הגדרת אמצעי בקרה על כוח אדם ברמת הארגון (OLPC)

מצב "בקרת גישה של עובדים ברמת הארגון" (OLPC) הוא הגדרה ברמת הארגון ב-Assured Workloads, שמאפשרת להגדיר בקרות גישה של עובדים לתמיכה ולאדמין במשאבים ברמת הארגון, כדי לתמוך בעומסי עבודה של Data Boundary לרמת השפעה 5 (IL5).

לפי רמת השפעה 5 (IL5) של מחלקת ההגנה (DoD), רק אנשים או ישויות בארה"ב יכולים לטפל בתמיכה ובהרשאות אדמין. תיקיות ומסגרות של Assured Workloads אוכפות אמצעי בקרה על תיקיות ופרויקטים, אבל שירותים מסוימים של Google Cloud מאחסנים מטא-נתונים של אבטחה או נתוני סשנים ישירות ברמה הבסיסית (root) של הארגון, ואי אפשר לחלק אותם בין תיקיות, כמו Security Command Center ואיחוד שירותי האימות של כוח עבודה. הגדרת מצב OLPC מאפשרת להחיל אמצעי בקרה על כוח אדם ברמת IL5 על המשאבים האלה ברמת הארגון, ולהגדיר אילו עומסי עבודה אפשר ליצור בארגון.

ההגדרה והאכיפה של מצב OLPC כלולות ב-Assured Workloads ללא תשלום נוסף.

מצבי OLPC

כדי ליצור תיקיית Data Boundary ל-IL5 או לפרוס את מסגרת Data Boundary ל-IL5 במצב מעקב ומניעה, אדמין צריך להגדיר מצב OLPC לארגון.

בטבלה הבאה מתוארים כל מצבי ה-OLPC, אם הם מאפשרים אמצעי בקרה על כוח אדם ברמת IL5 במשאבים ברמת הארגון, ואילו עומסי עבודה אפשר ליצור או לפרוס באמצעותם:

מצב OLPC אמצעי בקרה על כוח אדם ברמת הארגון, בהתאם ל-IL5 עומסי עבודה חדשים מותרים ומסגרות מניעה מתי משתמשים
לא הוגדר מושבתת במסוף Google Cloud , רק לא-IL5. באמצעות ה-API, ה-CLI של Google Cloud או Terraform, אפשר להשתמש גם ב-Data Boundary ל-IL5 וגם בעומסי עבודה שהם לא IL5. מצב ברירת המחדל לפני שהאדמין מגדיר את מצב OLPC.
Strict IL5 התכונה מופעלת לאנשים או ישויות בארה"ב שנמצאים בארה"ב ‫Data Boundary לתיקיות IL5 ולמסגרות מניעה, מסגרות בהתאמה אישית במצב מעקב או מעקב ומניעה, ומסגרות מובנות שאינן IL5 במצב מעקב. חסימה של תיקיות חדשות שהן לא IL5, מסגרות מובנות שהן לא IL5 במצב מעקב ומניעה, והעברה של מסגרות מובנות שהן לא IL5 ממצב מעקב למצב מעקב ומניעה. ארגונים ייעודיים ל-IL5 שאין להם תיקיות קיימות שאינן IL5 או מסגרות מניעה מובנות. אי אפשר לבחור במצב הזה אם לארגון כבר יש תיקיות פעילות שאינן IL5 או מסגרות מניעה מובנות.
Strict IL5 (העברה קדימה) התכונה מופעלת לאנשים או ישויות בארה"ב שנמצאים בארה"ב גבולות נתונים לתיקיות IL5 ומסגרות מניעה עתידיות, מסגרות מותאמות אישית במצב מעקב או מעקב ומניעה, ומסגרות מובנות שאינן IL5 במצב מעקב. עומסי עבודה קיימים שאינם IL5 לא ישתנו. חוסמת תיקיות חדשות שהן לא IL5, מסגרות מובנות שהן לא IL5 במצב מעקב ומניעה, והעברה של מסגרות מובנות שהן לא IL5 ממצב מעקב למצב מעקב ומניעה. ארגונים עם עומסי עבודה קיימים שהם לא IL5, שרוצים ליצור רק תיקיות IL5 ומסגרות מניעה בלי למחוק תיקיות קיימות שהן לא IL5, להסיר הקצאות של משאבים במסגרת שהם לא IL5 או להעביר עומסי עבודה קיימים.
איך מאפשרים לכמה עומסי עבודה להשתמש בניתוב תמיכה של IL5 התכונה מופעלת לאנשים או ישויות בארה"ב שנמצאים בארה"ב גם Data Boundary לעומסי עבודה (workloads) ברמת IL5 וגם לעומסי עבודה שלא ברמת IL5. ארגונים שמריצים באותו ארגון גם עומסי עבודה של IL5 וגם עומסי עבודה שהם לא של IL5, כמו FedRAMP High,‏ CJIS או גבולות נתונים אזוריים.

