配置组织级人员控制 (OLPC)

组织级人员控制 (OLPC) 模式是 Assured Workloads 中的一项组织级设置，可让您为组织级资源配置人员支持和管理员权限控制，以支持影响级别 5 (IL5) 的数据边界工作负载。

美国国防部 (DoD) 影响级别 5 (IL5) 要求支持和管理员权限由位于美国的美国人处理。虽然 Assured Workloads 文件夹和 Assured Workloads 框架会对文件夹和项目强制执行控制措施，但某些 Google Cloud 服务会直接在组织根目录中存储安全元数据或会话数据，并且无法跨文件夹进行分区，例如 Security Command Center 和员工身份联合。通过配置 OLPC 模式，您可以将 IL5 人员控制应用于这些组织级资源，并定义可以在组织中创建哪些工作负载。

Assured Workloads 包含 OLPC 模式配置和强制执行，无需额外付费。

OLPC 模式

您必须先让管理员为您的组织配置 OLPC 模式，然后才能创建 IL5 文件夹的数据边界，或在监控和阻止模式下部署 IL5 框架的数据边界。

下表介绍了每种 OLPC 模式、是否对组织级资源启用 IL5 人员控制，以及允许您创建或部署的工作负载：

OLPC 模式 组织级 IL5 人员控制措施 允许的新工作负载和预防性框架 何时使用
未设置 未启用 在 Google Cloud 控制台中，仅限非 IL5。使用 API、Google Cloud CLI 或 Terraform，可以同时允许 IL5 和非 IL5 工作负载的数据边界。 管理员配置 OLPC 模式之前的默认状态。
严格 IL5 已为美国境内的美国人启用 IL5 文件夹和预防性框架的数据边界、监控或监控和预防模式下的自定义框架，以及监控模式下的内置非 IL5 框架。禁止创建新的非 IL5 文件夹，禁止在监控和防范模式下创建内置非 IL5 框架，以及禁止将内置非 IL5 框架从监控模式切换到监控和防范模式。 没有现有非 IL5 文件夹或内置预防框架的专用 IL5 组织。如果您的组织已有有效的非 IL5 文件夹或内置预防框架，则无法选择此模式。
严格 IL5（正向迁移） 已为美国境内的美国人启用 IL5 文件夹和预防性框架的数据边界、监控或监控和预防模式下的自定义框架，以及监控模式下的内置非 IL5 框架。现有非 IL5 工作负载保持不变。禁止创建新的非 IL5 文件夹、在监控和防范模式下创建内置非 IL5 框架，以及将内置非 IL5 框架从监控模式移至监控和防范模式。 组织拥有现有的非 IL5 工作负载，希望今后仅创建 IL5 文件夹和预防性框架，而不删除现有的非 IL5 文件夹、移除对非 IL5 框架资源的分配或迁移现有工作负载。
允许多个工作负载并具备 IL5 支持路由 已为美国境内的美国人启用 IL5 和非 IL5 工作负载的数据边界。 在同一组织中同时运行 IL5 和非 IL5 工作负载（例如 FedRAMP High、CJIS 或区域数据边界）的组织。

注意：选择此模式会限制只有位于美国的美国人才能访问组织级资源。如果非 IL5 项目支持请求（例如欧盟数据边界和支持请求）需要访问组织级资源，则分配的支持代表必须与美国人 (US person) 支持代表或工程师协作。这种协作可能会导致支持延迟，并可能导致与支持请求关联的美国人 (US person) 工程师进行访问。
选择停用 已停用 IL5 和非 IL5 工作负载的数据边界。在您创建或强制执行 IL5 工作负载时，显示非阻塞警告横幅。 选择为组织级资源关闭 IL5 人员控制，同时为 IL5 文件夹保留文件夹级控制的组织。

OLPC 模式的运作方式

OLPC 模式同时管理组织级支持路由和工作负载创建防护机制：

  • 非周期性组织范围：OLPC 仅适用于 Google Cloud 组织根级的组织级资源。子文件夹和项目不会从 OLPC 模式继承组织级人员控制。而是遵循在其自己的 Assured Workloads 文件夹或框架部署中配置的控制措施。
  • 组织级支持路由：当 OLPC 模式设置为严格 IL5、严格 IL5（正向迁移）或允许多个工作负载并具备 IL5 支持路由时，对组织级资源的访问权限仅限于位于美国的美国人。在组织根节点（而非特定项目）打开的 Cloud Customer Care 支持请求会转给位于美国的美国人。如需详细了解支持订阅和路由，请参阅获取支持。
  • 混合组织中的项目级支持请求转送：当您针对特定项目创建支持请求时，该请求始终会根据该项目的数据边界或框架设置，接收项目级支持请求转送。在采用严格 IL5（正向迁移）或允许多个工作负载并具备 IL5 支持路由的组织中，如果支持请求被路由到非 IL5 支持人员，并且解决问题需要访问组织级资源，则分配的支持代表必须与美国人支持代表或工程师协作。例如，如果欧盟数据边界和支持请求需要访问组织级资源，则这种协作可能会导致支持延迟，并可能导致与支持请求关联的美国人工程师进行访问，而不管项目的数据边界设置如何。
  • 自定义和侦测框架部署：无论您部署哪些框架，组织级人员控制措施都适用于组织级资源。当 OLPC 模式设置为严格 IL5 或严格 IL5（正向迁移）时，只有内置的非 IL5 Assured Workloads 框架会在监控和阻止模式下被阻止，并且您无法将现有的内置非 IL5 框架部署从监控模式移至监控和阻止模式。在监控或监控和防范模式下部署自定义框架，或在监控模式下部署内置非 IL5 框架，不会被阻止。如果自定义框架包含适用于非 IL5 制度的 builtin-restrict-technical-support-services 云控制措施，则当解决问题需要访问组织级资源时，使用该框架的项目支持请求将遵循与美国人相同的协作行为。
  • 移除工作负载后的保留：如果您删除最后一个活跃的 Data Boundary for IL5 文件夹，或移除组织中最后一个预防性 Data Boundary for IL5 框架资源分配，则您选择的 OLPC 模式及其组织级人员控制将保持有效，直到管理员更改该模式。

