ניהול מסגרות ב-Assured Workloads

מסגרות העבודה של Assured Workloads מורכבות מאמצעי בקרה בענן שעוזרים לכם לעמוד בדרישות האבטחה והרגולציה של תיקייה או פרויקט בסביבות הענן שלכם. ב-Assured Workloads יש הרבה מסגרות מובנות, כמו גבולות נתונים, אבל אתם יכולים גם לשנות מסגרות קיימות או ליצור מסגרות משלכם. כדי ליצור מסגרת משלכם, קודם צריך לזהות או ליצור את אמצעי הבקרה בענן שתואמים להתחייבויות של העסק בנושאי אבטחה ותאימות. לאחר מכן, פורסים את המסגרת שכוללת את אמצעי הבקרה בענן בתיקייה או בפרויקט שנבחרו.

בדף הזה מוסבר איך לבצע את הפעולות הבאות:

  1. בדקו איזו מסגרת מובנית הכי מתאימה לדרישות הרגולטוריות והאבטחה שלכם. אתם יכולים ליצור מסגרת מותאמת אישית משלכם, אבל מומלץ להתחיל עם מסגרת מובנית.

  2. להחליט אילו אמצעי בקרה מובנים בענן מתאימים לדרישות העסקיות שלכם. במקרה הצורך, אפשר ליצור אמצעי בקרה מותאמים אישית בענן.

  3. מחליטים באיזו תיקייה או פרויקט לפרוס את ה-framework. אפשר לפרוס פריימוורקים בדרכים הבאות:

    • במשאב אחד – בין אם מדובר בתיקייה או בפרויקט – אפשר לפרוס רק מסגרת מניעה מובנית אחת, כמו גבולות נתונים.
    • אפשר לפרוס כמה מסגרות לזיהוי במשאב אחד, בין אם מדובר בתיקייה או בפרויקט.
    • אפשר לפרוס את אותה מסגרת מניעה או זיהוי בכמה משאבים. לדוגמה, אפשר לפרוס בתיקיית הורה את אותה מסגרת מניעה או זיהוי כמו בפרויקטים הצאצאים שלה.

  4. להעתיק מסגרת קיימת ולשנות אותה בהתאם לדרישות שלכם. אם צריך, אתם יכולים ליצור מסגרת מותאמת אישית.

  5. פורסים את ה-framework בתיקייה או בפרויקט שנבחרו.

לפני שמתחילים

אם אתם פורסים את המסגרת Data Boundary for Impact Level 5 (IL5)‎ במצב Monitor and prevent, והארגון שלכם לא הגדיר מצב בקרת כוח אדם ברמת הארגון (OLPC), אתם צריכים גם את התפקיד "אדמין של Assured Workloads" (roles/assuredworkloads.admin) ברמת הארגון כדי להגדיר את מצב ה-OLPC.

הצגת מסגרות העבודה

כדי לראות את ההגדרות של מסגרות מובְנות או של מסגרות אחרות שכבר יצרתם, פועלים לפי השלבים הבאים:

  1. נכנסים לדף Frameworks במסוף Google Cloud .

    כניסה לדף Frameworks

  2. אם מתבקשים, בוחרים את הארגון.

  3. בלוח הבקרה מוצגות המסגרות הזמינות, תיאור קצר, הפלטפורמות והרמות הנתמכות והמשאבים שהמסגרת הוקצתה להם.

  4. כדי לראות פרטים על מסגרת ספציפית, לוחצים על שם המסגרת.

יצירת מסגרת

אחרי שקובעים אילו אמצעי בקרה בענן חלים על המשאבים בארגון או בתיקייה או בפרויקט ספציפיים, אפשר ליצור מסגרת. אתם יכולים ליצור מסגרת בהתאמה אישית או להעתיק מסגרת קיימת ולשנות אותה. כשמעתיקים מסגרת, היא כוללת את הגרסאות העדכניות ביותר של כל אמצעי הבקרה המובנים בענן.

  1. נכנסים לדף Frameworks במסוף Google Cloud .

