Configurer les contrôles du personnel au niveau de l'organisation (OLPC)

Le mode de contrôle du personnel au niveau de l'organisation (OLPC) est un paramètre Assured Workloads à l'échelle de l'organisation qui vous permet de configurer les contrôles d'accès administrateur et d'assistance du personnel pour les ressources au niveau de l'organisation afin de prendre en charge les charges de travail Data Boundary pour le niveau d'impact 5 (IL5).

Le niveau d'impact 5 (IL5) du ministère de la Défense (DoD) exige que l'assistance et l'accès administratif soient gérés par des personnes des États-Unis situées aux États-Unis. Bien que les dossiers Assured Workloads et les frameworks Assured Workloads appliquent des contrôles sur les dossiers et les projets, certains services Google Cloud stockent les métadonnées de sécurité ou les données de session directement à la racine de l'organisation et ne peuvent pas être partitionnés entre les dossiers, comme Security Command Center et la fédération des identités des employés. La configuration d'un mode OLPC vous permet d'appliquer des contrôles du personnel IL5 à ces ressources au niveau de l'organisation et de définir les charges de travail pouvant être créées dans votre organisation.

La configuration et l'application du mode OLPC sont incluses dans Assured Workloads sans frais supplémentaires.

Modes OLPC

Avant de pouvoir créer un dossier de limite de données pour IL5 ou déployer le framework de limite de données pour IL5 en mode Surveiller et empêcher, un administrateur doit configurer un mode OLPC pour votre organisation.

Le tableau suivant décrit chaque mode OLPC, indique s'il active les contrôles du personnel IL5 sur les ressources au niveau de l'organisation et précise les charges de travail que vous pouvez créer ou déployer :

Mode OLPC Contrôles du personnel IL5 au niveau de l'organisation Nouvelles charges de travail autorisées et frameworks préventifs Cas d'utilisation
Non défini Désactivée Dans la console Google Cloud , non-IL5 uniquement. En utilisant l'API, la Google Cloud CLI ou Terraform, les charges de travail Data Boundary pour IL5 et non-IL5 sont autorisées. État par défaut avant qu'un administrateur ne configure le mode OLPC.
IL5 strict Activé pour les personnes des États-Unis situées aux États-Unis Limite de données pour les dossiers IL5 et les frameworks préventifs, les frameworks personnalisés en mode Surveiller ou Surveiller et prévenir, et les frameworks non IL5 intégrés en mode Surveiller. Bloque les nouveaux dossiers non IL5, les frameworks non IL5 intégrés en mode Surveiller et prévenir et le passage des frameworks non IL5 intégrés du mode Surveiller au mode Surveiller et prévenir. Organisations IL5 dédiées qui ne disposent pas de dossiers non IL5 ni de frameworks préventifs intégrés. Vous ne pouvez pas sélectionner ce mode si votre organisation dispose déjà de dossiers non IL5 actifs ou de frameworks préventifs intégrés.
IL5 strict (migration ascendante) Activé pour les personnes des États-Unis situées aux États-Unis Limite de données pour les dossiers IL5 et les frameworks préventifs à l'avenir, frameworks personnalisés en mode Surveiller ou Surveiller et empêcher, et frameworks non IL5 intégrés en mode Surveiller. Les charges de travail non IL5 existantes restent inchangées. Bloque les nouveaux dossiers non IL5, les frameworks non IL5 intégrés en mode Surveiller et prévenir, et le passage des frameworks non IL5 intégrés du mode Surveiller au mode Surveiller et prévenir. Organisations disposant de charges de travail non IL5 existantes qui souhaitent créer uniquement des dossiers IL5 et des frameworks préventifs à l'avenir sans supprimer les dossiers non IL5 existants, supprimer les attributions de ressources de framework non IL5 ni migrer les charges de travail existantes.
Autoriser plusieurs charges de travail avec le routage de l'assistance compatible IL5 Activé pour les personnes des États-Unis situées aux États-Unis Périmètre de données pour les charges de travail IL5 et non IL5. Les organisations qui exécutent à la fois des charges de travail IL5 et non IL5, telles que FedRAMP High, CJIS ou des limites de données régionales, dans la même organisation.

