Configura los controles de personal a nivel de la organización (OLPC)

El modo de control de personal a nivel de la organización (OLPC) es un parámetro de configuración para toda la organización en Assured Workloads que te permite configurar los controles de acceso de administrador y la asistencia del personal para los recursos a nivel de la organización con el objetivo de admitir las cargas de trabajo de Límite de datos para el nivel de impacto 5 (IL5).

El nivel de impacto 5 (IL5) del Departamento de Defensa (DoD) requiere que el acceso de asistencia y administración lo manejen personas físicas o jurídicas de EE.UU. ubicadas en ese país. Mientras que las carpetas de Assured Workloads y los frameworks de Assured Workloads aplican controles en carpetas y proyectos, ciertos servicios de Google Cloud almacenan metadatos de seguridad o datos de sesión directamente en la raíz de la organización y no se pueden particionar entre carpetas, como Security Command Center y la federación de identidades de personal. Configurar un modo de OLPC te permite aplicar controles de personal de IL5 a estos recursos a nivel de la organización y definir qué cargas de trabajo se pueden crear en tu organización.

La configuración y la aplicación forzosa del modo OLPC se incluyen en Assured Workloads sin costo adicional.

Modos de OLPC

Antes de que puedas crear una carpeta de límite de datos para IL5 o implementar el framework de límite de datos para IL5 en el modo Supervisar y prevenir, un administrador debe configurar un modo de OLPC para tu organización.

En la siguiente tabla, se describe cada modo de OLPC, si habilita los controles de personal de IL5 en los recursos a nivel de la organización y qué cargas de trabajo te permite crear o implementar:

Modo de OLPC Controles de personal de IL5 a nivel de la organización Se permiten nuevas cargas de trabajo y frameworks preventivos Cuándo usar
Sin establecer No habilitada En la consola de Google Cloud , solo para entornos que no son de IL5. Con la API, Google Cloud CLI o Terraform, se permiten las cargas de trabajo de límite de datos para IL5 y que no son de IL5. Es el estado predeterminado antes de que un administrador configure el modo de OLPC.
IL5 estricto Habilitado para personas físicas o jurídicas de EE.UU. que se encuentren en ese país Límite de datos para carpetas de IL5 y marcos de trabajo preventivos, marcos de trabajo personalizados en el modo Supervisar o Supervisar y prevenir, y marcos de trabajo integrados que no son de IL5 en el modo Supervisar. Bloquea las carpetas nuevas que no sean de IL5, los frameworks integrados que no sean de IL5 en el modo Supervisar y prevenir y el traslado de frameworks integrados que no sean de IL5 del modo Supervisar al modo Supervisar y prevenir. Organizaciones dedicadas de IL5 que no tienen carpetas que no sean de IL5 o marcos preventivos integrados. No puedes seleccionar este modo si tu organización ya tiene carpetas activas que no son de IL5 o frameworks preventivos integrados.
IL5 estricto (migración hacia delante) Habilitado para personas físicas o jurídicas de EE.UU. que se encuentren en ese país Límite de datos para las carpetas de IL5 y los marcos preventivos en el futuro, marcos personalizados en el modo Supervisar o Supervisar y prevenir, y marcos integrados que no son de IL5 en el modo Supervisar. Las cargas de trabajo existentes que no son de IL5 permanecen sin cambios. Bloquea las carpetas nuevas que no sean de IL5, los frameworks integrados que no sean de IL5 en el modo Supervisar y prevenir y el traslado de frameworks integrados que no sean de IL5 del modo Supervisar al modo Supervisar y prevenir. Organizaciones con cargas de trabajo existentes que no son de IL5 y que desean crear solo carpetas de IL5 y frameworks preventivos en el futuro sin borrar las carpetas existentes que no son de IL5, quitar las asignaciones de recursos del framework que no son de IL5 ni migrar las cargas de trabajo existentes.
Permitir varias cargas de trabajo con el enrutamiento de compatibilidad con IL5 Habilitado para personas físicas o jurídicas de EE.UU. que se encuentren en ese país Cargas de trabajo de Límite de datos para IL5 y que no son de IL5. Organizaciones que ejecutan cargas de trabajo de IL5 y que no son de IL5, como FedRAMP High, CJIS o límites de datos regionales, en la misma organización.

Nota: Si eliges este modo, se restringirá el acceso a los recursos a nivel de la organización a las personas físicas o jurídicas de EE.UU. que se encuentren en ese país. Si un caso de asistencia de un proyecto que no es de IL5, como un caso de límite de datos y asistencia de la UE, requiere acceso a recursos a nivel de la organización, el representante de asistencia asignado debe colaborar con un representante de asistencia o ingeniero que sea persona física o jurídica de EE.UU. Esta colaboración puede causar demoras en la asistencia y puede generar accesos por parte de un ingeniero que sea persona física o jurídica de EE.UU. asociado con el caso.
Inhabilitar Desactivado Cargas de trabajo de Límite de datos para IL5 y que no son de IL5. Muestra un banner de advertencia que no bloquea cuando creas o aplicas de manera forzosa una carga de trabajo de IL5. Son organizaciones que deciden desactivar los controles de personal de IL5 para los recursos a nivel de la organización, pero mantienen los controles a nivel de carpeta en las carpetas de IL5.

