Personalkontrollen auf Organisationsebene (OLPC) konfigurieren

Der Modus „Personalkontrolle auf Organisationsebene“ (Organization-Level Personnel Control, OLPC) ist eine organisationsweite Einstellung in Assured Workloads, mit der Sie den Support durch Personal und den Administratorzugriff für Ressourcen auf Organisationsebene konfigurieren können, um Arbeitslasten mit Datengrenze für Impact Level 5 (IL5) zu unterstützen.

Das US-Verteidigungsministerium (DoD) verlangt für Impact Level 5 (IL5), dass Support- und Administratorzugriffe von in den USA ansässigen Personen in den USA durchgeführt werden. Während Assured Workloads-Ordner und Assured Workloads-Frameworks Kontrollen für Ordner und Projekte erzwingen, speichern bestimmte Google Cloud -Dienste Sicherheitsmetadaten oder Sitzungsdaten direkt im Organisationsstamm und können nicht auf Ordner aufgeteilt werden, z. B. Security Command Center und Mitarbeiteridentitätsföderation. Durch die Konfiguration eines OLPC-Modus können Sie IL5-Personalkontrollen auf diese Ressourcen auf Organisationsebene anwenden und festlegen, welche Arbeitslasten in Ihrer Organisation erstellt werden können.

Die Konfiguration und Erzwingung des OLPC-Modus sind in Assured Workloads ohne zusätzliche Kosten enthalten.

OLPC-Modi

Bevor Sie einen Ordner für die Datengrenze für IL5 erstellen oder das Framework für die Datengrenze für IL5 im Modus Überwachen und verhindern bereitstellen können, muss ein Administrator einen OLPC-Modus für Ihre Organisation konfigurieren.

In der folgenden Tabelle werden die einzelnen OLPC-Modi beschrieben, ob sie IL5-Personalkontrollen für Ressourcen auf Organisationsebene aktivieren und welche Arbeitslasten Sie damit erstellen oder bereitstellen können:

OLPC-Modus IL5-Personalkontrollen auf Organisationsebene Zulässige neue Arbeitslasten und präventive Frameworks Geeignet für
Nicht festgelegt Nicht aktiviert In der Google Cloud Console, nur Nicht-IL5. Über die API, die Google Cloud CLI oder Terraform sind sowohl Datengrenzen für IL5- als auch für Nicht-IL5-Arbeitslasten zulässig. Standardstatus, bevor ein Administrator den OLPC-Modus konfiguriert.
Striktes IL5 Für US-Personen in den USA aktiviert Datengrenze für IL5-Ordner und präventive Frameworks, benutzerdefinierte Frameworks im Modus Überwachen oder Überwachen und verhindern sowie integrierte Nicht-IL5-Frameworks im Modus Überwachen. Blockiert neue Nicht-IL5-Ordner, integrierte Nicht-IL5-Frameworks im Modus Überwachen und verhindern und das Verschieben integrierter Nicht-IL5-Frameworks vom Modus Überwachen in den Modus Überwachen und verhindern. Dedizierte IL5-Organisationen, die keine vorhandenen Nicht-IL5-Ordner oder integrierten präventiven Frameworks haben. Sie können diesen Modus nicht auswählen, wenn Ihre Organisation bereits aktive Nicht-IL5-Ordner oder integrierte präventive Frameworks hat.
Striktes IL5 (Vorwärtsmigration) Für US-Personen in den USA aktiviert Datengrenze für IL5-Ordner und präventive Frameworks, benutzerdefinierte Frameworks im Modus Überwachen oder Überwachen und verhindern sowie integrierte Nicht-IL5-Frameworks im Modus Überwachen. Vorhandene Nicht-IL5-Arbeitslasten bleiben unverändert. Blockiert neue Nicht-IL5-Ordner, integrierte Nicht-IL5-Frameworks im Modus Überwachen und verhindern und das Verschieben integrierter Nicht-IL5-Frameworks vom Modus Überwachen in den Modus Überwachen und verhindern. Organisationen mit vorhandenen Nicht-IL5-Arbeitslasten, die in Zukunft nur IL5-Ordner und präventive Frameworks erstellen möchten, ohne vorhandene Nicht-IL5-Ordner zu löschen, Nicht-IL5-Framework-Ressourcenzuweisungen zu entfernen oder vorhandene Arbeitslasten zu migrieren.
Mehrere Arbeitslasten mit IL5-Supportrouting zulassen Für US-Personen in den USA aktiviert Sowohl Datengrenze für IL5- als auch Nicht-IL5-Arbeitslasten. Organisationen, die sowohl IL5- als auch Nicht-IL5-Arbeitslasten wie FedRAMP High, CJIS oder regionale Datengrenzen in derselben Organisation ausführen.