Remarque : Si vous choisissez ce mode, l'accès aux ressources au niveau de l'organisation est limité aux personnes des États-Unis situées aux États-Unis. Si une demande d'assistance pour un projet non IL5, telle qu'une demande d'assistance et de périmètre de données de l'UE, nécessite l'accès à des ressources au niveau de l'organisation, le représentant de l'assistance attribué doit collaborer avec un représentant de l'assistance ou un ingénieur personne des États-Unis. Cette collaboration peut entraîner des retards d'assistance et peut entraîner des accès par un ingénieur américain associé à la demande.
Désactiver Désactivé Périmètre de données pour les charges de travail IL5 et non IL5. Affiche une bannière d'avertissement non bloquante lorsque vous créez ou appliquez une charge de travail IL5. Organisations qui choisissent de désactiver les contrôles du personnel IL5 pour les ressources au niveau de l'organisation tout en conservant les contrôles au niveau des dossiers IL5.

Fonctionnement du mode OLPC

Le mode OLPC régit à la fois le routage de l'assistance au niveau de l'organisation et les garde-fous de création de charges de travail :

  • Champ d'application de l'organisation non récursive : l'OLPC ne s'applique qu'aux ressources au niveau de l'organisation à la racine de l'organisation Google Cloud . Les dossiers et projets enfants n'héritent pas des contrôles du personnel au niveau de l'organisation du mode OLPC. À la place, ils suivent les contrôles configurés sur leur propre dossier Assured Workloads ou déploiement de framework.
  • Routage de l'assistance au niveau de l'organisation : lorsque le mode OLPC est défini sur IL5 strict, IL5 strict (migration ascendante) ou Autoriser plusieurs charges de travail avec le routage de l'assistance compatible IL5, l'accès aux ressources au niveau de l'organisation est limité aux personnes des États-Unis situées aux États-Unis. Les demandes Cloud Customer Care ouvertes au niveau du nœud racine de l'organisation, plutôt que pour un projet spécifique, sont acheminées vers des personnes des États-Unis situées aux États-Unis. Pour en savoir plus sur les abonnements et le routage de l'assistance, consultez Obtenir de l'aide.
  • Routage de l'assistance au niveau du projet dans les organisations mixtes : lorsque vous ouvrez une demande d'assistance pour un projet spécifique, la demande reçoit toujours un routage de l'assistance au niveau du projet en fonction des paramètres de limite de données ou de framework de ce projet. Dans les organisations qui utilisent le mode IL5 strict (migration ascendante) ou Autoriser plusieurs charges de travail avec le routage de l'assistance compatible IL5, si une demande d'assistance est acheminée vers un personnel d'assistance non IL5 et que la résolution du problème nécessite l'accès à des ressources au niveau de l'organisation, le représentant de l'assistance désigné doit collaborer avec un représentant de l'assistance ou un ingénieur qui est une personne des États-Unis. Par exemple, si une demande d'assistance et de périmètre de données de l'UE nécessite l'accès à des ressources au niveau de l'organisation, cette collaboration peut entraîner des retards d'assistance et peut entraîner des accès par une personne des États-Unis associée à la demande d'assistance, quels que soient les paramètres de périmètre de données du projet.
  • Déploiements de frameworks personnalisés et de détection : les contrôles du personnel au niveau de l'organisation s'appliquent aux ressources au niveau de l'organisation, quels que soient les frameworks que vous déployez. Lorsque le mode OLPC est défini sur IL5 strict ou IL5 strict (migration ascendante), seuls les frameworks Assured Workloads non IL5 intégrés sont bloqués en mode Surveiller et empêcher, et vous ne pouvez pas faire passer un déploiement de framework non IL5 intégré existant du mode Surveiller au mode Surveiller et empêcher. Le déploiement de frameworks personnalisés en mode Surveiller ou Surveiller et prévenir, ou le déploiement de frameworks intégrés non IL5 en mode Surveiller, n'est pas bloqué. Si un framework personnalisé inclut le contrôle cloud builtin-restrict-technical-support-services pour un régime non IL5, les demandes d'assistance pour les projets utilisant ce framework suivent le même comportement de collaboration avec des personnes des États-Unis lorsqu'un problème nécessite l'accès à des ressources au niveau de l'organisation.
  • Conservation après la suppression de la charge de travail : si vous supprimez le dernier dossier de périmètre de données actif pour IL5 ou si vous supprimez la dernière attribution de ressource de framework de périmètre de données préventif pour IL5 dans votre organisation, le mode OLPC sélectionné et ses contrôles du personnel au niveau de l'organisation restent actifs jusqu'à ce qu'un administrateur modifie le mode.

