证请求。

    您的用户可以继续与全球各地的其他组织中的用户举行会议、给用户发送消息和呼叫用户,而无需在外部集群中使用单独帐户。 这表示 Webex Teams 不会再增加额外的个人可识别信息。

  • 用户加密密钥在您组织的地理区域中创建并存储,您的区域中的密钥管理服务 (KMS) 将处理有关密钥的请求,以加密和解密 Webex Teams 中的空间、消息和内容。

  • 第 2 阶段新增功能: 用户生成的内容(消息、白板、文件和相关元数据)加密存储在组织的地理区域中。 此功能适用于 2020 年 2 月 28 日之后新创建的欧洲、中东、非洲、俄罗斯 (EMEAR) 组织。

  • 我们在您的地理区域中存储有关您的组织的数据,例如已验证的域、首选项和安全设置。

  • 一个区域中的合作伙伴可以在任何区域创建客户组织。

  • 第 2 阶段新增功能: 欧洲地区的组织现在支持混合数据安全。 此支持既包括新创建的第 2 阶段 EMEAR 组织,也包括现有的第 1 阶段 EMEAR 组织。

    借助混合数据安全,企业可以将加密密钥管理和其他安全相关功能集中到其自己本地的数据中心。

  • 第 2 阶段新增功能: 欧洲地区的组织现在支持 Webex 设备混合呼叫。 此支持既包括新创建的第 2 阶段 EMEAR 组织,也包括现有的第 1 阶段 EMEAR 组织。

    Webex 设备混合呼叫为注册到云端的 Cisco Webex Room、桌面和 Webex Board 设备提供本地 Unified CM 呼叫功能。

  • 第 2 阶段新增功能: 欧洲地区的组织现在支持 Webex 视频网。 此支持既包括新创建的第 2 阶段 EMEAR 组织,也包括现有的第 1 阶段 EMEAR 组织。

对于数据驻留,我们新增了一个欧洲地理区域 (GEO),其数据中心位于伦敦、法兰克福和阿姆斯特丹。 美国的现有数据中心将继续为北美和“世界其他地区”(RoW) 提供服务。

我们目前不支持在地理区域之间迁移组织,也不支持将第 1 阶段的组织迁移到第 2 阶段。

如何确定数据驻留区域

在预配置期间,设置组织的管理员会在 Control Hub 中看到“国家/地区选择器”下拉菜单。 我们根据所选国家/地区确定组织数据所在的地理区域。

如果您的用户位于不同的国家/地区,请选择大多数用户所在的国家/地区。 为了最大限度地提升用户体验和减少延迟,应将数据存储在距离大多数用户最近的数据中心。

若要确定国家/地区映射到哪个区域,您可以下载以下 Microsoft Excel 文件,并从下拉菜单中选择国家/地区名称: https://www.cisco.com/c/dam/en/us/td/docs/voice_ip_comm/cloudCollaboration/wbxt/datalocality/CountryCodeGEOmapping.xlsx (当您访问该链接时,文件立即开始下载。)

数据驻留第 2 阶段中的限制

以下是这一阶段的数据驻留计划所存在的限制,我们希望在本计划的以后阶段解决这些限制:

  • 在第 2 阶段中,对于在欧洲地理区域预配置的组织,不提供以下功能:

    • Cisco Webex Calling(以前称为 Spark 呼叫)(仅适用于北美)

    • 内容服务

  • 目前我们不支持在地理区域位置之间迁移组织。 组织数据保留在其被创建的地理区域位置。

    目前我们还不支持将第 1 阶段的组织迁移到第 2 阶段。

  • 您可以在 Control Hub 中管理 EMEAR 组织的 Cisco Webex Meetings 站点。 但是,数据驻留不适用于 Webex 会议录制文件,此类文件存储在您的 Webex 会议站点所属的集群中。

临时限制

以下是目前有效,但我们想要在接下来的三到六个月内剔除的限制。

  • 预计之后会新增对以下客户端的支持:

    • Cisco Jabber(团队通讯模式、Cisco Jabber Softphone for VDI、混合消息服务)

    • UC-One SaaS

  • Bot、集成(包括 CASB)和开发者 API 不适用于第 2 阶段 EMEAR 组织中的用户创建的空间。

    为避免混淆,我们特意限制了这些用户的访问权限,如下所示:

    • 阻止处于数据驻留第 2 阶段的 EMEAR 组织中的用户访问 developer.webex.com

    • 禁止处于数据驻留第 2 阶段的 EMEAR 组织使用即将推出的 bot 管理功能。 这些组织中的用户不能向空间添加 bot;如果尝试将 bot(*@webex.bot、*.ciscospark.io)添加到空间,他们会在 Teams 中看到错误。

