Configura i controlli del personale a livello di organizzazione (OLPC)

La modalità di controllo del personale a livello di organizzazione (OLPC) è un'impostazione a livello di organizzazione in Assured Workloads che consente di configurare i controlli di accesso amministrativo e di assistenza del personale per le risorse a livello di organizzazione per supportare i workload Data Boundary per Impact Level 5 (IL5).

L'Impact Level 5 (IL5) del Dipartimento della Difesa (DoD) richiede che l'assistenza e l'accesso amministrativo siano gestiti da soggetti statunitensi con sede negli Stati Uniti. Mentre le cartelle di Assured Workloads e i framework di Assured Workloads applicano controlli su cartelle e progetti, alcuni servizi Google Cloud archiviano i metadati di sicurezza o i dati di sessione direttamente nella radice dell'organizzazione e non possono essere partizionati tra le cartelle, ad esempio Security Command Center e la federazione delle identità per la forza lavoro. La configurazione di una modalità OLPC ti consente di applicare i controlli del personale IL5 a queste risorse a livello di organizzazione e di definire quali workload possono essere creati nella tua organizzazione.

La configurazione e l'applicazione della modalità OLPC sono incluse in Assured Workloads senza costi aggiuntivi.

Modalità OLPC

Prima di poter creare una cartella Data Boundary for IL5 o eseguire il deployment del framework Data Boundary for IL5 in modalità Monitora e previeni, un amministratore deve configurare una modalità OLPC per la tua organizzazione.

La tabella seguente descrive ogni modalità OLPC, se abilita i controlli del personale IL5 sulle risorse a livello di organizzazione e quali workload consente di creare o di cui consente il deployment:

Modalità OLPC Controlli del personale IL5 a livello di organizzazione Nuovi workload e framework preventivi consentiti Quando utilizzarlo
Non impostato Non abilitato Nella console Google Cloud , solo non IL5. Utilizzando l'API, Google Cloud CLI o Terraform, sono consentiti sia i workload Data Boundary per IL5 sia quelli non IL5. Stato predefinito prima che un amministratore configuri la modalità OLPC.
Strict IL5 Attivato per i soggetti statunitensi negli Stati Uniti Confine dei dati per le cartelle IL5 e i framework preventivi, i framework personalizzati in modalità Monitoraggio o Monitoraggio e prevenzione e i framework non IL5 integrati in modalità Monitoraggio. Blocca le nuove cartelle non IL5, i framework non IL5 integrati in modalità Monitoraggio e prevenzione e lo spostamento dei framework non IL5 integrati dalla modalità Monitoraggio alla modalità Monitoraggio e prevenzione. Organizzazioni IL5 dedicate che non hanno cartelle non IL5 esistenti o framework preventivi integrati. Non puoi selezionare questa modalità se la tua organizzazione ha già cartelle non IL5 attive o framework preventivi integrati.
Strict IL5 (migrazione in avanti) Attivato per i soggetti statunitensi negli Stati Uniti Confine dei dati per le cartelle IL5 e i framework preventivi in futuro, framework personalizzati in modalità Monitoraggio o Monitoraggio e prevenzione e framework non IL5 integrati in modalità Monitoraggio. I workload non IL5 esistenti rimangono invariati. Blocca le nuove cartelle non IL5, i framework non IL5 integrati in modalità Monitoraggio e prevenzione e lo spostamento dei framework non IL5 integrati dalla modalità Monitoraggio alla modalità Monitoraggio e prevenzione. Organizzazioni con workload non IL5 esistenti che vogliono creare solo cartelle IL5 e framework preventivi in futuro senza eliminare le cartelle non IL5 esistenti, rimuovere le assegnazioni delle risorse del framework non IL5 o eseguire la migrazione dei workload esistenti.
Consenti più workload con routing di supporto IL5 Attivato per i soggetti statunitensi negli Stati Uniti Workload sia Data Boundary per IL5 che non IL5. Organizzazioni che eseguono workload IL5 e non IL5, come FedRAMP High, CJIS o confini dei dati regionali, nella stessa organizzazione.

Nota: la scelta di questa modalità limita l'accesso alle risorse a livello di organizzazione ai soggetti statunitensi che si trovano negli Stati Uniti. Se una richiesta di assistenza per un progetto non IL5, ad esempio una richiesta di assistenza e Confini dei dati dell'UE, richiede l'accesso alle risorse a livello di organizzazione, il rappresentante dell'assistenza assegnato deve collaborare con un rappresentante dell'assistenza o un tecnico che sia un soggetto statunitense. Questa collaborazione può causare ritardi nell'assistenza e potrebbe comportare l'accesso da parte di un tecnico soggetto statunitense associato alla richiesta.
Disattivazione Disattivata Workload sia Data Boundary per IL5 che non IL5. Visualizza un banner di avviso non bloccante quando crei o applichi un workload IL5. Organizzazioni che scelgono di disattivare i controlli del personale IL5 per le risorse a livello di organizzazione, mantenendo i controlli a livello di cartella per le cartelle IL5.