    כניסה לדף Frameworks

  2. אם מתבקשים, בוחרים את הארגון.

  3. לוחצים על יצירת מסגרת מותאמת אישית.

  4. מבצעים אחת מהפעולות הבאות:

    • כדי להשתמש במסגרת קיימת, מבצעים את הפעולות הבאות:

      1. בוחרים באפשרות התחלה ממסגרת קיימת.

      2. בוחרים את המסגרת שרוצים להעתיק.

    • כדי ליצור מסגרת מותאמת אישית, לוחצים על התחלת מסגרת חדשה.

  5. מזינים שם, מזהה ייחודי ותיאור למסגרת. לוחצים על המשך.

  6. בשלב הגדרת מיקום ל-framework, בוחרים אזור ספציפי או מספר אזורים. למידע נוסף על האזורים הזמינים, קראו את המאמר מיקומים של Assured Workloads. לוחצים על המשך.

    אם אתם מעתיקים מסגרת קיימת, תוצג רשימת אמצעי הבקרה בענן שהיו חלק מהמסגרת הקיימת.

  7. כדי להוסיף את אמצעי הבקרה בענן שאתם צריכים:

    • כדי להוסיף בקרת ענן קיימת, לוחצים על הוספת בקרות ענן. בוחרים את כל אמצעי הבקרה הנדרשים בענן ולוחצים על Add.

      כשמוסיפים אמצעי בקרה, צריך לוודא את סוג אמצעי הבקרה (זיהוי, מניעה או ביקורת). אל תכללו אמצעי בקרה לביקורת בלבד במסגרת שאתם רוצים להשתמש בה כדי לעקוב אחרי הסביבה שלכם ולזהות הפרות. אי אפשר לפרוס מסגרות שכוללות אמצעי בקרה לביקורת בלבד.

    • כדי ליצור בקרת ענן בהתאמה אישית, לוחצים על יצירת בקרת ענן בהתאמה אישית. להוראות, ראו יצירת אמצעי בקרה בהתאמה אישית בענן.

  8. לוחצים על Continue.

  9. מוסיפים את הפרמטרים הנוספים שנדרשים לבקרות בענן.

    לדוגמה, אתם יכולים להגדיר את המיקומים שלכם למיקומי אחסון ב-Cloud Logging, למיקומי משאבים ולשנות את נקודות הקצה המותרות לשירות.

  10. לוחצים על יצירה.

פריסת מסגרת

כדי לשלוט במשאבים ולעקוב אחריהם באמצעות אמצעי הבקרה בענן של ה-framework, אתם יכולים לפרוס את ה-framework בתיקייה או בפרויקט. אפשר לפרוס פריימוורקים בדרכים הבאות:

  • במשאב אחד – בין אם מדובר בתיקייה או בפרויקט – אפשר לפרוס רק מסגרת מניעה מובנית אחת, כמו גבולות נתונים.
  • אפשר לפרוס כמה מסגרות לזיהוי במשאב אחד, בין אם מדובר בתיקייה או בפרויקט.
  • אפשר לפרוס את אותה מסגרת מניעה או זיהוי בכמה משאבים. לדוגמה, אפשר לפרוס בתיקיית הורה את אותה מסגרת מניעה או זיהוי כמו בפרויקטים הצאצאים שלה.

תיקיות ופרויקטים יורשים מסגרות דרך היררכיית המשאבים של Google Cloud. לכן, אם פורסים מסגרות ברמת התיקייה וברמת הפרויקט, כל אמצעי הבקרה בענן בשתי המסגרות חלים על המשאבים בפרויקט. אם יש הבדלים בהגדרות של בקרת הענן, המשאבים בפרויקט משתמשים בבקרת הענן ברמה הנמוכה יותר. לדוגמה, אם כלל בקרת הענן מוגדר כ-Allow ברמת התיקייה וכ-Deny ברמת הפרויקט, ההגדרה Deny ברמת הפרויקט חלה על המשאבים בפרויקט.

