Configurar controles de pessoal no nível da organização (OLPC)

O modo de controle de pessoal no nível da organização (OLPC, na sigla em inglês) é uma configuração para toda a organização no Assured Workloads que permite configurar o suporte de pessoal e os controles de acesso administrativo para recursos no nível da organização para dar suporte a cargas de trabalho de limite de dados para o nível de impacto 5 (IL5).

O Nível de Impacto 5 (IL5) do Departamento de Defesa (DoD) exige que o suporte e o acesso administrativo sejam gerenciados por residentes dos EUA. Enquanto as pastas do Assured Workloads e os frameworks do Assured Workloads aplicam controles em pastas e projetos, determinados serviços do Google Cloud armazenam metadados de segurança ou dados de sessão diretamente na raiz da organização e não podem ser particionados entre pastas, como o Security Command Center e a federação de identidade de colaboradores. Ao configurar um modo OLPC, é possível aplicar controles de pessoal IL5 a esses recursos no nível da organização e definir quais cargas de trabalho podem ser criadas na sua organização.

A configuração e a aplicação do modo OLPC estão incluídas no Assured Workloads sem custo financeiro adicional.

Modos OLPC

Antes de criar uma pasta de limite de dados para IL5 ou implantar o framework de limite de dados para IL5 no modo Monitorar e prevenir, um administrador precisa configurar um modo OLPC para sua organização.

A tabela a seguir descreve cada modo OLPC, se ele ativa os controles de pessoal do IL5 em recursos no nível da organização e quais cargas de trabalho ele permite criar ou implantar:

Modo OLPC Controles de pessoal do IL5 no nível da organização Novas cargas de trabalho permitidas e frameworks preventivos Quando usar
Não definido Não ativado No console do Google Cloud , somente não IL5. Usando a API, a Google Cloud CLI ou o Terraform, as cargas de trabalho de limite de dados para IL5 e não IL5 são permitidas. Estado padrão antes de um administrador configurar o modo OLPC.
IL5 estrito Ativado para residentes dos EUA nos EUA Limite de dados para pastas IL5 e frameworks preventivos, frameworks personalizados no modo Monitorar ou Monitorar e prevenir e frameworks integrados não IL5 no modo Monitorar. Bloqueia novas pastas que não são IL5, frameworks integrados que não são IL5 no modo Monitorar e impedir e a migração de frameworks integrados que não são IL5 do modo Monitorar para o modo Monitorar e impedir. Organizações dedicadas ao IL5 que não têm pastas que não sejam IL5 ou frameworks preventivos integrados. Não é possível selecionar esse modo se a organização já tiver pastas ativas que não sejam IL5 ou frameworks preventivos integrados.
IL5 estrito (migração para frente) Ativado para residentes dos EUA nos EUA Limite de dados para pastas IL5 e frameworks preventivos, frameworks personalizados no modo Monitorar ou Monitorar e prevenir e frameworks integrados não IL5 no modo Monitorar. As cargas de trabalho atuais que não são IL5 permanecem inalteradas. Bloqueia novas pastas que não são IL5, frameworks integrados que não são IL5 no modo Monitorar e impedir e a migração de frameworks integrados que não são IL5 do modo Monitorar para o modo Monitorar e impedir. Organizações com cargas de trabalho que não são IL5 que querem criar apenas pastas IL5 e frameworks preventivos no futuro sem excluir pastas que não são IL5, remover atribuições de recursos de framework que não são IL5 ou migrar cargas de trabalho atuais.
Permitir várias cargas de trabalho com roteamento de suporte IL5 Ativado para residentes dos EUA nos EUA Limite de dados para cargas de trabalho IL5 e não IL5. Organizações que executam cargas de trabalho IL5 e não IL5, como FedRAMP High, CJIS ou limites de dados regionais, na mesma organização.

Observação: escolher esse modo restringe o acesso aos recursos no nível da organização a residentes dos EUA localizados no país. Se um caso de suporte de projeto não IL5, como um caso de limite de dados e suporte da UE, exigir acesso a recursos no nível da organização, o representante de suporte atribuído precisará colaborar com um representante de suporte ou engenheiro residente dos EUA. Essa colaboração pode causar atrasos no suporte e resultar em acessos por um engenheiro residente dos EUA associado ao caso.
Desativar Desativada Limite de dados para cargas de trabalho IL5 e não IL5. Mostra um banner de aviso não bloqueante quando você cria ou aplica uma carga de trabalho IL5. Organizações que optam por desativar os controles de pessoal do IL5 para recursos no nível da organização, mantendo os controles no nível da pasta nas pastas do IL5.

