設定組織層級人員控管 (OLPC)

組織層級人員控管 (OLPC) 模式是 Assured Workloads 的組織層級設定，可讓您設定組織層級資源的人員支援和管理員存取權控管機制，以支援影響等級 5 (IL5) 資料邊界工作負載。

美國國防部 (DoD) 影響等級 5 (IL5) 規定，支援和管理員權限必須由位於美國境內的美國自然人/法人處理。雖然Assured Workloads 資料夾和 Assured Workloads 架構會對資料夾和專案強制執行控管措施，但某些 Google Cloud 服務會直接在組織根層級儲存安全性中繼資料或工作階段資料，且無法在資料夾之間分割，例如 Security Command Center 和員工身分聯盟。設定 OLPC 模式後，即可將 IL5 人員控管措施套用至這些組織層級資源，並定義可在組織中建立的工作負載。

Assured Workloads 包含 OLPC 模式設定和強制執行功能，不額外收費。

OLPC 模式

您必須先請管理員為貴組織設定 OLPC 模式，才能建立 IL5 資料邊界資料夾，或以「監控及預防」模式部署 IL5 資料邊界架構。

下表說明各個 OLPC 模式、是否對組織層級資源啟用 IL5 人員控管機制，以及可建立或部署的工作負載：

OLPC 模式 組織層級 IL5 人員控管 允許的新工作負載和預防性架構 使用時機
未設定 未啟用 在 Google Cloud 控制台中，僅限非 IL5。使用 API、Google Cloud CLI 或 Terraform 時，IL5 和非 IL5 工作負載皆可使用資料邊界。 管理員設定 OLPC 模式前的預設狀態。
嚴格 IL5 已為美國境內的美國自然人/法人啟用 IL5 資料夾和預防架構的資料邊界、監控或監控並防範模式中的自訂架構，以及監控模式中的內建非 IL5 架構。封鎖不符合 IL5 規範的新資料夾、在「監控並防範」模式中建立不符合 IL5 規範的內建框架，以及將不符合 IL5 規範的內建框架從「監控」模式移至「監控並防範」模式。 專屬 IL5 組織，沒有現有的非 IL5 資料夾或內建預防架構。如果貴組織已有非 IL5 資料夾或內建預防架構，則無法選取這個模式。
嚴格 IL5 (可以遷移現有工作負載) 已為美國境內的美國自然人/法人啟用 IL5 資料夾和預防性架構的資料邊界、監控或監控並防範模式的自訂架構，以及監控模式的內建非 IL5 架構。現有不符合 IL5 規範的工作負載則維持不變。封鎖新的非 IL5 資料夾、監控並防範模式中的內建非 IL5 架構，以及將內建非 IL5 架構從監控模式移至監控並防範模式。 組織已有不符合 IL5 規範的工作負載，且日後只想建立 IL5 資料夾和預防性架構，而不刪除現有不符合 IL5 規範的資料夾、移除不符合 IL5 規範的架構資源指派，或遷移現有工作負載。
允許採用 IL5 支援轉送機制的多個工作負載 已為美國境內的美國自然人/法人啟用 IL5 和非 IL5 工作負載的資料邊界。 在同一個組織中同時執行 IL5 和非 IL5 工作負載 (例如 FedRAMP 高影響等級、CJIS 或區域資料邊界) 的組織。

注意：選擇這個模式後，只有位於美國境內的美國自然人/法人，才能存取組織層級資源。如果非 IL5 專案客服案件 (例如歐盟資料邊界和支援案件) 需要存取組織層級資源，指派的客服代表必須與美國自然人/法人客服代表或工程師合作。這項協作作業可能會導致支援延遲，並可能導致與案件相關聯的美國自然人/法人工程師存取。
選擇不採用 已關閉 IL5 和非 IL5 工作負載的資料邊界。建立或強制執行 IL5 工作負載時，顯示非封鎖警告橫幅。 選擇關閉組織層級資源的 IL5 人員控管，但保留 IL5 資料夾的資料夾層級控管。

