部分 Assured Workloads 控制软件包的名称已更改。如需了解名称变更，请参阅控制软件包重命名通知。

应用工作负载更新

本页介绍了如何为 Assured Workloads 文件夹启用、查看和应用工作负载更新。Assured Workloads 会定期更新其控制软件包，其中包含新的设置和一般改进，例如更新后的组织政策限制值。借助此功能，您可以根据最新的可用配置评估当前的 Assured Workloads 文件夹配置，并选择应用任何建议的更新。

默认情况下，系统会自动为新的“Assured Workloads”文件夹启用此功能。对于现有文件夹，我们强烈建议您按照步骤启用工作负载更新。

此功能不会产生任何额外费用，也不会影响 Assured Workloads Monitoring 的行为；无论是否有可用的配置更新，当文件夹不符合当前配置时，您仍会收到提醒。

工作负载更新概览

创建新的 Assured Workloads 文件夹时，您选择的控制软件包类型（例如 FedRAMP 中等风险级别）决定了应用于工作负载的各种配置设置。其中一些设置以组织政策限制条件的形式在外部可见，而另一些设置仅适用于 Google 的内部系统。Assured Workloads 使用内部配置版本控制系统来维护每种控制软件包类型的更改。

当新的内部配置版本可用时，Assured Workloads 会将工作负载的配置与新的内部版本进行比较。系统会分析所有差异，并将由此带来的增强功能作为更新提供给您，以便您将其应用于工作负载的配置。如果此类增强功能包括对新服务的支持，则该服务所需的任何组织政策限制条件也可能会应用于您的工作负载。

Google 已验证可用的 Assured Workloads 更新，确保其符合工作负载的控制措施套餐的要求。不过，您仍有责任检查每个可用的更新，以验证其是否符合贵组织的法规或合规性要求。如需了解详情，请参阅 Assured Workloads 中的责任共担。

支持的更新类型

此功能支持在 Assured Workloads 文件夹中查看和应用以下类型的更新：

组织政策限制条件：适用于工作负载且由 Assured Workloads 强制执行的任何组织政策限制条件都可以包含在工作负载更新中，但以下情况除外：
- gcp.resourceLocations
- gcp.restrictCmekCryptoKeyProjects
注意： gcp.restrictServiceUsage 更新可在 Google Cloud 控制台中使用，但无法在使用 Assured Workloads API 时使用。例如，在调用 updates 方法时，您不会收到 gcp.restrictServiceUsage 更新，如查看工作负载更新部分中所述。

准备工作

确定要为其启用更新的 Assured Workloads 文件夹的资源 ID。
对目标“Assured Workloads”文件夹和工作负载分配或验证 IAM 权限。

必需的 IAM 权限

如需启用、查看或应用工作负载更新，必须使用以下方法之一向调用者授予 IAM 权限：预定义角色（包含一组更广泛的权限）或自定义角色（限制为必要的最少权限）。请注意，必需的 orgpolicy.policy.set 权限无法在自定义角色中使用。

必须拥有以下权限：

assuredworkloads.workload.update，以启用更新。此权限包含在 Assured Workloads Editor (roles/assuredworkloads.editor) 和 Assured Workloads Admin (roles/assuredworkloads.admin) 预定义角色中。
目标工作负载的 assuredworkloads.updates.list 权限，以查看可用的更新。此权限包含在 Assured Workloads Reader (roles/assuredworkloads.reader)、Assured Workloads Editor (roles/assuredworkloads.editor) 和 Assured Workloads Admin (roles/assuredworkloads.admin) 预定义角色中。
assuredworkloads.updates.update 目标工作负载以应用可用更新。此权限包含在 Assured Workloads Editor (roles/assuredworkloads.editor) 和 Assured Workloads Admin (roles/assuredworkloads.admin) 预定义角色中。
assuredworkloads.operations.get 目标工作负载，以获取更新操作的状态和结果。此权限包含在 Assured Workloads Reader (roles/assuredworkloads.reader)、Assured Workloads Editor (roles/assuredworkloads.editor) 和 Assured Workloads Admin (roles/assuredworkloads.admin) 预定义角色中。
orgpolicy.policy.get，以应用可用的更新。组织政策查看者 (roles/orgpolicy.policyViewer) 和组织政策管理员 (roles/orgpolicy.policyAdmin) 预定义角色均包含此权限。
orgpolicy.policy.set，以应用可用的更新。自定义角色不支持此权限，但组织政策管理员 (roles/orgpolicy.policyAdmin) 预定义角色包含此权限。
目标文件夹的 resourcemanager.folders.getIamPolicy 和 resourcemanager.folders.setIamPolicy 权限，以启用更新。文件夹 IAM 管理员 (roles/resourcemanager.folderIamAdmin) 角色和其他权限较高的预定义角色中包含这些权限。

启用工作负载更新

启用工作负载更新后，系统会创建 Assured Workloads 服务代理。然后，系统会向此服务代理授予目标 Assured Workloads 文件夹的 Assured Workloads Service Agent (roles/assuredworkloads.serviceAgent) 角色。此角色使服务代理能够检查文件夹中是否有任何可用的更新。