Como funciona o modo OLPC

O modo OLPC rege o roteamento de suporte no nível da organização e as proteções de criação de carga de trabalho:

  • Escopo de organização não recorrente: o OLPC se aplica apenas a recursos no nível da organização na raiz da organização Google Cloud . As pastas e os projetos filhos não herdam os controles de pessoal no nível da organização do modo OLPC. Em vez disso, eles seguem os controles configurados na própria pasta do Assured Workloads ou na implantação do framework.
  • Roteamento de suporte no nível da organização: quando o modo OLPC é definido como IL5 estrito, IL5 estrito (migração para frente) ou Permitir várias cargas de trabalho com roteamento de suporte IL5, o acesso aos recursos no nível da organização é restrito a residentes dos EUA localizados nos EUA. Os casos do Cloud Customer Care abertos no nó raiz da organização, em vez de um projeto específico, são encaminhados para residentes dos EUA localizados nos EUA. Para mais informações sobre assinaturas e roteamento de suporte, consulte Como receber suporte.
  • Encaminhamento de suporte para envolvidos no projeto em organizações mistas: quando você abre um caso de suporte para um projeto específico, ele sempre recebe o encaminhamento de suporte para envolvidos no projeto com base no Limite de Dados ou nas configurações de framework desse projeto. Em organizações que usam IL5 estrito (migração para frente) ou Permitir várias cargas de trabalho com roteamento de suporte IL5, se um caso de suporte for encaminhado para uma equipe de suporte que não seja IL5 e a resolução do problema exigir acesso a recursos no nível da organização, o representante de suporte atribuído precisará colaborar com um representante de suporte ou engenheiro residente dos EUA. Por exemplo, se um caso de suporte e limite de dados da UE exigir acesso a recursos no nível da organização, essa colaboração poderá causar atrasos no suporte e resultar em acessos por um engenheiro residente dos EUA associado ao caso de suporte, independentemente das configurações de limite de dados do projeto.
  • Implantações de frameworks personalizados e de detecção: os controles de pessoal no nível da organização se aplicam aos recursos no nível da organização, independentemente dos frameworks implantados. Quando o modo OLPC é definido como IL5 estrito ou IL5 estrito (migração para frente), apenas os frameworks integrados do Assured Workloads que não são IL5 são bloqueados no modo Monitorar e evitar, e não é possível mover uma implantação de framework integrado que não seja IL5 do modo Monitorar para o modo Monitorar e evitar. A implantação de frameworks personalizados no modo Monitorar ou Monitorar e impedir ou a implantação de frameworks integrados que não são IL5 no modo Monitorar não é bloqueada. Se um framework personalizado incluir o controle de nuvem builtin-restrict-technical-support-services para um regime não IL5, os casos de suporte para projetos que usam esse framework vão seguir o mesmo comportamento de colaboração com residentes dos EUA quando a resolução de um problema exigir acesso a recursos no nível da organização.
  • Retenção após a remoção da carga de trabalho: se você excluir a última pasta ativa do Data Boundary para IL5 ou remover a última atribuição de recurso do framework preventivo do Data Boundary para IL5 na sua organização, o modo OLPC selecionado e os controles de pessoal no nível da organização vão permanecer ativos até que um administrador mude o modo.

Antes de começar

Para visualizar ou atualizar o modo OLPC, é preciso ter o papel necessário do Identity and Access Management (IAM) concedido no nível da organização. Os papéis concedidos apenas no nível da pasta ou do projeto não são suficientes para visualizar ou modificar as configurações da organização.

Para receber as permissões necessárias para visualizar ou atualizar o modo OLPC, peça ao administrador que conceda a você os seguintes papéis do IAM na sua organização:

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Também é possível conseguir as permissões necessárias usando papéis personalizados ou outros papéis predefinidos.

Ver ou atualizar o modo OLPC

É possível conferir e atualizar o modo OLPC da sua organização na página de configurações do Assured Workloads no console do Google Cloud :

  1. No console do Google Cloud , acesse a página de configurações do Assured Workloads.

    Acessar as configurações do Assured Workloads

    Também é possível abrir as configurações do Assured Workloads em uma das seguintes páginas depois de selecionar sua organização:

    • Na página Assured Workloads, em Conformidade > Assured Workloads, clique em Configurações na barra de ações superior.
    • Na página Frameworks em Conformidade > Configurar, clique em Configurações na barra de ações superior.

  2. Em Modo OLPC, confira a configuração atual ao lado de Modo ativo.

  3. Para mudar o modo, clique em Editar modo OLPC.

  4. No painel Escolher o modo OLPC, selecione o modo OLPC que atende aos requisitos da sua organização e clique em Salvar.