OLPC 模式的運作方式

OLPC 模式會控管組織層級的支援轉送機制和工作負載建立防護措施：

  • 非遞迴組織範圍：OLPC 僅適用於 Google Cloud 組織根層級的組織層級資源。子資料夾和專案不會從 OLPC 模式繼承組織層級人員控管機制。而是遵循其 Assured Workloads 資料夾或架構部署作業設定的控制項。
  • 組織層級支援轉送：OLPC 模式設為「Strict IL5」、「Strict IL5 (forward migration)」或「Allow multiple workloads with IL5 support routing」時，只有位於美國境內的美國自然人/法人，才能存取組織層級資源。在組織根節點 (而非特定專案) 開啟的 Cloud Customer Care 案件，會轉送給位於美國的美國自然人/法人。如要進一步瞭解支援訂閱方案和轉送，請參閱「取得支援」。
  • 混合組織中的專案層級客服案件轉送：為特定專案提交客服案件時，案件一律會根據該專案的資料邊界或架構設定，轉送至專案層級的客服案件。在採用「嚴格 IL5 (向前遷移)」或 「允許多個工作負載，並將支援案件轉送至 IL5 支援團隊」的組織中，如果客服案件轉送至 不符合 IL5 規範的支援人員，且解決問題需要存取 組織層級資源，則指派的客服代表必須 與美國自然人/法人客服代表或工程師合作。舉例來說，如果歐盟資料邊界和客服案件需要存取組織層級資源，這項協作可能會導致支援延遲，且與客服案件相關聯的美國自然人/法人工程師可能會存取資料，無論專案的資料邊界設定為何。
  • 自訂和偵測框架部署作業：無論部署何種框架，組織層級人員控管機制都適用於組織層級資源。如果 OLPC 模式設為「Strict IL5」或「Strict IL5 (forward migration)」，只有內建的不符合 IL5 規範 Assured Workloads 架構會在「Monitor and prevent」模式中遭到封鎖，而且您無法將現有的內建不符合 IL5 規範架構部署作業，從「Monitor」模式移至「Monitor and prevent」模式。以「監控」或「監控及防範」模式部署自訂架構，或以「監控」模式部署內建非 IL5 架構，則不會遭到封鎖。如果自訂架構包含非 IL5 制度的 builtin-restrict-technical-support-services 雲端控管機制，當解決問題需要存取組織層級資源時，使用該架構的專案客服案件會遵循與美國自然人/法人相同的協作行為。
  • 移除工作負載後的保留設定：如果您刪除組織中最後一個有效的 IL5 資料邊界資料夾，或移除最後一個預防性 IL5 資料邊界架構資源指派，所選 OLPC 模式和組織層級人員控管機制仍會保持啟用狀態，直到管理員變更模式為止。

事前準備

如要查看或更新 OLPC 模式，您必須在組織層級取得必要的 Identity and Access Management (IAM) 角色。僅在資料夾或專案層級授予的角色，不足以查看或修改組織設定。

如要取得查看或更新 OLPC 模式所需的權限，請要求管理員授予您組織的下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

查看或更新 OLPC 模式

您可以在 Google Cloud 控制台的「Assured Workloads 設定」頁面，查看及更新組織的 OLPC 模式：

  1. 前往 Google Cloud 控制台的「Assured Workloads settings」(Assured Workloads 設定) 頁面。

    前往 Assured Workloads 設定

    選取組織後，您也可以從下列任一頁面開啟 Assured Workloads 設定：

    • 在「Assured Workloads」頁面中，依序點選「Compliance」> 「Assured Workloads」，然後按一下頂端動作 列中的「Settings」(設定)。
    • 依序前往「法規遵循」>「設定」，然後在「架構」頁面中， 點選頂端動作列的「設定」。

  2. 在「OLPC 模式」下方，查看「使用中模式」旁的目前設定。

  3. 如要變更模式，請按一下 「Edit OLPC mode」(編輯 OLPC 模式)。

  4. 在「Choose OLPC mode」面板中，選取符合貴組織需求的 OLPC 模式，然後按一下「Save」。

為現有 IL5 工作負載設定 OLPC 模式

如果貴組織已有有效的 IL5 資料邊界資料夾，或預防性 IL5 資料邊界架構部署作業，且 OLPC 模式為「未設定」，則「Assured Workloads」和「架構」頁面會顯示「敬請採取行動」警告橫幅。按一下橫幅中的「Set OLPC mode」(設定 OLPC 模式)，開啟「Assured Workloads settings」(Assured Workloads 設定)，選取 OLPC 模式，然後按一下「Save」(儲存)。