Avant de commencer

Pour afficher ou mettre à jour le mode OLPC, vous devez disposer du rôle IAM (Identity and Access Management) requis au niveau de l'organisation. Les rôles accordés uniquement au niveau du dossier ou du projet ne sont pas suffisants pour afficher ou modifier les paramètres de l'organisation.

Pour obtenir les autorisations nécessaires pour afficher ou mettre à jour le mode OLPC, demandez à votre administrateur de vous accorder les rôles IAM suivants sur votre organisation :

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Afficher ou modifier le mode OLPC

Vous pouvez afficher et modifier le mode OLPC de votre organisation sur la page Paramètres Assured Workloads de la console Google Cloud  :

  1. Dans la console Google Cloud , accédez à la page Paramètres d'Assured Workloads.

    Accéder aux paramètres Assured Workloads

    Vous pouvez également ouvrir les paramètres Assured Workloads à partir de l'une des pages suivantes après avoir sélectionné votre organisation :

    • Sur la page Assured Workloads, sous Conformité > Assured Workloads, cliquez sur Paramètres dans la barre d'action supérieure.
    • Sur la page Frameworks, sous Conformité > Configurer, cliquez sur Paramètres dans la barre d'action supérieure.

  2. Sous Mode OLPC, affichez le paramètre actuel à côté de Mode actif.

  3. Pour modifier le mode, cliquez sur Modifier le mode OLPC.

  4. Dans le panneau Choisir le mode OLPC, sélectionnez le mode OLPC qui correspond aux exigences de votre organisation, puis cliquez sur Enregistrer.

Configurer le mode OLPC pour les charges de travail IL5 existantes

Si votre organisation dispose déjà d'un dossier "Périmètre de données pour IL5" actif ou d'un déploiement de framework "Périmètre de données préventif pour IL5" alors que le mode OLPC est défini sur Non défini, une bannière d'avertissement Action requise s'affiche sur les pages Assured Workloads et Frameworks. Cliquez sur Définir le mode OLPC dans la bannière pour ouvrir les paramètres Assured Workloads, sélectionnez un mode OLPC, puis cliquez sur Enregistrer.

Résoudre les bannières OLPC lors de la création de la charge de travail

Lorsque vous créez un dossier Assured Workloads ou déployez un framework intégré en mode Surveiller et prévenir, la console Google Cloud vérifie la limite de données sélectionnée par rapport au mode OLPC actif de votre organisation :

