組織レベルの担当者制御（OLPC）を構成する

組織レベルの担当者制御（OLPC）モードは、Assured Workloads の組織全体の設定です。これにより、組織レベルのリソースに対する担当者によるサポートと管理者によるアクセス制御を構成して、影響レベル 5（IL5）のデータ境界ワークロードをサポートできます。

国防総省（DoD）の影響レベル 5（IL5）では、サポートと管理者権限を米国内に居住する US person が処理する必要があります。Assured Workloads フォルダと Assured Workloads フレームワークは、フォルダとプロジェクトに制御を適用しますが、特定の Google Cloud サービスは、セキュリティ メタデータまたはセッション データを組織のルートに直接保存し、フォルダ間でパーティション分割することはできません。たとえば、Security Command Center や Workforce Identity 連携などです。OLPC モードを構成すると、これらの組織レベルのリソースに IL5 担当者制御を適用し、組織で作成できるワークロードを定義できます。

OLPC モードの構成と適用は、Assured Workloads に追加料金なしで含まれています。

OLPC モード

IL5 フォルダのデータ境界を作成する、またはモニタリングと防止モードで IL5 フレームワークのデータ境界をデプロイする前に、管理者が組織の OLPC モードを構成する必要があります。

次の表に、各 OLPC モード、組織レベルのリソースで IL5 担当者管理を有効にするかどうか、作成またはデプロイできるワークロードを示します。

OLPC モード 組織レベルの IL5 担当者制御 許可された新しいワークロードと予防的フレームワーク 使用する状況
未設定 無効 Google Cloud コンソール（IL5 以外のみ）。API、Google Cloud CLI、または Terraform を使用すると、IL5 と IL5 以外の両方のワークロードのデータ境界が許可されます。 管理者が OLPC モードを設定する前のデフォルトの状態。
厳格な IL5 米国内の US person に対して有効 IL5 フォルダと予防フレームワークのデータ境界、モニタリングモードまたはモニタリングと防止モードのカスタム フレームワーク、モニタリングモードの組み込みの非 IL5 フレームワーク。新しい非 IL5 フォルダ、モニタリングと防止モードの組み込みの非 IL5 フレームワーク、組み込みの非 IL5 フレームワークをモニタリングモードからモニタリングと防止モードに移動することをブロックします。 既存の非 IL5 フォルダや組み込みの予防フレームワークがない専用の IL5 組織。組織にすでにアクティブな非 IL5 フォルダまたは組み込みの予防フレームワークがある場合、このモードは選択できません。
厳格な IL5（フォワード マイグレーション） 米国内の US person に対して有効 IL5 フォルダのデータ境界と予防フレームワーク、モニタリングモードまたはモニタリングと防止モードのカスタム フレームワーク、モニタリングモードの組み込みの非 IL5 フレームワーク。既存の非 IL5 ワークロードは変更されません。新しい非 IL5 フォルダ、モニタリングと防止モードの組み込みの非 IL5 フレームワーク、組み込みの非 IL5 フレームワークをモニタリングモードからモニタリングと防止モードに移動することをブロックします。 既存の非 IL5 ワークロードを持つ組織で、既存の非 IL5 フォルダの削除、非 IL5 フレームワークのリソース割り当ての削除、既存のワークロードの移行を行わずに、IL5 フォルダと予防フレームワークのみを作成する場合。
IL5 対応ルーティングで複数のワークロードを許可する 米国内の US person に対して有効 IL5 と非 IL5 の両方のワークロードのデータ境界。 同じ組織内で IL5 ワークロードと非 IL5 ワークロード（FedRAMP High、CJIS、リージョン データ境界など）の両方を実行する組織。

注: このモードを選択すると、組織レベルのリソースへのアクセスが、米国に居住する US person に制限されます。EU Data Boundary とサポートケースなど、IL5 以外のプロジェクト サポートケースで組織レベルのリソースへのアクセスが必要な場合、割り当てられたサポート担当者は、US person のサポート担当者またはエンジニアと連携する必要があります。このコラボレーションにより、サポートが遅れる可能性があります。また、ケースに関連付けられた US person エンジニアによるアクセスが発生する可能性があります。
オプトアウト オフ IL5 と非 IL5 の両方のワークロードのデータ境界。IL5 ワークロードを作成または適用するときに、非ブロッキング警告バナーを表示します。 組織レベルのリソースに対する IL5 担当者制御をオフにし、IL5 フォルダに対するフォルダレベルの制御をオンのままにする組織。