Come funziona la modalità OLPC

La modalità OLPC regola sia il routing dell'assistenza a livello di organizzazione sia i guardrail per la creazione dei workload:

  • Ambito dell'organizzazione non ricorsivo: l'OLPC si applica solo alle risorse a livello di organizzazione nella radice dell'organizzazione Google Cloud . Le cartelle e i progetti secondari non ereditano i controlli del personale a livello di organizzazione dalla modalità OLPC. Seguono invece i controlli configurati nella propria cartella Assured Workloads o nel deployment del framework.
  • Routing dell'assistenza a livello di organizzazione: quando la modalità OLPC è impostata su Strict IL5, Strict IL5 (migrazione in avanti) o Consenti più workload con routing di supporto IL5, l'accesso alle risorse a livello di organizzazione è limitato ai soggetti statunitensi che si trovano negli Stati Uniti. Le richieste di assistenza clienti Google Cloud aperte nel nodo principale dell'organizzazione, anziché per un progetto specifico, vengono indirizzate a soggetti statunitensi che si trovano negli Stati Uniti. Per saperne di più sugli abbonamenti e sul routing dell'assistenza, consulta Richiedere assistenza.
  • Routing dell'assistenza a livello di progetto in organizzazioni miste: quando apri una richiesta di assistenza per un progetto specifico, la richiesta riceve sempre il routing dell'assistenza a livello di progetto in base alle impostazioni del framework o del confine dei dati del progetto. Nelle organizzazioni che utilizzano Strict IL5 (migrazione in avanti) o Consenti più workload con routing di assistenza IL5, se una richiesta di assistenza viene indirizzata a personale di assistenza non IL5 e la risoluzione del problema richiede l'accesso alle risorse a livello di organizzazione, il rappresentante dell'assistenza assegnato deve collaborare con un rappresentante o un tecnico dell'assistenza soggetto statunitense. Ad esempio, se una richiesta di assistenza relativa al confine dei dati dell'UE e all'assistenza richiede l'accesso a risorse a livello di organizzazione, questa collaborazione può causare ritardi nell'assistenza e potrebbe comportare l'accesso da parte di un ingegnere soggetto statunitense associato alla richiesta di assistenza, indipendentemente dalle impostazioni del confine dei dati del progetto.
  • Deployment di framework personalizzati e di rilevamento: i controlli del personale a livello di organizzazione si applicano alle risorse a livello di organizzazione, indipendentemente dai framework di cui esegui il deployment. Quando la modalità OLPC è impostata su Strict IL5 o Strict IL5 (migrazione in avanti), solo i framework Assured Workloads integrati non IL5 vengono bloccati in modalità Monitora e previeni e non puoi spostare un deployment di un framework integrato non IL5 esistente dalla modalità Monitora alla modalità Monitora e previeni. Il deployment di framework personalizzati in modalità Monitora o Monitora e previeni o il deployment di framework non IL5 integrati in modalità Monitora non è bloccato. Se un framework personalizzato include il controllo cloud builtin-restrict-technical-support-services per un regime non IL5, le richieste di assistenza per i progetti che utilizzano questo framework seguono lo stesso comportamento di collaborazione con soggetti statunitensi quando la risoluzione di un problema richiede l'accesso alle risorse a livello di organizzazione.
  • Conservazione dopo la rimozione del workload: se elimini l'ultima cartella Data Boundary for IL5 attiva o rimuovi l'ultima assegnazione preventiva delle risorse del framework Data Boundary for IL5 nella tua organizzazione, la modalità OLPC selezionata e i relativi controlli del personale a livello di organizzazione rimangono attivi finché un amministratore non modifica la modalità.

Prima di iniziare

Per visualizzare o aggiornare la modalità OLPC, devi disporre del ruolo Identity and Access Management (IAM) richiesto concesso a livello di organizzazione. I ruoli concessi solo a livello di cartella o progetto non sono sufficienti per visualizzare o modificare le impostazioni dell'organizzazione.

Per ottenere le autorizzazioni necessarie per visualizzare o aggiornare la modalità OLPC, chiedi all'amministratore di concederti i seguenti ruoli IAM nella tua organizzazione:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Visualizza o aggiorna la modalità OLPC

Puoi visualizzare e aggiornare la modalità OLPC della tua organizzazione nella pagina Impostazioni di Assured Workloads nella console Google Cloud :

  1. Nella console Google Cloud , vai alla pagina delle impostazioni di Assured Workloads.

    Vai alle impostazioni di Assured Workloads

    Puoi anche aprire le impostazioni di Assured Workloads da una delle seguenti pagine dopo aver selezionato la tua organizzazione:

    • Nella pagina Assured Workloads in Conformità > Assured Workloads, fai clic su Impostazioni nella barra delle azioni in alto.
    • Nella pagina Framework in Conformità > Configura, fai clic su Impostazioni nella barra delle azioni in alto.

