Mengonfigurasi kontrol personel tingkat organisasi (OLPC)

Mode kontrol personel tingkat organisasi (OLPC) adalah setelan di seluruh organisasi di Assured Workloads yang memungkinkan Anda mengonfigurasi dukungan personel dan kontrol akses administratif untuk resource tingkat organisasi guna mendukung workload Batas Data untuk Tingkat Dampak 5 (IL5).

Impact Level 5 (IL5) Departemen Pertahanan (DoD) mewajibkan dukungan dan akses administratif ditangani oleh Orang Amerika Serikat yang berada di AS. Meskipun folder Assured Workloads dan framework Assured Workloads menerapkan kontrol pada folder dan project, layanan Google Cloud tertentu menyimpan metadata keamanan atau data sesi langsung di root organisasi dan tidak dapat dipartisi di seluruh folder, seperti Security Command Center dan Workforce Identity Federation. Mengonfigurasi mode OLPC memungkinkan Anda menerapkan kontrol personel IL5 ke resource tingkat organisasi ini dan menentukan workload yang dapat dibuat di organisasi Anda.

Konfigurasi dan penerapan mode OLPC disertakan dengan Assured Workloads tanpa biaya tambahan.

Mode OLPC

Sebelum Anda dapat membuat folder Batas Data untuk IL5 atau men-deploy framework Batas Data untuk IL5 dalam mode Pantau dan cegah, administrator harus mengonfigurasi mode OLPC untuk organisasi Anda.

Tabel berikut menjelaskan setiap mode OLPC, apakah mode tersebut mengaktifkan kontrol personel IL5 pada resource tingkat organisasi, dan workload mana yang dapat Anda buat atau deploy:

Mode OLPC Kontrol personel IL5 tingkat organisasi Workload baru yang diizinkan dan framework pencegahan Kapan digunakan
Tidak disetel Tidak diaktifkan Di konsol Google Cloud , khusus non-IL5. Dengan menggunakan API, Google Cloud CLI, atau Terraform, workload Batas Data untuk IL5 dan non-IL5 diizinkan. Status default sebelum administrator mengonfigurasi mode OLPC.
IL5 Ketat Diaktifkan untuk Orang Amerika Serikat di AS Batas Data untuk folder IL5 dan framework pencegahan, framework kustom dalam mode Monitor atau Monitor and prevent, dan framework non-IL5 bawaan dalam mode Monitor. Memblokir folder non-IL5 baru, framework non-IL5 bawaan dalam mode Pantau dan cegah, serta memindahkan framework non-IL5 bawaan dari mode Pantau ke mode Pantau dan cegah. Organisasi IL5 khusus yang tidak memiliki folder non-IL5 atau framework pencegahan bawaan. Anda tidak dapat memilih mode ini jika organisasi Anda sudah memiliki folder non-IL5 aktif atau framework pencegahan bawaan.
IL5 ketat (migrasi maju) Diaktifkan untuk Orang Amerika Serikat di AS Batasan Data untuk folder IL5 dan framework pencegahan ke depannya, framework kustom dalam mode Pantau atau Pantau dan cegah, serta framework non-IL5 bawaan dalam mode Pantau. Workload non-IL5 yang ada tetap tidak berubah. Memblokir folder non-IL5 baru, framework non-IL5 bawaan dalam mode Pantau dan cegah, serta memindahkan framework non-IL5 bawaan dari mode Pantau ke mode Pantau dan cegah. Organisasi dengan workload non-IL5 yang sudah ada dan hanya ingin membuat folder IL5 dan framework pencegahan ke depannya tanpa menghapus folder non-IL5 yang sudah ada, menghapus penetapan resource framework non-IL5, atau memigrasikan workload yang sudah ada.
Mengizinkan beberapa workload dengan pemilihan rute dukungan IL5 Diaktifkan untuk Orang Amerika Serikat di AS Batas Data untuk workload IL5 dan non-IL5. Organisasi yang menjalankan workload IL5 dan non-IL5, seperti FedRAMP High, CJIS, atau batas data regional, dalam organisasi yang sama.

Catatan: Memilih mode ini akan membatasi akses ke resource tingkat organisasi untuk Orang AS yang berada di AS. Jika kasus dukungan project non-IL5, seperti kasus Batas Data dan Dukungan Uni Eropa, memerlukan akses ke resource tingkat organisasi, perwakilan dukungan yang ditugaskan harus berkolaborasi dengan perwakilan dukungan atau engineer yang merupakan Orang Amerika Serikat. Kolaborasi ini dapat menyebabkan keterlambatan dukungan dan dapat mengakibatkan akses oleh engineer Orang Amerika Serikat yang terkait dengan kasus tersebut.
Memilih tidak ikut Dinonaktifkan Batas Data untuk workload IL5 dan non-IL5. Menampilkan banner peringatan yang tidak memblokir saat Anda membuat atau menerapkan workload IL5. Organisasi yang memilih untuk menonaktifkan kontrol personel IL5 untuk resource level organisasi, sekaligus mempertahankan kontrol level folder di folder IL5.