Hinweis: Wenn Sie diesen Modus auswählen, wird der Zugriff auf Ressourcen auf Organisationsebene auf US-Bürger in den USA beschränkt. Wenn für eine Supportanfrage für ein Nicht-IL5-Projekt, z. B. eine Anfrage im Zusammenhang mit EU Data Boundary und Support, Zugriff auf Ressourcen auf Organisationsebene erforderlich ist, muss der zugewiesene Supportmitarbeiter mit einem Supportmitarbeiter oder Engineer zusammenarbeiten, der eine US-Person ist. Diese Zusammenarbeit kann zu Verzögerungen beim Support führen und dazu, dass eine in den USA ansässige (natürliche oder juristische) Person, die mit der Supportanfrage befasst ist, auf Daten zugreift.
Deaktivieren Deaktiviert Sowohl Datengrenze für IL5- als auch Nicht-IL5-Arbeitslasten. Zeigt ein nicht blockierendes Warnbanner an, wenn Sie eine IL5-Arbeitslast erstellen oder erzwingen. Organisationen, die IL5-Personalkontrollen für Ressourcen auf Organisationsebene deaktivieren, aber Kontrollen auf Ordnerebene für IL5-Ordner aktiviert lassen möchten.

Funktionsweise des OLPC-Modus

Der OLPC-Modus steuert sowohl das Supportrouting auf Organisationsebene als auch die Schutzmaßnahmen für die Erstellung von Arbeitslasten:

  • Nicht rekursiver Organisationsbereich: OLPC gilt nur für Ressourcen auf Organisationsebene im Google Cloud Organisationsstamm. Untergeordnete Ordner und Projekte übernehmen keine Personalkontrollen auf Organisationsebene aus dem OLPC-Modus. Stattdessen gelten die Einstellungen, die für den eigenen Assured Workloads-Ordner oder das eigene Framework-Deployment konfiguriert wurden.
  • Supportrouting auf Organisationsebene: Wenn der OLPC-Modus auf Striktes IL5, Striktes IL5 (Vorwärtsmigration) oder Mehrere Arbeitslasten mit IL5-Supportrouting zulassen festgelegt ist, ist der Zugriff auf Ressourcen auf Organisationsebene auf US-Personen in den USA beschränkt. Cloud Customer Care-Anfragen, die auf dem Stammknoten der Organisation und nicht für ein bestimmtes Projekt geöffnet werden, werden an US-Personen in den USA weitergeleitet. Weitere Informationen zu Supportabos und Routing finden Sie unter Support erhalten.
  • Supportrouting auf Projektebene in gemischten Organisationen: Wenn Sie eine Supportanfrage für ein bestimmtes Projekt öffnen, wird die Anfrage immer auf Projektebene weitergeleitet, basierend auf den Einstellungen für die Datengrenze oder das Framework dieses Projekts. In Organisationen, die Striktes IL5 (Vorwärtsmigration) oder Mehrere Arbeitslasten mit IL5-Supportrouting zulassen verwenden, muss der zugewiesene Supportmitarbeiter mit einem Supportmitarbeiter oder Engineer zusammenarbeiten, der eine US-Person ist, wenn eine Supportanfrage an Nicht-IL5-Supportmitarbeiter weitergeleitet wird und zur Lösung des Problems Zugriff auf Ressourcen auf Organisationsebene erforderlich ist. Wenn beispielsweise für eine Supportanfrage im Rahmen der EU-Datengrenze Zugriff auf Ressourcen auf Organisationsebene erforderlich ist, kann diese Zusammenarbeit zu Verzögerungen beim Support führen und dazu, dass ein US-amerikanischer Techniker, der mit der Supportanfrage betraut ist, unabhängig von den Einstellungen für die Datengrenze des Projekts auf die Daten zugreift.
  • Benutzerdefinierte und detektive Framework-Bereitstellungen: Personalkontrollen auf Organisationsebene gelten für Ressourcen auf Organisationsebene, unabhängig davon, welche Frameworks Sie bereitstellen. Wenn der OLPC-Modus auf Striktes IL5 oder Striktes IL5 (Vorwärtsmigration) festgelegt ist, werden im Modus Überwachen und verhindern nur integrierte Assured Workloads-Frameworks blockiert, die nicht IL5-konform sind. Sie können eine vorhandene integrierte Bereitstellung eines nicht IL5-konformen Frameworks nicht vom Modus Überwachen in den Modus Überwachen und verhindern verschieben. Das Bereitstellen benutzerdefinierter Frameworks im Modus Überwachen oder Überwachen und verhindern oder das Bereitstellen integrierter Nicht-IL5-Frameworks im Modus Überwachen wird nicht blockiert. Wenn ein benutzerdefiniertes Framework die Cloud-Steuerung builtin-restrict-technical-support-services für ein Nicht-IL5-Regime enthält, folgen Supportanfragen für Projekte, die dieses Framework verwenden, demselben Zusammenarbeitsverhalten mit US-Personen, wenn für die Lösung eines Problems Zugriff auf Ressourcen auf Organisationsebene erforderlich ist.
  • Aufbewahrung nach Entfernen der Arbeitslast: Wenn Sie den letzten aktiven Ordner „Data Boundary for IL5“ löschen oder die letzte präventive Ressourcenzuweisung für das Framework „Data Boundary for IL5“ in Ihrer Organisation entfernen, bleiben der ausgewählte OLPC-Modus und die zugehörigen Personalkontrollen auf Organisationsebene aktiv, bis ein Administrator den Modus ändert.