Configurar o modo OLPC para cargas de trabalho IL5 atuais

Se a organização já tiver um limite de dados ativo para a pasta IL5 ou uma implantação preventiva do framework de limite de dados para IL5 enquanto o modo OLPC estiver Não definido, um banner de aviso Ação necessária vai aparecer nas páginas Assured Workloads e Frameworks. Clique em Definir modo OLPC no banner para abrir as Configurações do Assured Workloads, selecione um modo OLPC e clique em Salvar.

Resolver banners de OLPC durante a criação de cargas de trabalho

Quando você cria uma pasta do Assured Workloads ou implanta um framework integrado no modo Monitorar e impedir, o console do Google Cloud verifica se o limite de dados selecionado está de acordo com o modo OLPC ativo da sua organização:

  • Modo OLPC obrigatório: aparece quando você seleciona o limite de dados para IL5 enquanto o modo OLPC da sua organização está Não definido. A criação ou aplicação obrigatória não estará disponível até que um modo seja configurado. Clique em Escolher o modo OLPC no banner para selecionar e salvar um modo OLPC no painel lateral sem sair do fluxo de trabalho.
  • Bloqueado pelo modo OLPC: aparece quando você seleciona um pacote de controle que não é IL5, implanta um framework integrado que não é IL5 no modo Monitorar e impedir ou tenta mudar uma implantação de framework integrado que não é IL5 do modo Monitorar para o modo Monitorar e impedir enquanto sua organização usa IL5 estrito ou IL5 estrito (migração para frente). Se a organização precisar aplicar controles preventivos para cargas de trabalho não IL5 junto com cargas de trabalho IL5, um administrador poderá clicar em Atualizar modo OLPC no banner e selecionar Permitir várias cargas de trabalho com roteamento de suporte IL5 ou Desativar.
  • Desativação do OLPC ativa: aparece quando você seleciona o limite de dados para IL5 enquanto o modo OLPC da sua organização está definido como Desativado. Esse aviso não bloqueia a criação da carga de trabalho, e os controles IL5 no nível da pasta ainda se aplicam à pasta. Se você quiser que os controles de pessoal de residentes dos EUA sejam aplicados aos recursos no nível da organização, clique em Atualizar modo OLPC e selecione IL5 estrito, IL5 estrito (migração para frente) ou Permitir várias cargas de trabalho com roteamento de suporte IL5.

Resolver problemas com o modo OLPC

A tabela a seguir descreve erros comuns ao visualizar ou atualizar o modo OLPC ou criar cargas de trabalho, além de etapas para resolvê-los:

Mensagem de erro Causa Resolução
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. Você selecionou IL5 estrito, que é reservado para organizações somente IL5, enquanto a organização já tem pelo menos uma pasta ativa que não é IL5 ou uma implantação de framework preventivo integrado. Selecione IL5 estrito (migração para frente) para manter as cargas de trabalho atuais que não são IL5 e bloquear as novas, ou selecione Permitir várias cargas de trabalho com roteamento de suporte IL5. Para usar o IL5 estrito, remova todas as cargas de trabalho que não são IL5 excluindo as pastas do Assured Workloads que não são IL5 e removendo as atribuições de recursos dos frameworks preventivos do Assured Workloads que não são IL5. A remoção de uma atribuição de recurso de framework entra em vigor imediatamente sem excluir a pasta ou o projeto.
You don't have permission to view Assured Workloads settings. ou You don't have permission to update Assured Workloads settings., ou o botão Editar modo OLPC não está disponível Sua conta não tem o papel do IAM necessário concedido no nível da organização. Peça ao administrador da organização para conceder a você roles/assuredworkloads.viewer para visualizar as configurações ou roles/assuredworkloads.admin para visualizar e atualizar as configurações no recurso da organização, em vez de em uma pasta ou um projeto.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. Uma pasta não IL5 ou uma implantação de framework preventivo integrado foi enviada enquanto o IL5 estrito ou o IL5 estrito (migração para frente) estava ativo, como depois que um administrador mudou o modo em outra sessão. Selecione o limite de dados para IL5 ou peça para um administrador atualizar o modo OLPC para Permitir várias cargas de trabalho com roteamento de suporte IL5 nas configurações do Assured Workloads.
Couldn't update OLPC mode. Try again. Outro administrador atualizou as configurações da organização ao mesmo tempo ou ocorreu um erro temporário. Atualize a página de configurações do Assured Workloads e tente salvar sua seleção novamente. Se o erro persistir, entre em contato com o atendimento ao cliente.

A seguir