    我们有信心在 4 月份剔除这些限制。

  • eDiscovery 搜索和提取工具不会返回与合规专员不在同一地理区域的用户的搜索结果。 (EMEAR 合规专员看不到非 EMEAR 组织中的用户的内容搜索结果,非 EMEAR 合规专员看不到 EMEAR 组织中的用户的内容搜索结果。)

  • 您当前无法为第 2 阶段的 EMEAR 组织启用 People Insights。

第 2 阶段中的数据共享、处理和存储

下表描述了对于在第 2 阶段发布后创建的组织,各种情况下如何共享、处理和存储数据。 因为 Webex Teams 支持跨多个组织的用户协作,所以有些情况下,存储和处理规则取决于协作类型以及是否启用与其他组织之间的通信。

每个表中针对数据驻留采用了以下标识:

全球 — 可在任何位置的 Cisco 数据中心处理数据。

有限 — 数据驻留在组织所在的地理区域内,但可以根据需要在其他区域创建或处理副本。

受限 — 数据驻留在组织所在的地理区域内。

除共享、处理和存储外,对于这些活动中的每一项,我们还将特定数据用于日志记录和审核。 此类数据被视为全球性数据,其中包含一些服务和用户信息,可帮助生成业务指标和使用指标。 在这些集中式组件中存储和管理的数据受 Cisco 企业信息安全准则的约束,该准则要求在与第三方共享、保留和记录此数据时,必须严格遵守相关规定。

表 1. Control Hub 管理活动

情景

涉及的数据

共享对象

处理

存储

创建新客户组织。

为管理客户帐户而收集或生成的数据,包括管理电子邮件地址、组织标识、与已申领的域关联的帐单信息

Cisco、合作伙伴

全球

全球

使用和管理客户组织;添加许可服务。

运营数据,例如组织设置、订阅记录、产品目录、使用数据、分析、存储的 CSV 文件

Cisco、合作伙伴、管理员

全球

全球

创建新用户。

通用唯一标识符 (UUID)

全球

全球

表 2. Webex Teams 用户登录和应用程序配置

情景

涉及的数据

共享对象

处理

存储

登录用户帐户。

OAuth 令牌

标识服务

有限

受限

密码

标识服务

受限

受限

配置和使用 Webex Teams 应用程序。

移动设备标识、设备名称、IP 地址等数据;时区和区域设置等设置;名字、姓氏、头像、电话号码等个人目录数据

组织和合作伙伴管理员

全球

受限

名字、姓氏、头像、电话号码等个人目录数据

组织中的其他用户或者同一区域的外部组织

受限

受限

不同区域的外部组织中的用户*

有限

受限

* 可以使用 Control Hub 阻止与外部组织通信,以防止这种情况发生。 这样做会阻止与所有外部组织之间的通信。

表 3. Webex Teams 用户内容生成

情景

涉及的数据

共享对象

处理

存储

发送消息或文件、创建空间、标记消息。

用户生成的内容

合规专员

受限

受限(基于空间所有者的区域 — 请参阅第 2 阶段中的空间所有权和内容存储区域

组织中的其他用户或者同一区域的外部组织

受限

受限

不同区域的外部组织中的用户*

有限

有限

加密密钥

组织中的其他用户或者同一区域的外部组织

受限

受限

不同区域的外部组织中的用户*

有限

受限(密钥未存储在区域外)

运行服务所需的搜索索引和衍生的元数据,而不会在区域外“泄漏”用户生成的内容或个人可识别信息。

有限

有限

共享实时媒体。

语音、视频、内容共享

组织中的其他用户或者同一区域的外部组织

受限

受限

来自不同区域的外部组织中的用户

有限

有限

录制会议。

Webex Meetings 中存储的会议录制文件

受限(会议主持人所在的区域)

受限(会议主持人所在的区域)

创建白板。

白板内容(组织间的白板为各方共同所有)

组织中的其他用户或者同一区域的外部组织

受限

受限

不同区域的外部组织中的用户*

有限

有限

* 可以使用 Control Hub 阻止与外部组织通信,以防止这种情况发生。 这样做会阻止与所有外部组织之间的通信。

表 4. 服务集成

实体

涉及的数据

共享对象

处理

存储

日历环境集成

日历会议和活动、某些个人可识别信息

(用户所在组织内)所有空间的成员资格

有限

有限

开发者 API

适用于开发者的 API 服务 – 透明查找并重新定向到相应区域的服务。

全球查找

区域内处理

取决于内容的规则(如前面的表中所列)和支持它的 API

取决于内容的规则(如前面的表中所列)和支持它的 API

第 2 阶段中的空间所有权和内容存储区域

我们将内容存储在拥有内容显示空间的组织区域中。 所有权取决于空间类型:

  • 群组空间 — 所有者通常是空间创建者所在的组织。 我们将内容存储在所有者组织的区域中。

  • 团队内的空间 — 团队创建者的组织拥有团队内创建的空间。 在团队外部创建、后移入团队的空间保留其原始所有权。 我们将内容存储在空间所有者组织的区域中。

  • 两人之间的对话(非群组空间)— 如果人员位于不同的组织中,则各组织分别拥有其用户发布的内容。 如果对话中有来自北美/RoW 地理区域的用户,我们会将对话内容存储在北美/RoW 地理区域。

  • Bot 创建的空间 — 我们将所有权分配给第一个非 bot 参加者所在的组织,并将内容存储在所有者组织的区域中。


    目前,bot 不能用于第 2 阶段 EMEAR 组织所有或拥有来自第 2 阶段 EMEAR 组织的成员的空间。 我们预计之后会推出此功能。

数据驻留常见问题解答

为什么在组织预配置过程中会看到国家/地区选择器?

Cisco Webex 很高兴为客户提供在“基于地理位置”的数据中心内本地化某些 Cisco Webex Teams 数据的功能。 在预配置期间,“国家/地区选择器”将决定存储新客户组织的数据的区域。 这其中包括组织身份、用户的个人身份、加密密钥;对于在第 2 阶段的组织(2020 年 2 月 28 日后新创建),还包括用户生成的内容(加密的消息、公告板、文件和相关元数据)。

请注意,可以通过任何此类组织管理 Webex Meetings 站点,并且录制文件仍与会议站点集群相关联。

目前支持哪些地理区域位置?

在第 1 阶段,我们引入了以下位置,并打算扩展到更多位置:

  1. 欧洲 — 托管在伦敦(英国)、阿姆斯特丹和法兰克福的数据中心。 此区域会映射到欧洲、中东、非洲的国家/地区和俄罗斯 (EMEAR)。

  2. 北美和世界其他地区 (RoW) - 托管在美国的数据中心。

第 2 阶段现在适用于 2020 年 2 月 28 日之后创建的组织。 第 2 阶段支持的地理区域与第 1 阶段相同,但还包含用户生成内容的区域内存储。 目前,不能在不同地理区域之间迁移现有组织,也不能将现有组织从第 1 阶段迁移到第 2 阶段。

在根据地理区域位置选择国家/地区时有何建议?

客户的组织数据是在预配置 Webex Teams 服务的地理区域位置创建和维护的。 在预配置期间,管理员将从下拉菜单中看到选择国家/地区的新选项。 此操作将为组织的用户和加密密钥设置永久地理区域位置。

在选择组织的国家/地区时,请考虑以下建议:

  • 如果组织的用户主要位于一个国家/地区,请选择该国家/地区,即使它与组织的营业地址不一致。 这将提升用户体验,并通过使用离用户最近的数据中心的存储空间来最大限度地减少延迟。

  • 如果用户分布在多个国家/地区,请选择用户数量最多的国家/地区。 请记住,组织中的所有用户都将其数据存储在关联的地理区域位置,既使这些用户并不在该国家/地区。

  • 理想情况下,接收数据的国家/地区与数据驻留的国家/地区是相同的。


我们当前不支持在地理区域位置之间进行迁移。 当您在一个地理区域创建组织时,它会保留在该地理区域。

目前我们还不支持将第 1 阶段的组织迁移到第 2 阶段。

要检查特定国家/地区映射到的地理区域位置,请下载 CountryCodeGEOMapping.xlsx 文件,在 Microsoft Excel 中打开该文件,然后从下拉菜单中选择国家/地区。

我的组织的用户可以继续与其他区域的用户进行协作吗?

是的。 数据驻留加强了 Webex Teams 的安全和合规功能,不会影响用户体验的简单性。 我们平台上的所有用户都可以在全球范围内进行通信,同时保留一个用户身份。

数据驻留对各地理区域的合规性和可见性有何影响?

无论数据存储在什么位置(根据 Webex Teams 的所有权模型),合规专员都继续拥有对用户内容的 100% 可见性。 这意味着即使用户与其他区域的用户协作,eDiscovery 和云访问安全代理 (CASB) 集成等合规功能仍然允许您监控数据丢失防护事件并采取相关措施。 已提供的管理员控件允许您根据需要禁用外部通信。