조직 수준 직원 제어(OLPC) 구성

조직 수준 직원 제어(OLPC) 모드는 Assured Workloads의 조직 전체 설정으로, 조직 수준 리소스에 대한 직원 지원 및 관리 액세스 제어를 구성하여 영향 수준 5(IL5) 워크로드의 데이터 경계를 지원할 수 있습니다.

미국 국방부(DoD) 영향 수준 5(IL5)에서는 미국에 거주하는 미국인이 지원 및 관리 액세스를 처리해야 합니다. Assured Workloads 폴더 및 Assured Workloads 프레임워크는 폴더 및 프로젝트에 제어를 적용하지만, Security Command Center 및 직원 ID 제휴와 같은 특정 Google Cloud 서비스는 보안 메타데이터 또는 세션 데이터를 조직 루트에 직접 저장하며 폴더 간에 파티션을 나눌 수 없습니다. OLPC 모드를 구성하면 이러한 조직 수준 리소스에 IL5 직원 제어를 적용하고 조직에서 만들 수 있는 워크로드를 정의할 수 있습니다.

OLPC 모드 구성 및 시행은 Assured Workloads에 추가 비용 없이 포함됩니다.

OLPC 모드

IL5용 데이터 경계 폴더를 만들거나 모니터링 및 방지 모드에서 IL5용 데이터 경계 프레임워크를 배포하려면 먼저 관리자가 조직에 OLPC 모드를 구성해야 합니다.

다음 표에서는 각 OLPC 모드, 조직 수준 리소스에 대한 IL5 직원 제어 사용 설정 여부, 만들거나 배포할 수 있는 워크로드를 설명합니다.

OLPC 모드 조직 수준 IL5 직원 제어 허용되는 새 워크로드 및 예방 프레임워크 사용 시기
설정되지 않음 사용 설정되지 않음 Google Cloud 콘솔에서 IL5가 아닌 경우에만 해당합니다. API, Google Cloud CLI 또는 Terraform을 사용하면 IL5 및 비IL5 워크로드 모두에 대한 데이터 경계가 허용됩니다. 관리자가 OLPC 모드를 구성하기 전의 기본 상태입니다.
엄격한 IL5 미국 내 미국인에 대해 사용 설정됨 IL5 폴더 및 예방 프레임워크의 데이터 경계, 모니터링 또는 모니터링 및 방지 모드의 커스텀 프레임워크, 모니터링 모드의 기본 제공 비IL5 프레임워크 새로운 비IL5 폴더, 모니터링 및 방지 모드의 기본 제공 비IL5 프레임워크, 기본 제공 비IL5 프레임워크를 모니터링 모드에서 모니터링 및 방지 모드로 이동하는 것을 차단합니다. 기존의 IL5가 아닌 폴더 또는 기본 제공되는 예방 프레임워크가 없는 전용 IL5 조직 조직에 이미 활성 상태인 비IL5 폴더 또는 기본 제공 예방 프레임워크가 있는 경우 이 모드를 선택할 수 없습니다.
엄격한 IL5(정방향 마이그레이션) 미국 내 미국인에 대해 사용 설정됨 IL5 폴더 및 향후 예방 프레임워크의 데이터 경계, 모니터링 또는 모니터링 및 방지 모드의 커스텀 프레임워크, 모니터링 모드의 기본 제공 비IL5 프레임워크 기존의 IL5가 아닌 워크로드는 변경되지 않습니다. IL5가 아닌 새 폴더, 모니터링 및 방지 모드의 기본 제공 IL5가 아닌 프레임워크, 기본 제공 IL5가 아닌 프레임워크를 모니터링 모드에서 모니터링 및 방지 모드로 이동하는 것을 차단합니다. 기존의 IL5가 아닌 폴더를 삭제하거나, IL5가 아닌 프레임워크 리소스 할당을 삭제하거나, 기존 워크로드를 마이그레이션하지 않고 앞으로 IL5 폴더 및 예방 프레임워크만 만들려는 IL5가 아닌 기존 워크로드가 있는 조직입니다.
IL5 지원 라우팅으로 여러 워크로드 허용 미국 내 미국인에 대해 사용 설정됨 IL5 및 비IL5 워크로드의 데이터 경계 동일한 조직에서 IL5 및 비IL5 워크로드(예: FedRAMP High, CJIS 또는 리전 데이터 경계)를 모두 실행하는 조직

참고: 이 모드를 선택하면 미국에 거주하는 미국인으로 조직 수준 리소스에 대한 액세스가 제한됩니다. EU 데이터 경계 및 지원 케이스와 같은 비IL5 프로젝트 지원 케이스에 조직 수준 리소스에 대한 액세스 권한이 필요한 경우 할당된 지원 담당자는 미국인 지원 담당자 또는 엔지니어와 협업해야 합니다. 이러한 공동작업으로 인해 지원이 지연될 수 있으며 케이스와 관련된 미국인 엔지니어가 액세스할 수 있습니다.
선택 해제 사용 중지됨 IL5 및 비IL5 워크로드의 데이터 경계 IL5 워크로드를 만들거나 시행할 때 비차단 경고 배너를 표시합니다. IL5 폴더에 대한 폴더 수준 제어를 유지하면서 조직 수준 리소스에 대한 IL5 직원 제어를 사용 중지하는 조직

OLPC 모드 작동 방식

OLPC 모드는 조직 수준 지원 라우팅과 워크로드 생성 가드레일을 모두 제어합니다.