如需启用工作负载更新，请完成以下步骤：

控制台

在 Google Cloud 控制台中，前往 Assured Workloads 页面。

转到 Assured Workloads
在页面顶部的合规性更新简介窗格中，点击启用合规性更新。
当系统提示启用合规性更新？时，点击启用。

现在，您的组织中的所有 Assured Workloads 文件夹都已启用工作负载更新。

REST

借助 enableComplianceUpdates 方法，Assured Workloads 可以通知您单个 Assured Workloads 文件夹的更新。

HTTP 方法、网址和查询参数：

PUT https://[ENDPOINT_URI]/v1/organizations/[ORGANIZATION_ID]/locations/[LOCATION_ID]/workloads/[WORKLOAD_ID]:enableComplianceUpdates

将以下占位值替换为您自己的值：

ENDPOINT_URI：Assured Workloads 服务端点 URI。此 URI 必须是与目标工作负载的位置相匹配的端点，例如，对于 us-west1 区域中的区域化工作负载，该 URI 应为 https://us-west1-assuredworkloads.googleapis.com；对于美国的多区域工作负载，该 URI 应为 https://us-assuredworkloads.googleapis.com。
ORGANIZATION_ID：Assured Workloads 文件夹的组织 ID，例如 919698201234。
LOCATION_ID：Assured Workloads 文件夹的位置，例如 us-west1 或 us。它对应于工作负载的 data region 值。
WORKLOAD_ID：要为其启用更新的 Assured Workloads 工作负载的 ID，例如 00-701ea036-7152-4780-a867-9f5。

例如：

PUT https://us-west1-assuredworkloads.googleapis.com/v1/organizations/919698298765/locations/us-west1/workloads/00-701ea036-7152-4781-a867-9f5:enableComplianceUpdates

查看工作负载更新

如需查看工作负载更新，请完成以下步骤：

控制台

在 Google Cloud 控制台中，前往 Assured Workloads 页面。

转到 Assured Workloads
在名称列中，点击要查看更新的 Assured Workloads 文件夹的名称。或者，如果文件夹有可用更新，请点击更新列中的链接。
在可用更新下方，点击查看可用更新。
如果组织政策有更新，系统会在组织政策标签页中显示。查看受影响的组织政策限制条件，然后点击查看更新，预览更新将应用的限制条件设置。

注意：如果有 gcp.restrictServiceUsage 更新可用，则任何必需的特定于服务的组织政策限制条件都不会显示在可用更新列表中。不过，如果您选择应用 gcp.restrictServiceUsage 更新，这些必需的限制（例如欧盟数据边界的 compute.disableGlobalCloudArmorPolicy）将应用于您的工作负载。

REST

organizations.locations.workloads.updates.list 方法会列出 Assured Workloads 工作负载的可用更新。

HTTP 方法、网址和查询参数：

GET https://[ENDPOINT_URI]/v1/organizations/[ORGANIZATION_ID]/locations/[LOCATION_ID]/workloads/[WORKLOAD_ID]/updates?page_size=[PAGE_SIZE]&page_token=[PAGE_TOKEN]

将以下占位值替换为您自己的值：

ENDPOINT_URI：Assured Workloads 服务端点 URI。此 URI 必须是与目标工作负载位置相匹配的端点，例如，对于 us-central1 区域中的区域化工作负载，该 URI 为 https://us-central1-assuredworkloads.googleapis.com；对于美国的多区域工作负载，该 URI 为 https://us-assuredworkloads.googleapis.com。
ORGANIZATION_ID：Assured Workloads 文件夹的组织 ID，例如 919698201234。
LOCATION_ID：Assured Workloads 文件夹的位置，例如 us-central1 或 us。它对应于工作负载的 data region 值。
WORKLOAD_ID：要列出可用更新的 Assured Workloads 工作负载的 ID，例如 00-701ea036-7152-4780-a867-9f5。
PAGE_SIZE（可选）：限制要在响应中返回的更新数量。如果未指定，则默认值设置为 20。最大值为 100。
PAGE_TOKEN（可选）：如果有一个或多个页面可用，JSON 响应中会返回下一页的令牌，例如 nextPageToken": "chEKD4IBDAid1e-3BhCo68f6AQ。如果未指定，则不会返回后续页面。

例如：

GET https://us-central1-assuredworkloads.googleapis.com/v1/organizations/919698298765/locations/us-west1/workloads/00-701ea036-7152-4781-a867-9f5/updates

如果成功，您将收到类似于以下示例的 JSON 响应：

{
  "workloadUpdates": [
    {
      "name": "organizations/919698298765/locations/us-central1/workloads/00-701ea036-7152-4781-a867-9f5/updates/5320de45-6c98-41af-b4a0-2ef930b124c3",
      "state": "AVAILABLE",
      "createTime": "2024-10-01T16:33:10.154368Z",
      "updateTime": "2024-10-01T16:33:10.154368Z",
      "details": {
        "orgPolicyUpdate": {
          "appliedPolicy": {
            "resource": "folders/376585579673",
            "constraint": "constraints/gcp.resourceLocations",
            "rule": {
              "values": {
                "allowedValues": [
                  "us-central1",
                ]
              }
            }
          },
          "suggestedPolicy": {
            "resource": "folders/376585579673",
            "constraint": "constraints/gcp.resourceLocations",
            "rule": {
              "values": {
                "allowedValues": [
                  "us-central1",
                  "us-central2",
                  "us-west1",
                ]
              }
            }
          }
        }
      }
    }
  ],
  "nextPageToken": "chEKD4IBDAid1e-3BhCo68f6AQ"
}