הערה: בחירה במצב הזה מגבילה את הגישה למשאבים ברמת הארגון לאנשים או ישויות בארה"ב שנמצאים בארה"ב. אם בקשת תמיכה בפרויקט שאינו IL5, כמו בקשת תמיכה ו-EU Data Boundary, דורשת גישה למשאבים ברמת הארגון, נציג התמיכה שהוקצה צריך לשתף פעולה עם נציג תמיכה או מהנדס שהוא אדם או ישות בארה"ב. שיתוף הפעולה הזה עלול לגרום לעיכובים בתמיכה, ויכול להיות שמהנדס שהוא אדם או ישות בארה"ב יקבל גישה לבקשת התמיכה.
ביטול ההסכמה מושבתת גם Data Boundary לעומסי עבודה (workloads) ברמת IL5 וגם לעומסי עבודה שלא ברמת IL5. הצגת באנר אזהרה שלא חוסם את הפעולה כשיוצרים או אוכפים עומס עבודה ברמת IL5. ארגונים שבוחרים להשבית את אמצעי הבקרה על כוח האדם ברמת הארגון, אבל להשאיר את אמצעי הבקרה ברמת התיקייה בתיקיות IL5.

איך פועל מצב OLPC

מצב OLPC קובע גם את ניתוב התמיכה ברמת הארגון וגם את אמצעי ההגנה ליצירת עומסי עבודה:

  • היקף ארגוני לא רקורסיבי: מדיניות OLPC חלה רק על משאבים ברמת הארגון ב Google Cloud שורש הארגון. תיקיות ופרויקטים צאצאים לא יורשים את אמצעי הבקרה על כוח האדם ברמת הארגון ממצב OLPC. במקום זאת, הם פועלים לפי אמצעי הבקרה שהוגדרו בתיקייה או בפריסת המסגרת שלהם ב-Assured Workloads.
  • ניתוב בקשות תמיכה ברמת הארגון: כשמצב OLPC מוגדר ל-Strict IL5, ל-Strict IL5 (forward migration) או ל-Allow multiple workloads with IL5 support routing, הגישה למשאבים ברמת הארגון מוגבלת לאדם או ישות בארה"ב שנמצאים בארה"ב. בקשות תמיכה ב-Cloud Customer Care שנפתחות בצומת הבסיס (root) של הארגון, ולא בפרויקט ספציפי, מנותבות לאנשים או ישויות בארה"ב שנמצאים בארה"ב. למידע נוסף על מינויי תמיכה וניתוב, ראו קבלת תמיכה.
  • ניתוב בקשות תמיכה ברמת הפרויקט בארגונים מעורבים: כשפותחים בקשת תמיכה לפרויקט ספציפי, הבקשה תמיד מקבלת ניתוב ברמת הפרויקט על סמך הגדרות ה-Data Boundary או ה-Framework של אותו פרויקט. בארגונים שמשתמשים ב-Strict IL5 (forward migration)‎ או ב-Allow multiple workloads with IL5 support routing, אם בקשת תמיכה מנותבת לנציגי תמיכה שלא עומדים בדרישות IL5, וכדי לפתור את הבעיה צריך גישה למשאבים ברמת הארגון, נציג התמיכה שהוקצה לבקשה צריך לשתף פעולה עם נציג תמיכה או מהנדס שהוא אדם או ישות בארה"ב. לדוגמה, אם בבקשת תמיכה שקשורה ל-EU Data Boundary נדרשת גישה למשאבים ברמת הארגון, שיתוף הפעולה הזה עלול לגרום לעיכובים בתמיכה, ויכול להיות שמהנדס שמוגדר כאדם או ישות בארה"ב ומשויך לבקשת התמיכה יקבל גישה, בלי קשר להגדרות של גבולות הנתונים בפרויקט.
  • פריסות של מסגרות בהתאמה אישית ושל מסגרות בלשיות: אמצעי הבקרה על כוח האדם ברמת הארגון חלים על משאבים ברמת הארגון, בלי קשר למסגרות שאתם פורסים. כשהמצב של OLPC מוגדר ל-Strict IL5 או ל-Strict IL5 (forward migration), רק מסגרות מובנות של Assured Workloads שהן לא IL5 נחסמות במצב Monitor and prevent, ואי אפשר להעביר פריסה קיימת של מסגרת מובנית שהיא לא IL5 ממצב Monitor למצב Monitor and prevent. אפשר לפרוס מסגרות מותאמות אישית במצב מעקב או מעקב ומניעה, או לפרוס מסגרות מובנות שאינן IL5 במצב מעקב. אם מסגרת מותאמת אישית כוללת את אמצעי הבקרה בענן builtin-restrict-technical-support-services למשטר שאינו IL5, בקשות תמיכה לפרויקטים שמשתמשים במסגרת הזו פועלות לפי אותה התנהגות של שיתוף פעולה עם אדם או ישות בארה"ב, כשפתרון הבעיה דורש גישה למשאבים ברמת הארגון.
  • שמירה אחרי הסרת עומס העבודה: אם תמחקו את התיקייה הפעילה האחרונה של Data Boundary for IL5 או תסירו את ההקצאה האחרונה של משאב המסגרת המונע של Data Boundary for IL5 בארגון, מצב ה-OLPC שבחרתם ואמצעי הבקרה על כוח האדם ברמת הארגון יישארו פעילים עד שאדמין ישנה את המצב.