OLPC モードの仕組み

OLPC モードは、組織レベルのサポート ルーティングとワークロード作成のガードレールの両方を管理します。

  • 非再帰的な組織スコープ: OLPC は、 Google Cloud 組織ルートの組織レベルのリソースにのみ適用されます。子フォルダとプロジェクトは、OLPC モードから組織レベルの担当者管理を継承しません。代わりに、独自の Assured Workloads フォルダまたはフレームワーク デプロイで構成されたコントロールに従います。
  • 組織レベルのサポート ルーティング: OLPC モードが厳格な IL5、厳格な IL5（フォワード マイグレーション）、または IL5 対応ルーティングで複数のワークロードを許可するに設定されている場合、組織レベルのリソースへのアクセスは、米国に居住する米国担当者に制限されます。特定のプロジェクトではなく、組織のルートノードで開かれた Cloud カスタマーケアのケースは、米国に所在する US Person にルーティングされます。サポート サブスクリプションとルーティングの詳細については、サポートの利用をご覧ください。
  • 混合組織でのプロジェクト レベルのサポート ルーティング: 特定のプロジェクトのサポートケースを開くと、そのプロジェクトのデータ境界またはフレームワークの設定に基づいて、プロジェクト レベルのサポート ルーティングが常に適用されます。厳格な IL5（フォワード マイグレーション）または IL5 対応ルーティングで複数のワークロードを許可するを使用している組織で、サポートケースが IL5 以外のサポート担当者にルーティングされ、問題の解決に組織レベルのリソースへのアクセスが必要な場合、割り当てられたサポート担当者は、US person のサポート担当者またはエンジニアと協力する必要があります。たとえば、EU データ境界とサポートケースで組織レベルのリソースへのアクセスが必要な場合、このコラボレーションによりサポートが遅延する可能性があります。また、プロジェクトのデータ境界の設定に関係なく、サポートケースに関連付けられた US Person エンジニアによるアクセスが発生する可能性があります。
  • カスタム フレームワークと検出フレームワークのデプロイ: 組織レベルの担当者管理は、デプロイするフレームワークに関係なく、組織レベルのリソースに適用されます。OLPC モードが厳格な IL5 または厳格な IL5（フォワード マイグレーション）に設定されている場合、モニタリングと防止モードでは、組み込みの非 IL5 Assured Workloads フレームワークのみがブロックされます。既存の組み込みの非 IL5 フレームワークのデプロイをモニタリングモードからモニタリングと防止モードに移行することはできません。モニターモードまたはモニターと防止モードでカスタム フレームワークをデプロイすること、またはモニターモードで組み込みの IL5 以外のフレームワークをデプロイすることはブロックされません。カスタム フレームワークに IL5 以外のレジームの builtin-restrict-technical-support-services クラウド コントロールが含まれている場合、そのフレームワークを使用するプロジェクトのサポートケースは、問題の解決に組織レベルのリソースへのアクセスが必要な場合に、US Person と同じコラボレーション動作に従います。
  • ワークロード削除後の保持: 最後にアクティブな IL5 用データ境界フォルダを削除するか、組織内の IL5 用データ境界フレームワーク リソースの最後の予防的な割り当てを削除した場合、選択した OLPC モードとその組織レベルの担当者制御は、管理者がモードを変更するまで有効なままになります。

始める前に

OLPC モードを表示または更新するには、組織レベルで必要な Identity and Access Management（IAM）ロールが付与されている必要があります。フォルダレベルまたはプロジェクト レベルでのみ付与されたロールでは、組織設定を表示または変更できません。

OLPC モードの表示または更新に必要な権限を取得するには、組織に対する次の IAM ロールを付与するよう管理者に依頼してください。

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

OLPC モードを表示または更新する

組織の OLPC モードは、 Google Cloud コンソールの [Assured Workloads の設定] ページで確認、更新できます。

  1. Google Cloud コンソールで、[Assured Workloads の設定] ページに移動します。

    Assured Workloads の設定に移動

    組織を選択した後、次のいずれかのページから Assured Workloads の設定を開くこともできます。

    • [コンプライアンス> Assured Workloads] の [Assured Workloads] ページで、上部のアクションバーの [設定] をクリックします。
    • [コンプライアンス] > [構成] の [フレームワーク] ページで、上部のアクションバーの [設定] をクリックします。