Cara kerja mode OLPC

Mode OLPC mengatur perutean dukungan tingkat organisasi dan batasan pembuatan workload:

  • Cakupan organisasi non-rekursif: OLPC hanya berlaku untuk resource tingkat organisasi di root organisasi Google Cloud . Folder dan project turunan tidak mewarisi kontrol personel tingkat organisasi dari mode OLPC. Sebagai gantinya, mereka mengikuti kontrol yang dikonfigurasi pada folder Assured Workloads atau deployment framework mereka sendiri.
  • Perutean dukungan tingkat organisasi: Jika mode OLPC ditetapkan ke Strict IL5, Strict IL5 (forward migration), atau Allow multiple workloads with IL5 support routing, akses ke sumber daya tingkat organisasi dibatasi untuk orang Amerika Serikat yang berlokasi di AS. Kasus Cloud Customer Care yang dibuka di node root organisasi, bukan untuk project tertentu, akan diarahkan ke Orang Amerika Serikat yang berada di AS. Untuk informasi selengkapnya tentang langganan dan pemilihan rute dukungan, lihat Mendapatkan dukungan.
  • Pemilihan rute dukungan tingkat project di organisasi campuran: Saat Anda membuka kasus dukungan untuk project tertentu, kasus tersebut akan selalu menerima pemilihan rute dukungan tingkat project berdasarkan setelan framework atau batas data project tersebut. Dalam organisasi yang menggunakan Strict IL5 (forward migration) atau Allow multiple workloads with IL5 support routing, jika kasus dukungan dirutekan ke personel dukungan non-IL5 dan penyelesaian masalah memerlukan akses ke resource tingkat organisasi, perwakilan dukungan yang ditugaskan harus berkolaborasi dengan perwakilan dukungan atau engineer yang merupakan Orang Amerika Serikat. Misalnya, jika kasus Dukungan dan Batas Data Uni Eropa memerlukan akses ke resource tingkat organisasi, kolaborasi ini dapat menyebabkan penundaan dukungan dan dapat mengakibatkan akses oleh engineer Orang Amerika Serikat yang terkait dengan kasus dukungan, terlepas dari setelan batas data project.
  • Deployment framework kustom dan detektif: Kontrol personel tingkat organisasi berlaku untuk resource tingkat organisasi, terlepas dari framework yang Anda deploy. Jika mode OLPC ditetapkan ke Strict IL5 atau Strict IL5 (forward migration), hanya framework Assured Workloads non-IL5 bawaan yang diblokir dalam mode Monitor and prevent, dan Anda tidak dapat memindahkan deployment framework non-IL5 bawaan yang ada dari mode Monitor ke mode Monitor and prevent. Men-deploy framework kustom dalam mode Pantau atau Pantau dan cegah, atau men-deploy framework non-IL5 bawaan dalam mode Pantau, tidak diblokir. Jika framework kustom menyertakan kontrol cloud builtin-restrict-technical-support-services untuk rezim non-IL5, kasus dukungan untuk project yang menggunakan framework tersebut mengikuti perilaku kolaborasi yang sama dengan Orang Amerika Serikat saat menyelesaikan masalah yang memerlukan akses ke resource tingkat organisasi.
  • Retensi setelah penghapusan workload: Jika Anda menghapus folder Data Boundary for IL5 aktif terakhir atau menghapus penetapan resource framework Data Boundary for IL5 preventif terakhir di organisasi Anda, mode OLPC yang Anda pilih dan kontrol personel tingkat organisasinya akan tetap aktif hingga administrator mengubah mode tersebut.

Sebelum memulai

Untuk melihat atau memperbarui mode OLPC, Anda harus memiliki peran Identity and Access Management (IAM) yang diperlukan yang diberikan di level organisasi. Peran yang diberikan hanya di level folder atau project tidak cukup untuk melihat atau mengubah setelan organisasi.

Untuk mendapatkan izin yang Anda perlukan untuk melihat atau memperbarui mode OLPC, minta administrator untuk memberi Anda peran IAM berikut di organisasi Anda:

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Melihat atau memperbarui mode OLPC

Anda dapat melihat dan memperbarui mode OLPC organisasi di halaman setelan Assured Workloads di konsol Google Cloud :

  1. Di konsol Google Cloud , buka halaman Assured Workloads settings.

    Buka setelan Assured Workloads

    Anda juga dapat membuka setelan Assured Workloads dari salah satu halaman berikut setelah memilih organisasi:

    • Di halaman Assured Workloads di bagian Compliance > Assured Workloads, klik Settings di panel tindakan atas.
    • Di halaman Frameworks di bagian Compliance > Configure, klik Settings di panel tindakan atas.