מומלץ לפרוס מסגרת ברמת התיקייה שכוללת את אמצעי הבקרה בענן שאפשר להחיל על כל הפרויקטים שלה. לאחר מכן תוכלו לפרוס מסגרות מחמירות יותר לפרויקטים ספציפיים שבהם הן נדרשות.

אם אתם בוחרים להטמיע את המסגרות באופן מקונן, למשל להטמיע מסגרת אחת בתיקיית הורה ואז מסגרות שונות בפרויקטים הצאצאים שלה, אתם אחראים לטפל בכל הפרה של תאימות שעלולה להתרחש במשאבי ההורה והצאצא.

  1. נכנסים לדף Frameworks במסוף Google Cloud .

    כניסה לדף Frameworks

  2. אם מתבקשים, בוחרים את הארגון.

  3. במסגרת שרוצים לפרוס, לוחצים על More Actions > Apply to resources.

  4. בוחרים אחת מהאפשרויות האלה:

    • כדי לעקוב רק אחרי חריגה, בוחרים באפשרות Monitor.

    • כדי לעקוב אחרי חריגות ולמנוע הפרות באופן פעיל, בוחרים באפשרות Monitor and prevent.

  5. בוחרים את המשאב שבו רוצים לפרוס את המסגרת. אפשר לבחור תיקייה או פרויקט קיימים. אם בחרתם למנוע הפרות באופן פעיל, אתם יכולים ליצור תיקייה או פרויקט חדשים ולפרוס בהם את ה-framework. אם המסגרת דורשת פרטים נוספים, כמו פרויקט CMEK או פרטי הגדרה אחרים, צריך לספק אותם.

  6. מבצעים אחת מהפעולות הבאות:

    • אם בחרתם באפשרות מעקב, בצעו את הפעולות הבאות:

      1. מאמתים את המידע.
      2. לוחצים על מעקב.

    • אם בחרתם באפשרות מעקב ומניעה, בצעו את הפעולות הבאות:

      1. לוחצים על הבא. בודקים את אמצעי הבקרה והמצבים בענן.

        אם מופיע באנר של OLPC, צריך להגדיר את מצב OLPC של הארגון או שהוא מגביל את ה-framework המובנה שנבחר (לדוגמה, כשמצב OLPC הוא Not set ל-Data Boundary ל-IL5, או כש-Strict IL5 חוסם frameworks שהם לא IL5). אם צריך לעדכן את ההגדרה לפני שממשיכים, לוחצים על בחירת מצב OLPC או על עדכון מצב OLPC בבאנר.

      2. לוחצים על Continue.

      3. אם מוצג מידע נוסף שנדרש לחלק מהבקרות בענן, מאמתים אותו.

      4. לוחצים על הבא.

      5. בודקים את האפשרויות שנבחרו ולוחצים על אכיפה.

אחרי שפורסים את ה-framework, אפשר לעקוב אחרי הסביבה כדי לזהות חריגות מאמצעי הבקרה שהגדרתם בענן. הכלי Assured Workloads Monitoring מדווח על מקרים של חריגה כהפרות שאפשר לבדוק, לסנן ולפתור. יכול להיות שיעברו כ-6 שעות מרגע הפריסה של מסגרת ועד שיופיעו הפרות.

עריכת מסגרת בהתאמה אישית

אחרי שיוצרים מסגרת, אפשר לשנות את השם והתיאור שלה, להוסיף או להסיר אמצעי בקרה בענן ולעדכן את הפרמטרים. אתם יכולים לערוך רק מסגרות שאתם יוצרים, ולא מסגרות מובנות.

  1. נכנסים לדף Frameworks במסוף Google Cloud .

    כניסה לדף Frameworks

  2. אם מתבקשים, בוחרים את הארגון.

  3. לוחצים על המסגרת שרוצים לערוך.

  4. בדף Framework details, מוודאים שהמסגרת לא מוקצית למשאב. אם צריך, מסירים את ההקצאות.

  5. לוחצים על פעולות > עריכה.