  2. In Modalità OLPC, visualizza l'impostazione attuale accanto a Modalità attiva.

  3. Per modificare la modalità, fai clic su Modifica modalità OLPC.

  4. Nel riquadro Scegli la modalità OLPC, seleziona la modalità OLPC che corrisponde ai requisiti della tua organizzazione, quindi fai clic su Salva.

Configura la modalità OLPC per i workload IL5 esistenti

Se la tua organizzazione ha già un confine dei dati attivo per la cartella IL5 o un deployment del framework del confine dei dati preventivo per IL5 mentre la modalità OLPC è Non impostata, viene visualizzato un banner di avviso Azione richiesta nelle pagine Assured Workloads e Framework. Fai clic su Imposta modalità OLPC nel banner per aprire le impostazioni di Assured Workloads, seleziona una modalità OLPC e fai clic su Salva.

Risolvi i banner OLPC durante la creazione del workload

Quando crei una cartella Assured Workloads o esegui il deployment di un framework integrato in modalità Monitoraggio e prevenzione, la console Google Cloud controlla il confine dei dati selezionato rispetto alla modalità OLPC attiva della tua organizzazione:

  • Modalità OLPC obbligatoria: viene visualizzato quando selezioni Data Boundary per IL5 mentre la modalità OLPC della tua organizzazione è Non impostata. La creazione o l'applicazione non sono disponibili finché non viene configurata una modalità. Fai clic su Scegli la modalità OLPC nel banner per selezionare e salvare una modalità OLPC nel riquadro laterale senza uscire dal workflow.
  • Bloccato dalla modalità OLPC: viene visualizzato quando selezioni un pacchetto di controlli non IL5, esegui il deployment di un framework integrato non IL5 in modalità Monitoraggio e prevenzione o provi a modificare un deployment del framework integrato non IL5 esistente dalla modalità Monitoraggio alla modalità Monitoraggio e prevenzione mentre la tua organizzazione utilizza IL5 rigoroso o IL5 rigoroso (migrazione in avanti). Se la tua organizzazione deve applicare controlli preventivi per i workload non IL5 insieme ai workload IL5, un amministratore può fare clic su Aggiorna modalità OLPC nel banner e selezionare Consenti più workload con routing di supporto IL5 o Disattiva.
  • Disattivazione OLPC attiva: viene visualizzato quando selezioni Confine dei dati per IL5 mentre la modalità OLPC della tua organizzazione è impostata su Disattivazione. Questo avviso non blocca la creazione del workload e i controlli IL5 a livello di cartella continuano ad essere applicati alla cartella. Se vuoi applicare i controlli del personale per soggetti statunitensi alle risorse a livello di organizzazione, fai clic su Aggiorna modalità OLPC e seleziona Strict IL5, Strict IL5 (migrazione in avanti) o Consenti più workload con routing di assistenza IL5.

Risolvi i problemi relativi alla modalità OLPC

La tabella seguente descrive gli errori comuni durante la visualizzazione o l'aggiornamento della modalità OLPC o la creazione di workload, insieme ai passaggi per risolverli:

Messaggio di errore Causa Risoluzione
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. Hai selezionato Strict IL5, che è riservato alle organizzazioni solo IL5, mentre l'organizzazione ha già almeno una cartella non IL5 attiva o un deployment del framework preventivo integrato. Seleziona Strict IL5 (migrazione in avanti) per mantenere i workload non IL5 esistenti e bloccare quelli nuovi oppure seleziona Consenti più workload con routing di supporto IL5. Per utilizzare invece Strict IL5, rimuovi prima tutti i workload non IL5 esistenti eliminando le cartelle Assured Workloads non IL5 e rimuovendo le assegnazioni delle risorse dai framework Assured Workloads preventivi non IL5 integrati. La rimozione di un'assegnazione di risorse del framework ha effetto immediato senza eliminare la cartella o il progetto.
You don't have permission to view Assured Workloads settings. o You don't have permission to update Assured Workloads settings., oppure il pulsante Modifica modalità OLPC non è disponibile Il tuo account non dispone del ruolo IAM richiesto concesso a livello di organizzazione. Chiedi all'amministratore dell'organizzazione di concederti roles/assuredworkloads.viewer per visualizzare le impostazioni o roles/assuredworkloads.admin per visualizzare e aggiornare le impostazioni, sulla risorsa organizzazione anziché su una cartella o un progetto.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. È stato inviato un deployment di una cartella non IL5 o di un framework preventivo integrato mentre era attiva la modalità Strict IL5 o Strict IL5 (migrazione in avanti), ad esempio dopo che un amministratore ha modificato la modalità in un'altra sessione. Seleziona Data Boundary per IL5 o chiedi a un amministratore di aggiornare la modalità OLPC in Consenti più workload con routing di supporto IL5 nelle impostazioni di Assured Workloads.
Couldn't update OLPC mode. Try again. Un altro amministratore ha aggiornato le impostazioni dell'organizzazione nello stesso momento o si è verificato un errore temporaneo. Aggiorna la pagina delle impostazioni di Assured Workloads e riprova a salvare la selezione. Se l'errore persiste, contatta l'assistenza clienti.

Passaggi successivi