Cómo funciona el modo de OLPC

El modo OLPC rige tanto el enrutamiento de asistencia a nivel de la organización como las protecciones para la creación de cargas de trabajo:

  • Permiso de organización no recursivo: El OLPC se aplica solo a los recursos a nivel de la organización en la raíz de la organización de Google Cloud . Las carpetas y los proyectos secundarios no heredan los controles de personal a nivel de la organización del modo OLPC. En su lugar, siguen los controles configurados en su propia carpeta de Assured Workloads o implementación de framework.
  • Enrutamiento de asistencia a nivel de la organización: Cuando el modo OLPC se establece en IL5 estricto, IL5 estricto (migración hacia delante) o Permitir varias cargas de trabajo con enrutamiento de asistencia de IL5, el acceso a los recursos a nivel de la organización se restringe a personas físicas o jurídicas de EE.UU. que se encuentren en EE.UU. Los casos de Atención al cliente de Cloud que se abren en el nodo raíz de la organización, en lugar de un proyecto específico, se enrutan a personas físicas o jurídicas de EE.UU. que se encuentran en ese país. Para obtener más información sobre las suscripciones y el enrutamiento de la asistencia, consulta Obtén asistencia.
  • Enrutamiento de asistencia a nivel del proyecto en organizaciones mixtas: Cuando abres un caso de asistencia para un proyecto específico, el caso siempre recibe el enrutamiento de asistencia a nivel del proyecto según la configuración del límite de datos o del framework de ese proyecto. En las organizaciones que usan IL5 estricto (migración hacia delante) o Permitir varias cargas de trabajo con enrutamiento de asistencia de IL5, si un caso de asistencia se enruta al personal de asistencia que no es de IL5 y la resolución del problema requiere acceso a recursos a nivel de la organización, el representante de asistencia asignado debe colaborar con un representante de asistencia o ingeniero que sea persona física o jurídica de EE.UU. Por ejemplo, si un caso de asistencia y límite de datos de la UE requiere acceso a recursos a nivel de la organización, esta colaboración puede causar demoras en la asistencia y podría generar accesos por parte de un ingeniero que sea persona física o jurídica de EE.UU. asociado con el caso de asistencia, independientemente de la configuración del límite de datos del proyecto.
  • Implementaciones de frameworks personalizados y de detección: Los controles de personal a nivel de la organización se aplican a los recursos a nivel de la organización, independientemente de los frameworks que implementes. Cuando el modo OLPC se establece en IL5 estricto o IL5 estricto (migración hacia delante), solo se bloquean los frameworks de Assured Workloads integrados que no son de IL5 en el modo Supervisar y prevenir, y no puedes mover una implementación de framework integrada existente que no sea de IL5 del modo Supervisar al modo Supervisar y prevenir. No se bloquea la implementación de marcos de trabajo personalizados en el modo Supervisar o Supervisar y prevenir, ni la implementación de marcos de trabajo integrados que no sean de IL5 en el modo Supervisar. Si un framework personalizado incluye el control de nube builtin-restrict-technical-support-services para un régimen que no es de IL5, los casos de asistencia de los proyectos que usan ese framework siguen el mismo comportamiento de colaboración con personas físicas o jurídicas de EE.UU. cuando la resolución de un problema requiere acceso a recursos a nivel de la organización.
  • Retención después de quitar la carga de trabajo: Si borras la última carpeta activa de Límite de datos para IL5 o quitas la última asignación de recursos del framework de Límite de datos preventivo para IL5 en tu organización, el modo de OLPC que seleccionaste y sus controles de personal a nivel de la organización permanecerán activos hasta que un administrador cambie el modo.

Antes de comenzar

Para ver o actualizar el modo OLPC, debes tener el rol de Identity and Access Management (IAM) requerido otorgado a nivel de la organización. Los roles otorgados solo a nivel de carpeta o proyecto no son suficientes para ver o modificar la configuración de la organización.

Para obtener los permisos que necesitas para ver o actualizar el modo de OLPC, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu organización:

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Ver o actualizar el modo de OLPC

Puedes ver y actualizar el modo de OLPC de tu organización en la página Configuración de Assured Workloads de la consola de Google Cloud :

  1. En la consola de Google Cloud , ve a la página Configuración de Assured Workloads.

    Ir a la configuración de Assured Workloads

    También puedes abrir la configuración de Assured Workloads desde cualquiera de las siguientes páginas después de seleccionar tu organización:

    • En la página Assured Workloads, en Cumplimiento > Assured Workloads, haz clic en Configuración en la barra de acciones superior.
    • En la página Frameworks, en Cumplimiento > Configurar, haz clic en Configuración en la barra de acciones superior.

  2. En Modo de OLPC, consulta el parámetro de configuración actual junto a Modo activo.

  3. Para cambiar el modo, haz clic en Editar el modo de OLPC.

  4. En el panel Elegir modo de OLPC, selecciona el modo de OLPC que coincida con los requisitos de tu organización y, luego, haz clic en Guardar.