  • Mode OLPC requis : s'affiche lorsque vous sélectionnez "Périmètre de données pour IL5" alors que le mode OLPC de votre organisation est défini sur Non défini. La création ou l'application ne sont pas disponibles tant qu'un mode n'est pas configuré. Cliquez sur Choisir le mode OLPC dans la bannière pour sélectionner et enregistrer un mode OLPC dans le panneau latéral sans quitter le workflow.
  • Bloqué par le mode OLPC : s'affiche lorsque vous sélectionnez un package de contrôle non IL5, déployez un framework intégré non IL5 en mode Surveiller et prévenir ou essayez de modifier un déploiement de framework intégré non IL5 existant du mode Surveiller au mode Surveiller et prévenir alors que votre organisation utilise IL5 strict ou IL5 strict (migration ascendante). Si votre organisation doit appliquer des contrôles préventifs pour les charges de travail non IL5 en plus des charges de travail IL5, un administrateur peut cliquer sur Mettre à jour le mode OLPC dans la bannière et sélectionner Autoriser plusieurs charges de travail avec le routage de l'assistance compatible IL5 ou Désactiver.
  • Désactivation de l'OLPC active : s'affiche lorsque vous sélectionnez la limite de données pour IL5 alors que le mode OLPC de votre organisation est défini sur Désactivé. Cet avertissement ne bloque pas la création de la charge de travail, et les contrôles IL5 au niveau du dossier s'appliquent toujours au dossier. Si vous souhaitez appliquer des contrôles du personnel des États-Unis aux ressources au niveau de l'organisation, cliquez sur Mettre à jour le mode OLPC, puis sélectionnez IL5 strict, IL5 strict (migration ascendante) ou Autoriser plusieurs charges de travail avec le routage de l'assistance compatible IL5.

Résoudre les problèmes liés au mode OLPC

Le tableau suivant décrit les erreurs courantes qui se produisent lors de l'affichage ou de la mise à jour du mode OLPC, ou lors de la création de charges de travail, ainsi que les étapes à suivre pour les résoudre :

Message d'erreur Cause Solution
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. Vous avez sélectionné IL5 strict, qui est réservé aux organisations IL5 uniquement, alors que l'organisation dispose déjà d'au moins un dossier non IL5 actif ou d'un déploiement de framework préventif intégré. Sélectionnez IL5 strict (migration ascendante) pour conserver les charges de travail non IL5 existantes tout en bloquant les nouvelles, ou sélectionnez Autoriser plusieurs charges de travail avec le routage de l'assistance compatible IL5. Pour utiliser Strict IL5 à la place, supprimez d'abord toutes les charges de travail non IL5 existantes en supprimant les dossiers Assured Workloads non IL5 et en supprimant les attributions de ressources des frameworks Assured Workloads préventifs non IL5 intégrés. La suppression d'une attribution de ressource de framework prend effet immédiatement sans supprimer le dossier ni le projet.
You don't have permission to view Assured Workloads settings. ou You don't have permission to update Assured Workloads settings., ou le bouton Modifier le mode OLPC n'est pas disponible Votre compte ne dispose pas du rôle IAM requis au niveau de l'organisation. Demandez à l'administrateur de votre organisation de vous accorder le rôle roles/assuredworkloads.viewer pour afficher les paramètres, ou roles/assuredworkloads.admin pour afficher et modifier les paramètres, sur la ressource organisation plutôt que sur un dossier ou un projet.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. Un dossier non IL5 ou un déploiement de framework préventif intégré a été envoyé alors que le mode IL5 strict ou IL5 strict (migration ascendante) était actif, par exemple après qu'un administrateur a modifié le mode dans une autre session. Sélectionnez "Périmètre de données pour IL5" ou demandez à un administrateur de définir le mode OLPC sur Autoriser plusieurs charges de travail avec le routage de l'assistance compatible IL5 dans les paramètres Assured Workloads.
Couldn't update OLPC mode. Try again. Un autre administrateur a modifié les paramètres de l'organisation en même temps, ou une erreur temporaire s'est produite. Actualisez la page Paramètres d'Assured Workloads et essayez d'enregistrer à nouveau votre sélection. Si l'erreur persiste, contactez Customer Care.

Étapes suivantes