  6. בדף Update framework details, משנים את השם והתיאור לפי הצורך. לוחצים על Continue.

  7. כדי לשנות את אמצעי הבקרה בענן שכלולים במסגרת:

    • כדי להוסיף בקרת ענן קיימת, לוחצים על הוספת בקרות ענן. בוחרים את כל אמצעי הבקרה הנדרשים בענן ולוחצים על Add.

    • כדי ליצור בקרת ענן בהתאמה אישית, לוחצים על יצירת בקרת ענן בהתאמה אישית. להוראות, ראו יצירת אמצעי בקרה בהתאמה אישית בענן.

    • כדי להסיר בקרת ענן, בוחרים את בקרת הענן ולוחצים על הסרה.

  8. לוחצים על Continue.

  9. מוסיפים את הפרמטרים הנוספים שנדרשים לבקרות בענן.

  10. לוחצים על Save.

הסרת משאבים ממסגרת שנפרסה

אתם יכולים להסיר את התיקיות או הפרויקטים שהקציתם למסגרת שנפרסה. הסרת משאבים פירושה שה-framework לא יוצרת יותר הפרות לצומת הזה בהיררכיית המשאבים.

  1. נכנסים לדף Frameworks במסוף Google Cloud .

    כניסה לדף Frameworks

  2. אם מתבקשים, בוחרים את הארגון.

  3. לוחצים על המסגרת שרוצים לבטל את הקצאת המשאבים שלה.

  4. בדף Framework details, לוחצים על Actions > Manage resource assignments.

  5. בטבלה Assigned resources, מוצאים את המשאב שרוצים להסיר ולוחצים על Delete.

  6. קוראים את הודעת האישור ולוחצים על ביטול ההקצאה.

עדכון של מסגרת לגרסה חדשה יותר

‫Google מפרסמת עדכונים שוטפים למסגרות המובנות שלה, כשהשירותים פורסים תכונות חדשות או כשמופיעות שיטות מומלצות חדשות. אתם יכולים לראות את הגרסאות של ה-frameworks המובנים במרכז הבקרה של ה-frameworks בכרטיסייה Configure או בדף הפרטים של ה-framework.

‫Google שולחת התראות במסוף ובנתוני הגרסה כשמתרחשים העדכונים הבאים:

  • הוספה או הסרה של אמצעי בקרה מובנים בענן ממסגרת
  • אמצעי הבקרה המובנים בענן מעודכנים

כדי לעדכן מסגרת:

  1. נכנסים לדף Frameworks במסוף Google Cloud .

    כניסה לדף Frameworks

  2. אם מתבקשים, בוחרים את הארגון.

  3. לוחצים על המסגרת שרוצים לעדכן.

  4. בדף Framework details, בטבלה Assigned resources, בודקים את הסטטוס בעמודה Update status של כל ההקצאות שמופיע בהן הסטטוס Update available.

  5. כדי להחיל את השינויים, צריך לבצע את הפעולות הבאות:

    1. הסרת הקצאת המשאבים.

    2. פורסים מחדש את המסגרת במשאב, כדי שהמסגרות של Assured Workloads יוכלו להמשיך לעקוב אחרי המשאב וליצור הפרות.

מחיקת מסגרת בהתאמה אישית

למחוק מסגרת כשלא צריך אותה יותר. אתם יכולים למחוק רק מסגרות שאתם יצרתם, ולא מסגרות מובנות.

  1. נכנסים לדף Frameworks במסוף Google Cloud .

    כניסה לדף Frameworks

  2. אם מתבקשים, בוחרים את הארגון.

  3. לוחצים על המסגרת שרוצים לבטל את הקצאת המשאבים שלה.

  4. בדף Framework details, מוודאים שהמסגרת לא מוקצית למשאב. אם צריך, מסירים את ההקצאות.

  5. לוחצים על פעולות > מחיקה.

  6. בחלון מחיקה, קוראים את ההודעה. מקלידים Delete ולוחצים על Confirm.

המאמרים הבאים