  2. [OLPC モード] で、[アクティブ モード] の横にある現在の設定を確認します。

  3. モードを変更するには、 [OLPC モードを編集] をクリックします。

  4. [OLPC モードの選択] パネルで、組織の要件に一致する OLPC モードを選択し、[保存] をクリックします。

既存の IL5 ワークロードに OLPC モードを構成する

組織に IL5 フォルダのアクティブなデータ境界または IL5 フレームワークの予防的なデータ境界のデプロイがすでにあり、OLPC モードが未設定の場合、[Assured Workloads] ページと [フレームワーク] ページに対応が必要という警告バナーが表示されます。バナーの [OLPC モードを設定] をクリックして [Assured Workloads の設定] を開き、OLPC モードを選択して [保存] をクリックします。

ワークロードの作成中に OLPC バナーを解決する

Assured Workloads フォルダを作成するか、モニタリングと防止モードで組み込みフレームワークをデプロイすると、 Google Cloud コンソールは、選択したデータ境界を組織のアクティブな OLPC モードと照合します。

  • OLPC モードが必要です: 組織の OLPC モードが未設定のときに、IL5 のデータ境界を選択すると表示されます。モードが構成されるまで、作成または適用はできません。バナーの [OLPC モードを選択] をクリックして、ワークフローを離れることなく、サイドパネルで OLPC モードを選択して保存します。
  • OLPC モードによりブロックされました: IL5 以外のコントロール パッケージを選択した場合、モニタリングと防止モードで組み込みの IL5 以外のフレームワークをデプロイした場合、または組織が厳格な IL5 または厳格な IL5（前方移行）を使用しているときに、既存の組み込みの IL5 以外のフレームワークのデプロイをモニタリングモードからモニタリングと防止モードに変更しようとした場合に表示されます。組織で IL5 ワークロードとともに非 IL5 ワークロードの予防管理を適用する必要がある場合、管理者はバナーの [OLPC モードを更新] をクリックして、[IL5 対応ルーティングで複数のワークロードを許可する] または [オプトアウト] を選択できます。
  • OLPC オプトアウトが有効: 組織の OLPC モードが [オプトアウト] に設定されているときに、IL5 のデータ境界を選択すると表示されます。この警告はワークロードの作成をブロックしません。フォルダレベルの IL5 コントロールは引き続きフォルダに適用されます。組織レベルのリソースに US Person の担当者制御を適用する場合は、[OLPC モードを更新] をクリックして、[厳格な IL5]、[厳格な IL5（フォワード マイグレーション）]、または [IL5 対応ルーティングで複数のワークロードを許可する] を選択します。

OLPC モードのトラブルシューティング

次の表に、OLPC モードの表示や更新、ワークロードの作成時に発生する一般的なエラーと、その解決手順を示します。

エラー メッセージ 原因 解決策
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. IL5 専用の組織用に予約されている [厳格な IL5] を選択しましたが、組織にはすでに 1 つ以上のアクティブな非 IL5 フォルダまたは組み込みの予防フレームワークのデプロイがあります。 [厳格な IL5（フォワード マイグレーション）] を選択して、既存の非 IL5 ワークロードを保持しながら新しいワークロードをブロックするか、[IL5 対応ルーティングで複数のワークロードを許可する] を選択します。代わりに厳格な IL5 を使用するには、まず非 IL5 Assured Workloads フォルダを削除し、組み込みの非 IL5 予防 Assured Workloads フレームワークからリソース割り当てを削除して、既存の非 IL5 ワークロードをすべて削除します。フレームワーク リソースの割り当てを削除すると、フォルダやプロジェクトを削除することなく、すぐに有効になります。
You don't have permission to view Assured Workloads settings. または You don't have permission to update Assured Workloads settings.、または [OLPC モードを編集] ボタンが使用できない アカウントに、組織レベルで付与された必要な IAM ロールがありません。 フォルダやプロジェクトではなく、組織リソースの設定を表示するには roles/assuredworkloads.viewer、設定を表示して更新するには roles/assuredworkloads.admin を付与するよう組織管理者に依頼します。
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. 厳格な IL5 または厳格な IL5（フォワード マイグレーション）が有効なときに、IL5 以外のフォルダまたは組み込みの予防フレームワークのデプロイが送信された（管理者が別のセッションでモードを変更した後など）。 IL5 のデータ境界を選択するか、Assured Workloads の設定で OLPC モードを [IL5 対応ルーティングで複数のワークロードを許可する] に更新するよう管理者に依頼してください。
Couldn't update OLPC mode. Try again. 別の管理者が同時に組織の設定を更新したか、一時的なエラーが発生しました。 [Assured Workloads の設定] ページを更新して、選択内容をもう一度保存してみてください。エラーが解消されない場合は、カスタマーケアにお問い合わせください。

次のステップ