  2. Di bagian Mode OLPC, lihat setelan saat ini di samping Mode aktif.

  3. Untuk mengubah mode, klik Edit OLPC mode.

  4. Di panel Choose OLPC mode, pilih OLPC mode yang sesuai dengan persyaratan organisasi Anda, lalu klik Save.

Mengonfigurasi mode OLPC untuk workload IL5 yang ada

Jika organisasi Anda sudah memiliki folder Batas Data untuk IL5 yang aktif atau deployment framework Batas Data preventif untuk IL5 saat mode OLPC Tidak ditetapkan, banner peringatan Tindakan diperlukan akan muncul di halaman Assured Workloads dan Framework. Klik Set OLPC mode di banner untuk membuka Assured Workloads settings, pilih mode OLPC, lalu klik Save.

Menyelesaikan banner OLPC selama pembuatan workload

Saat Anda membuat folder Assured Workloads atau men-deploy framework bawaan dalam mode Monitor and prevent, konsol Google Cloud akan memeriksa batas data yang Anda pilih berdasarkan mode OLPC aktif organisasi Anda:

  • Mode OLPC diperlukan: Muncul saat Anda memilih Batas Data untuk IL5, sementara mode OLPC organisasi Anda Tidak ditetapkan. Pembuatan atau penerapan tidak tersedia hingga mode dikonfigurasi. Klik Pilih mode OLPC di banner untuk memilih dan menyimpan mode OLPC di panel samping tanpa keluar dari alur kerja.
  • Diblokir oleh mode OLPC: Muncul saat Anda memilih paket kontrol non-IL5, men-deploy framework non-IL5 bawaan dalam mode Pantau dan cegah, atau mencoba mengubah deployment framework non-IL5 bawaan yang ada dari mode Pantau ke mode Pantau dan cegah saat organisasi Anda menggunakan IL5 Ketat atau IL5 Ketat (migrasi maju). Jika organisasi Anda perlu menerapkan kontrol preventif untuk workload non-IL5 bersama dengan workload IL5, administrator dapat mengklik Update OLPC mode di banner dan memilih Allow multiple workloads with IL5 support routing atau Opt-out.
  • OLPC opt-out active: Muncul saat Anda memilih Batas Data untuk IL5 saat mode OLPC organisasi Anda ditetapkan ke Opt-out. Peringatan ini tidak memblokir pembuatan workload, dan kontrol IL5 tingkat folder masih berlaku untuk folder tersebut. Jika Anda ingin kontrol personel orang Amerika Serikat diterapkan ke resource tingkat organisasi, klik Update OLPC mode dan pilih Strict IL5, Strict IL5 (forward migration), atau Allow multiple workloads with IL5 support routing.

Memecahkan masalah mode OLPC

Tabel berikut menjelaskan error umum saat melihat atau memperbarui mode OLPC atau membuat workload, beserta langkah-langkah untuk mengatasinya:

Pesan error Penyebab Resolusi
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. Anda memilih Strict IL5, yang dikhususkan untuk organisasi khusus IL5, sedangkan organisasi tersebut sudah memiliki setidaknya satu folder non-IL5 aktif atau deployment framework preventif bawaan. Pilih Strict IL5 (forward migration) untuk mempertahankan workload non-IL5 yang ada sambil memblokir workload baru, atau pilih Allow multiple workloads with IL5 support routing. Untuk menggunakan Strict IL5, hapus semua workload non-IL5 yang ada terlebih dahulu dengan menghapus folder Assured Workloads non-IL5 dan menghapus penetapan resource dari framework Assured Workloads preventif non-IL5 bawaan. Menghapus penetapan resource framework akan langsung berlaku tanpa menghapus folder atau project.
You don't have permission to view Assured Workloads settings. atau You don't have permission to update Assured Workloads settings., atau tombol Edit mode OLPC tidak tersedia Akun Anda tidak memiliki peran IAM yang diperlukan yang diberikan di tingkat organisasi. Minta administrator organisasi Anda untuk memberi Anda roles/assuredworkloads.viewer untuk melihat setelan, atau roles/assuredworkloads.admin untuk melihat dan memperbarui setelan, pada resource organisasi, bukan pada folder atau project.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. Folder non-IL5 atau deployment framework pencegahan bawaan dikirimkan saat Strict IL5 atau Strict IL5 (migrasi maju) aktif, seperti setelah administrator mengubah mode di sesi lain. Pilih Batas Data untuk IL5, atau minta administrator untuk memperbarui mode OLPC ke Izinkan beberapa workload dengan perutean dukungan IL5 di Setelan Assured Workloads.
Couldn't update OLPC mode. Try again. Administrator lain memperbarui setelan organisasi pada saat yang sama, atau terjadi error sementara. Muat ulang halaman setelan Assured Workloads dan coba simpan pilihan Anda lagi. Jika error tetap berlanjut, hubungi Layanan Pelanggan.

Langkah berikutnya