在建立工作負載時解決 OLPC 橫幅問題

當您在「Monitor and prevent」(監控及防範) 模式下建立 Assured Workloads 資料夾或部署內建架構時， Google Cloud 控制台會根據貴組織有效的 OLPC 模式，檢查所選資料邊界：

  • 必須設定 OLPC 模式：如果組織的 OLPC 模式為「未設定」，但您選取 IL5 的資料邊界，就會看到這則訊息。必須先設定模式，才能建立或強制執行。按一下橫幅中的「Choose OLPC mode」(選擇 OLPC 模式)，即可在側邊面板中選取並儲存 OLPC 模式，不必離開工作流程。
  • Blocked by OLPC mode：如果貴組織使用「Strict IL5」或「Strict IL5 (forward migration)」，當您選取非 IL5 控制項套件、以「Monitor and prevent」模式部署內建非 IL5 架構，或嘗試將現有內建非 IL5 架構部署從「Monitor」模式變更為「Monitor and prevent」模式時，就會顯示這個狀態。如果貴組織需要對非 IL5 工作負載和 IL5 工作負載強制執行預防性控管措施，管理員可以按一下橫幅中的「更新 OLPC 模式」，然後選取「允許支援 IL5 轉送的多個工作負載」或「選擇不採用」。
  • OLPC 選擇不採用模式已啟用：如果組織的 OLPC 模式設為「選擇不採用」，當您選取 IL5 的資料邊界時，就會看到這則訊息。這項警告不會阻止工作負載建立，且資料夾層級的 IL5 控制項仍會套用至資料夾。如要對組織層級資源套用美國自然人/法人人員控管機制，請按一下「Update OLPC mode」(更新 OLPC 模式)，然後選取「Strict IL5」(嚴格 IL5)、「Strict IL5 (forward migration)」(嚴格 IL5 (可以遷移現有工作負載)) 或「Allow multiple workloads with IL5 support routing」(允許多個工作負載使用 IL5 支援轉送)。

排解 OLPC 模式問題

下表說明查看或更新 OLPC 模式，或建立工作負載時常見的錯誤，以及解決步驟：

錯誤訊息 原因 解析度
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. 您選取了「嚴格 IL5」，這是 IL5 專用機構的保留選項，但機構已至少有一個有效的非 IL5 資料夾或內建預防架構部署作業。 選取「嚴格 IL5 (可以遷移現有工作負載)」，即可保留現有不符合 IL5 規範的工作負載，但禁止建立新的工作負載。您也可以選取「允許多個工作負載 (採用 IL5 支援轉送機制)」。如要改用「嚴格 IL5」，請先移除所有現有的非 IL5 工作負載，方法是刪除非 IL5 Assured Workloads 資料夾，並從內建的非 IL5 預防性 Assured Workloads 架構中移除資源指派。移除框架資源指派作業會立即生效，且不會刪除資料夾或專案。
You don't have permission to view Assured Workloads settings. 或 You don't have permission to update Assured Workloads settings.，或「編輯 OLPC 模式」按鈕無法使用 您的帳戶未在組織層級獲得必要的 IAM 角色。 請要求組織管理員授予您roles/assuredworkloads.viewer，以便查看設定，或授予roles/assuredworkloads.admin，以便查看及更新組織資源 (而非資料夾或專案) 的設定。
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. 在「Strict IL5」或「Strict IL5 (forward migration)」模式啟用期間，提交了非 IL5 資料夾或內建預防架構部署作業，例如管理員在其他工作階段變更模式後。 請選取「IL5 資料邊界」，或請管理員在 Assured Workloads 設定中，將 OLPC 模式更新為「允許支援 IL5 轉送的多個工作負載」。
Couldn't update OLPC mode. Try again. 另一位管理員同時更新了機構設定，或發生暫時性錯誤。 重新整理「Assured Workloads 設定」頁面，然後再次嘗試儲存所選項目。如果錯誤持續發生，請與 客戶服務 聯絡。

後續步驟