לפני שמתחילים

כדי להציג או לעדכן את מצב ה-OLPC, צריך לקבל את התפקיד הנדרש בניהול זהויות והרשאות גישה (IAM) ברמת הארגון. תפקידים שמוקצים רק ברמת התיקייה או הפרויקט לא מספיקים כדי להציג או לשנות את הגדרות הארגון.

כדי לקבל את ההרשאות שדרושות לצפייה או לעדכון של מצב OLPC, בקשו מהאדמין לתת לכם את התפקידים הבאים ב-IAM ברמת הארגון:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הצגה או עדכון של מצב OLPC

אפשר לראות ולעדכן את מצב ה-OLPC של הארגון בדף Assured Workloads settings במסוף Google Cloud :

  1. נכנסים לדף Assured Workloads settings במסוף Google Cloud .

    מעבר להגדרות של Assured Workloads

    אפשר גם לפתוח את הגדרות Assured Workloads באחד מהדפים הבאים, אחרי שבוחרים את הארגון:

    • בדף Assured Workloads, בקטע Compliance > Assured Workloads, לוחצים על Settings בסרגל הפעולות העליון.
    • בדף Frameworks, בקטע Compliance > Configure, לוחצים על Settings בסרגל הפעולות העליון.

  2. בקטע מצב OLPC, בודקים את ההגדרה הנוכחית לצד מצב פעיל.

  3. כדי לשנות את המצב, לוחצים על Edit OLPC mode.

  4. בחלונית Choose OLPC mode, בוחרים את מצב ה-OLPC שמתאים לדרישות של הארגון ולוחצים על Save.

הגדרת מצב OLPC לעומסי עבודה קיימים ברמת IL5

אם בארגון שלכם כבר יש תיקייה פעילה של Data Boundary ל-IL5 או פריסה של מסגרת מניעה של Data Boundary ל-IL5, ומצב OLPC הוא Not set, מופיע באנר אזהרה של Action required בדפים Assured Workloads ו-Frameworks. לוחצים על Set OLPC mode בבאנר כדי לפתוח את Assured Workloads settings, בוחרים מצב OLPC ולוחצים על Save.