准备工作

如需查看或更新 OLPC 模式，您必须在组织级层拥有所需的 Identity and Access Management (IAM) 角色。仅在文件夹或项目级授予的角色不足以查看或修改组织设置。

如需获得查看或更新 OLPC 模式所需的权限，请让管理员为您授予对您所在组织的以下 IAM 角色：

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

查看或更新 OLPC 模式

您可以在 Google Cloud 控制台的 Assured Workloads 设置页面上查看和更新组织的 OLPC 模式：

  1. 在 Google Cloud 控制台中，前往 Assured Workloads 设置页面。

    前往 Assured Workloads 设置

    选择组织后，您还可以从以下任一页面打开 Assured Workloads 设置：

    • 在 Compliance > Assured Workloads 下的 Assured Workloads 页面上，点击顶部操作栏中的设置。
    • 在合规性 > 配置下的框架页面上，点击顶部操作栏中的设置。

  2. 在 OLPC 模式下，查看有效模式旁边的当前设置。

  3. 如需更改模式，请点击 修改 OLPC 模式。

  4. 在选择 OLPC 模式面板中，选择符合贵组织要求的 OLPC 模式，然后点击保存。

为现有 IL5 工作负载配置 OLPC 模式

如果您的组织已有一个有效的 Data Boundary for IL5 文件夹或一个预防性 Data Boundary for IL5 框架部署，而 OLPC 模式未设置，则 Assured Workloads 和框架页面上会显示请采取行动警告横幅。点击横幅中的设置 OLPC 模式，打开 Assured Workloads 设置，选择 OLPC 模式，然后点击保存。

在创建工作负载期间解决 OLPC 横幅问题

当您在监控和预防模式下创建 Assured Workloads 文件夹或部署内置框架时， Google Cloud 控制台会根据组织的活跃 OLPC 模式检查您选择的数据边界：

  • 必须指定 OLPC 模式：当您为 IL5 选择数据边界，而组织的 OLPC 模式未设置时，系统会显示此消息。在配置模式之前，无法创建或强制执行。点击横幅中的选择 OLPC 模式，即可在侧边栏中选择并保存 OLPC 模式，而无需离开工作流。
  • 受 OLPC 模式限制：当您选择非 IL5 控制包、在监控和防范模式下部署内置非 IL5 框架，或在组织使用严格 IL5 或严格 IL5（向前迁移）时尝试将现有内置非 IL5 框架部署从监控模式更改为监控和防范模式时，系统会显示此消息。如果贵组织需要同时对 IL5 工作负载和非 IL5 工作负载强制执行预防性控制措施，管理员可以点击横幅中的更新 OLPC 模式，然后选择允许多个工作负载并具备 IL5 支持路由或停用。
  • 已选择退出 OLPC：当您为 IL5 选择数据边界，而组织的 OLPC 模式设置为选择退出时，系统会显示此消息。此警告不会阻止工作负载创建，并且文件夹级 IL5 控制措施仍适用于该文件夹。如果您希望将美国人员控制措施应用于组织级资源，请点击更新 OLPC 模式，然后选择严格 IL5、严格 IL5（正向迁移）或允许多个工作负载并具备 IL5 支持路由。

排查 OLPC 模式问题

下表介绍了查看或更新 OLPC 模式或创建工作负载时的常见错误，以及解决这些错误的步骤：

出错提示 原因 解决方法
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. 您选择了严格 IL5，该选项仅供 IL5 组织使用，而该组织已至少有一个活跃的非 IL5 文件夹或内置预防性框架部署。 选择严格 IL5（正向迁移）以保留现有的非 IL5 工作负载，同时阻止新的非 IL5 工作负载，或选择允许多个工作负载并具备 IL5 支持路由。如需改用严格 IL5，请先移除所有现有的非 IL5 工作负载，方法是删除非 IL5 Assured Workloads 文件夹，并从内置的非 IL5 预防性 Assured Workloads 框架中移除资源分配。移除框架资源分配会立即生效，而不会删除文件夹或项目。
You don't have permission to view Assured Workloads settings. 或 You don't have permission to update Assured Workloads settings.，或者修改 OLPC 模式按钮无法使用 您的账号在组织级层未被授予所需的 IAM 角色。 请让您的组织管理员在组织资源（而非文件夹或项目）上向您授予 roles/assuredworkloads.viewer（用于查看设置）或 roles/assuredworkloads.admin（用于查看和更新设置）。
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. 在严格 IL5 或严格 IL5（正向迁移）处于有效状态时（例如，在管理员在另一个会话中更改模式后），提交了非 IL5 文件夹或内置预防性框架部署。 请选择“IL5 数据边界”，或请管理员在 Assured Workloads 设置中将 OLPC 模式更新为允许多个工作负载并具备 IL5 支持路由。
Couldn't update OLPC mode. Try again. 另一位管理员同时更新了组织的设置，或者发生了暂时性错误。 刷新 Assured Workloads 设置页面，然后尝试再次保存您的选择。如果错误仍然存在，请与 Customer Care 联系。

后续步骤