Hinweis

Zum Aufrufen oder Aktualisieren des OLPC-Modus benötigen Sie die erforderliche IAM-Rolle (Identity and Access Management) auf Organisationsebene. Rollen, die nur auf Ordner- oder Projektebene gewährt werden, reichen nicht aus, um Organisationseinstellungen anzusehen oder zu ändern.

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Aufrufen oder Aktualisieren des OLPC-Modus benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

OLPC-Modus ansehen oder aktualisieren

Sie können den OLPC-Modus Ihrer Organisation auf der Seite Assured Workloads-Einstellungen in der Google Cloud Console aufrufen und aktualisieren:

  1. Rufen Sie in der Google Cloud Console die Seite Assured Workloads-Einstellungen auf.

    Zu den Assured Workloads-Einstellungen

    Sie können die Assured Workloads-Einstellungen auch auf einer der folgenden Seiten öffnen, nachdem Sie Ihre Organisation ausgewählt haben:

    • Klicken Sie auf der Seite Assured Workloads unter Compliance > Assured Workloads in der oberen Aktionsleiste auf Einstellungen.
    • Klicken Sie auf der Seite Frameworks unter Compliance > Konfigurieren in der oberen Aktionsleiste auf Einstellungen.

  2. Unter OLPC-Modus wird die aktuelle Einstellung neben Aktiver Modus angezeigt.

  3. Klicken Sie zum Ändern des Modus auf OLPC-Modus bearbeiten.

  4. Wählen Sie im Bereich OLPC-Modus auswählen den OLPC-Modus aus, der den Anforderungen Ihrer Organisation entspricht, und klicken Sie dann auf Speichern.

OLPC-Modus für vorhandene IL5-Arbeitslasten konfigurieren

Wenn Ihre Organisation bereits einen aktiven Ordner „Datengrenze für IL5“ oder eine präventive Bereitstellung des Frameworks „Datengrenze für IL5“ hat, während der OLPC-Modus Nicht festgelegt ist, wird auf den Seiten Assured Workloads und Frameworks ein Warnbanner Aktion erforderlich angezeigt. Klicken Sie im Banner auf OLPC-Modus festlegen, um die Assured Workloads-Einstellungen zu öffnen. Wählen Sie einen OLPC-Modus aus und klicken Sie auf Speichern.

OLPC-Banner beim Erstellen von Arbeitslasten auflösen

Wenn Sie einen Assured Workloads-Ordner erstellen oder ein integriertes Framework im Modus Überwachen und verhindern bereitstellen, prüft die Google Cloud Console die ausgewählte Datengrenze anhand des aktiven OLPC-Modus Ihrer Organisation:

  • OLPC-Modus erforderlich: Wird angezeigt, wenn Sie „Datengrenze für IL5“ auswählen, während der OLPC-Modus Ihrer Organisation Nicht festgelegt ist. Erstellung oder Erzwingung ist erst verfügbar, wenn ein Modus konfiguriert wurde. Klicken Sie im Banner auf OLPC-Modus auswählen, um einen OLPC-Modus im Seitenbereich auszuwählen und zu speichern, ohne den Workflow zu verlassen.
  • Durch OLPC-Modus blockiert: Wird angezeigt, wenn Sie ein Nicht-IL5-Kontrollpaket auswählen, ein integriertes Nicht-IL5-Framework im Modus Überwachen und verhindern bereitstellen oder versuchen, eine vorhandene integrierte Nicht-IL5-Framework-Bereitstellung vom Modus Überwachen in den Modus Überwachen und verhindern zu ändern, während Ihre Organisation Striktes IL5 oder Striktes IL5 (Vorwärtsmigration) verwendet. Wenn Ihre Organisation neben IL5-Arbeitslasten auch präventive Kontrollen für Nicht-IL5-Arbeitslasten erzwingen muss, kann ein Administrator im Banner auf OLPC-Modus aktualisieren klicken und Mehrere Arbeitslasten mit IL5-Supportrouting zulassen oder Deaktivieren auswählen.
  • OLPC-Deaktivierung aktiv: Wird angezeigt, wenn Sie die Datengrenze für IL5 auswählen, während der OLPC-Modus Ihrer Organisation auf Deaktiviert festgelegt ist. Diese Warnung verhindert nicht die Erstellung von Arbeitslasten und die IL5-Steuerelemente auf Ordnerebene gelten weiterhin für den Ordner. Wenn Sie möchten, dass Personalkontrollen für US-Personen auf Ressourcen auf Organisationsebene angewendet werden, klicken Sie auf OLPC-Modus aktualisieren und wählen Sie Striktes IL5, Striktes IL5 (Vorwärtsmigration) oder Mehrere Arbeitslasten mit IL5-Supportrouting zulassen aus.

Fehlerbehebung für den OLPC-Modus

In der folgenden Tabelle werden häufige Fehler beim Aufrufen oder Aktualisieren des OLPC-Modus oder beim Erstellen von Arbeitslasten sowie Schritte zur Behebung beschrieben:

Fehlermeldung Ursache Lösung
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. Sie haben Striktes IL5 ausgewählt, das für Organisationen reserviert ist, die nur IL5-Arbeitslasten enthalten. Die Organisation hat jedoch bereits mindestens einen aktiven Nicht-IL5-Ordner oder eine integrierte Bereitstellung des präventiven Frameworks. Wählen Sie Striktes IL5 (Vorwärtsmigration) aus, um vorhandene Nicht-IL5-Arbeitslasten beizubehalten und neue zu blockieren, oder wählen Sie Mehrere Arbeitslasten mit IL5-Supportrouting zulassen aus. Wenn Sie stattdessen Striktes IL5 verwenden möchten, entfernen Sie zuerst alle vorhandenen Nicht-IL5-Arbeitslasten. Löschen Sie dazu die Assured Workloads-Ordner, die nicht IL5 entsprechen, und entfernen Sie Ressourcenzuweisungen aus integrierten präventiven Assured Workloads-Frameworks, die nicht IL5 entsprechen. Das Entfernen einer Framework-Ressourcenzuweisung wird sofort wirksam, ohne dass der Ordner oder das Projekt gelöscht wird.
You don't have permission to view Assured Workloads settings. oder You don't have permission to update Assured Workloads settings. oder der Button OLPC-Modus bearbeiten ist nicht verfügbar. Ihrem Konto wurde die erforderliche IAM-Rolle auf Organisationsebene nicht zugewiesen. Bitten Sie den Administrator Ihrer Organisation, Ihnen roles/assuredworkloads.viewer zum Aufrufen von Einstellungen oder roles/assuredworkloads.admin zum Aufrufen und Aktualisieren von Einstellungen für die Organisationsressource und nicht für einen Ordner oder ein Projekt zu gewähren.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. Ein Nicht-IL5-Ordner oder eine integrierte Bereitstellung des präventiven Frameworks wurde gesendet, während Striktes IL5 oder Striktes IL5 (Vorwärtsmigration) aktiv war, z. B. nachdem ein Administrator den Modus in einer anderen Sitzung geändert hat. Wählen Sie „Datengrenze für IL5“ aus oder bitten Sie einen Administrator, den OLPC-Modus in den Assured Workloads-Einstellungen auf Mehrere Arbeitslasten mit IL5-Supportrouting zulassen zu aktualisieren.
Couldn't update OLPC mode. Try again. Ein anderer Administrator hat die Einstellungen der Organisation gleichzeitig aktualisiert oder es ist ein vorübergehender Fehler aufgetreten. Aktualisieren Sie die Seite Assured Workloads-Einstellungen und versuchen Sie noch einmal, Ihre Auswahl zu speichern. Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Kundendienst.

Nächste Schritte