פתרון בעיות שקשורות לבאנרים של OLPC במהלך יצירת עומס עבודה

כשאתם יוצרים תיקיית Assured Workloads או פורסים מסגרת מובנית במצב מעקב ומניעה, מסוף Google Cloud בודק את גבולות הנתונים שבחרתם בהתאם למצב ה-OLPC הפעיל של הארגון:

  • נדרש מצב OLPC: מופיע כשבוחרים את Data Boundary ל-IL5 כשמצב ה-OLPC של הארגון הוא לא מוגדר. אי אפשר ליצור או לאכוף מדיניות עד שמגדירים מצב. לוחצים על בחירת מצב OLPC בבאנר כדי לבחור ולשמור מצב OLPC בחלונית הצדדית בלי לצאת מתהליך העבודה.
  • ‫Blocked by OLPC mode: מופיע כשבוחרים חבילת בקרה שהיא לא IL5, פורסים מסגרת מובנית שהיא לא IL5 במצב Monitor and prevent, או מנסים לשנות פריסה קיימת של מסגרת מובנית שהיא לא IL5 ממצב Monitor למצב Monitor and prevent כשהארגון משתמש ב-Strict IL5 או ב-Strict IL5 (forward migration). אם הארגון שלכם צריך לאכוף אמצעי בקרה מונעים על עומסי עבודה שהם לא IL5 לצד עומסי עבודה שהם כן IL5, אדמין יכול ללחוץ על Update OLPC mode בבאנר ולבחור באפשרות Allow multiple workloads with IL5 support routing או באפשרות Opt-out.
  • ‫OLPC opt-out active: מופיע כשבוחרים את Data Boundary ל-IL5 כשמצב ה-OLPC של הארגון מוגדר ל-Opt-out. האזהרה הזו לא חוסמת את היצירה של עומס העבודה, ואמצעי הבקרה של IL5 ברמת התיקייה עדיין חלים על התיקייה. אם רוצים להחיל את אמצעי הבקרה של אדם או ישות בארה"ב על משאבים ברמת הארגון, לוחצים על Update OLPC mode ובוחרים באפשרות Strict IL5,‏ Strict IL5 (forward migration) או Allow multiple workloads with IL5 support routing.

פתרון בעיות במצב OLPC

בטבלה הבאה מתוארות שגיאות נפוצות שמופיעות כשמציגים או מעדכנים את מצב OLPC, או כשיוצרים עומסי עבודה, וגם השלבים לפתרון הבעיות:

הודעת השגיאה מטרה רזולוציה
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. בחרתם באפשרות Strict IL5, שמיועדת לארגונים עם IL5 בלבד, אבל לארגון כבר יש לפחות תיקייה אחת פעילה שהיא לא IL5 או פריסה מובנית של מסגרת מניעה. בוחרים באפשרות Strict IL5 (forward migration)‎ כדי לשמור על עומסי עבודה קיימים שהם לא IL5 ולחסום עומסי עבודה חדשים, או בוחרים באפשרות Allow multiple workloads with IL5 support routing. כדי להשתמש ב-Strict IL5, קודם צריך להסיר את כל עומסי העבודה הקיימים שהם לא IL5. לשם כך, מוחקים את תיקיות Assured Workloads שהן לא IL5 ומסירים את הקצאות המשאבים ממסגרות מובנות של Assured Workloads שהן לא IL5. הסרת הקצאת משאבים של מסגרת נכנסת לתוקף באופן מיידי בלי למחוק את התיקייה או הפרויקט.
You don't have permission to view Assured Workloads settings. או You don't have permission to update Assured Workloads settings., או שהלחצן עריכת מצב OLPC לא זמין לחשבון שלכם אין את תפקיד ה-IAM הנדרש ברמת הארגון. מבקשים ממנהל החשבון הארגוני להקצות לכם את התפקיד roles/assuredworkloads.viewer כדי לצפות בהגדרות, או את התפקיד roles/assuredworkloads.admin כדי לצפות בהגדרות ולעדכן אותן, במשאב של הארגון ולא בתיקייה או בפרויקט.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. נשלחה בקשה לפריסה של תיקייה שלא תואמת ל-IL5 או של מסגרת מניעה מובנית בזמן שהמצב Strict IL5 או Strict IL5 (forward migration) היה פעיל, למשל אחרי שאדמין שינה את המצב בסשן אחר. בוחרים באפשרות "גבולות נתונים" ל-IL5, או מבקשים מאדמין לעדכן את מצב ה-OLPC לAllow multiple workloads with IL5 support routing בהגדרות של Assured Workloads.
Couldn't update OLPC mode. Try again. אדמין אחר עדכן את הגדרות הארגון באותו זמן, או שאירעה שגיאה זמנית. מרעננים את הדף Assured Workloads settings ומנסים לשמור שוב את הבחירה. אם השגיאה נמשכת, פנו לשירות הלקוחות.

המאמרים הבאים