Configura el modo de OLPC para las cargas de trabajo de IL5 existentes

Si tu organización ya tiene un límite de datos activo para la carpeta de IL5 o una implementación preventiva del framework de límite de datos para IL5 mientras el modo OLPC está No establecido, aparecerá un banner de advertencia de Acción obligatoria en las páginas Assured Workloads y Frameworks. Haz clic en Establecer el modo de OLPC en el banner para abrir la configuración de Assured Workloads, selecciona un modo de OLPC y haz clic en Guardar.

Resuelve los banners de OLPC durante la creación de la carga de trabajo

Cuando creas una carpeta de Assured Workloads o implementas un framework integrado en el modo Supervisar y prevenir, la consola de Google Cloud verifica el límite de datos seleccionado con el modo OLPC activo de tu organización:

  • Se requiere el modo de OLPC: Aparece cuando seleccionas Límite de datos para IL5 mientras el modo de OLPC de tu organización no está configurado. La creación o la aplicación de medidas por incumplimiento no están disponibles hasta que se configure un modo. Haz clic en Elegir modo de OLPC en el banner para seleccionar y guardar un modo de OLPC en el panel lateral sin salir del flujo de trabajo.
  • Bloqueado por el modo OLPC: Aparece cuando seleccionas un paquete de control que no es de IL5, implementas un framework integrado que no es de IL5 en el modo Supervisar y prevenir o intentas cambiar una implementación de framework integrado que no es de IL5 existente del modo Supervisar al modo Supervisar y prevenir mientras tu organización usa IL5 estricto o IL5 estricto (migración hacia delante). Si tu organización necesita aplicar controles preventivos para las cargas de trabajo que no son de IL5 junto con las cargas de trabajo de IL5, un administrador puede hacer clic en Actualizar el modo de OLPC en el banner y seleccionar Permitir varias cargas de trabajo con el enrutamiento de compatibilidad con IL5 o Inhabilitar.
  • La inhabilitación voluntaria de OLPC está activa: Aparece cuando seleccionas el límite de datos para IL5 mientras el modo de OLPC de tu organización está configurado como Inhabilitación voluntaria. Esta advertencia no bloquea la creación de cargas de trabajo, y los controles de IL5 a nivel de carpeta se siguen aplicando a la carpeta. Si deseas que se apliquen los controles de personal de personas físicas o jurídicas de EE.UU. a los recursos a nivel de la organización, haz clic en Actualizar modo OLPC y selecciona IL5 estricto, IL5 estricto (migración hacia delante) o Permitir varias cargas de trabajo con enrutamiento de asistencia de IL5.

Soluciona problemas del modo de OLPC

En la siguiente tabla, se describen los errores comunes que se producen cuando se visualiza o actualiza el modo OLPC o se crean cargas de trabajo, junto con los pasos para resolverlos:

Mensaje de error Causa Solución
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. Seleccionaste IL5 estricto, que se reserva para organizaciones que solo usan IL5, mientras que la organización ya tiene, al menos, una carpeta activa que no es de IL5 o una implementación de framework de prevención integrada. Selecciona IL5 estricto (migración hacia delante) para conservar las cargas de trabajo existentes que no sean de IL5 y, al mismo tiempo, bloquear las nuevas, o selecciona Permitir varias cargas de trabajo con el enrutamiento de compatibilidad con IL5. Para usar IL5 estricto, primero quita todas las cargas de trabajo que no sean de IL5 existentes. Para ello, borra las carpetas de Assured Workloads que no sean de IL5 y quita las asignaciones de recursos de los frameworks preventivos integrados de Assured Workloads que no sean de IL5. Quitar una asignación de recursos de un framework se aplica de inmediato sin borrar la carpeta ni el proyecto.
You don't have permission to view Assured Workloads settings. o You don't have permission to update Assured Workloads settings., o bien el botón Editar el modo de OLPC no está disponible Tu cuenta no tiene el rol de IAM necesario otorgado a nivel de la organización. Pídele al administrador de la organización que te otorgue roles/assuredworkloads.viewer para ver la configuración o roles/assuredworkloads.admin para ver y actualizar la configuración, en el recurso de la organización en lugar de en una carpeta o un proyecto.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. Se envió una carpeta que no es de IL5 o una implementación de framework preventivo integrado mientras IL5 estricto o IL5 estricto (migración hacia delante) estaba activo, como después de que un administrador cambió el modo en otra sesión. Selecciona Límite de datos para IL5 o pídele a un administrador que actualice el modo de OLPC a Permitir varias cargas de trabajo con enrutamiento de asistencia de IL5 en la configuración de Assured Workloads.
Couldn't update OLPC mode. Try again. Otro administrador actualizó la configuración de la organización al mismo tiempo o se produjo un error transitorio. Actualiza la página Configuración de Assured Workloads y vuelve a intentar guardar tu selección. Si el error persiste, comunícate con el equipo de Atención al cliente.

¿Qué sigue?