  • 비재귀 조직 범위: OLPC는 Google Cloud 조직 루트의 조직 수준 리소스에만 적용됩니다. 하위 폴더 및 프로젝트는 OLPC 모드에서 조직 수준 직원 제어를 상속하지 않습니다. 대신 자체 Assured Workloads 폴더 또는 프레임워크 배포에 구성된 제어를 따릅니다.
  • 조직 수준 지원 라우팅: OLPC 모드가 엄격한 IL5, 엄격한 IL5(정방향 마이그레이션) 또는 IL5 지원 라우팅으로 여러 워크로드 허용으로 설정된 경우 조직 수준 리소스에 대한 액세스는 미국에 거주하는 미국인으로 제한됩니다. 특정 프로젝트가 아닌 조직 루트 노드에서 열린 Cloud Customer Care 케이스는 미국에 있는 미국인에게 라우팅됩니다. 지원 구독 및 라우팅에 대한 자세한 내용은 지원 받기를 참조하세요.
  • 혼합 조직의 프로젝트 수준 지원 라우팅: 특정 프로젝트에 대한 지원 케이스를 열면 케이스는 항상 해당 프로젝트의 데이터 경계 또는 프레임워크 설정에 따라 프로젝트 수준 지원 라우팅을 받습니다. 엄격한 IL5(정방향 마이그레이션) 또는 IL5 지원 라우팅으로 여러 워크로드 허용을 사용하는 조직에서 지원 케이스가 IL5가 아닌 지원 담당자에게 라우팅되고 문제를 해결하는 데 조직 수준 리소스에 대한 액세스 권한이 필요한 경우 할당된 지원 담당자는 미국인 지원 담당자 또는 엔지니어와 협력해야 합니다. 예를 들어 EU 데이터 경계 및 지원 케이스에 조직 수준 리소스에 대한 액세스 권한이 필요한 경우 이 공동작업으로 인해 지원이 지연될 수 있으며 프로젝트의 데이터 경계 설정과 관계없이 지원 케이스와 연결된 미국인 엔지니어가 액세스할 수 있습니다.
  • 커스텀 및 탐지 프레임워크 배포: 배포하는 프레임워크에 관계없이 조직 수준 리소스에 조직 수준 직원 제어가 적용됩니다. OLPC 모드가 엄격한 IL5 또는 엄격한 IL5(정방향 마이그레이션)로 설정된 경우 기본 제공되는 IL5가 아닌 Assured Workloads 프레임워크만 모니터링 및 방지 모드에서 차단되며, 기존의 기본 제공되는 IL5가 아닌 프레임워크 배포를 모니터링 모드에서 모니터링 및 방지 모드로 이동할 수 없습니다. 모니터링 또는 모니터링 및 방지 모드에서 커스텀 프레임워크를 배포하거나 모니터링 모드에서 기본 제공되는 비IL5 프레임워크를 배포하는 것은 차단되지 않습니다. 커스텀 프레임워크에 IL5가 아닌 체제에 대한 builtin-restrict-technical-support-services 클라우드 제어가 포함된 경우 해당 프레임워크를 사용하는 프로젝트의 지원 케이스는 문제를 해결하는 데 조직 수준 리소스에 대한 액세스가 필요한 경우 미국인과 동일한 공동작업 동작을 따릅니다.
  • 워크로드 삭제 후 보관: 마지막 활성 IL5용 데이터 경계 폴더를 삭제하거나 조직에서 마지막 예방적 IL5용 데이터 경계 프레임워크 리소스 할당을 삭제하면 관리자가 모드를 변경할 때까지 선택한 OLPC 모드와 조직 수준 직원 제어가 활성 상태로 유지됩니다.

시작하기 전에

OLPC 모드를 보거나 업데이트하려면 조직 수준에서 부여된 필수 Identity and Access Management(IAM) 역할이 있어야 합니다. 폴더 또는 프로젝트 수준에서만 부여된 역할로는 조직 설정을 보거나 수정할 수 없습니다.

OLPC 모드를 보거나 업데이트하는 데 필요한 권한을 얻으려면 관리자에게 조직에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

OLPC 모드 보기 또는 업데이트

Google Cloud 콘솔의 Assured Workloads 설정 페이지에서 조직의 OLPC 모드를 확인하고 업데이트할 수 있습니다.

  1. Google Cloud 콘솔에서 Assured Workloads 설정 페이지로 이동합니다.

    Assured Workloads 설정으로 이동

    조직을 선택한 후 다음 페이지 중 하나에서 Assured Workloads 설정을 열 수도 있습니다.

    • 규정 준수 > Assured Workloads의 Assured Workloads 페이지에서 상단 작업 모음의 설정을 클릭합니다.
    • 규정 준수 > 구성의 프레임워크 페이지에서 상단 작업 모음의 설정을 클릭합니다.

  2. OLPC 모드에서 활성 모드 옆에 있는 현재 설정을 확인합니다.

  3. 모드를 변경하려면 OLPC 모드 수정을 클릭합니다.

  4. OLPC 모드 선택 패널에서 조직의 요구사항과 일치하는 OLPC 모드를 선택한 후 저장을 클릭합니다.

기존 IL5 워크로드에 OLPC 모드 구성

조직에 이미 활성 상태인 IL5용 데이터 경계 폴더 또는 예방적 IL5용 데이터 경계 프레임워크 배포가 있고 OLPC 모드가 설정되지 않음인 경우 Assured Workloads 및 프레임워크 페이지에 조치 필요 경고 배너가 표시됩니다. 배너에서 OLPC 모드 설정을 클릭하여 Assured Workloads 설정을 열고 OLPC 모드를 선택한 후 저장을 클릭합니다.

워크로드 생성 중 OLPC 배너 해결

Assured Workloads 폴더를 만들거나 모니터링 및 방지 모드에서 기본 제공 프레임워크를 배포하면 Google Cloud 콘솔에서 선택한 데이터 경계를 조직의 활성 OLPC 모드와 비교하여 확인합니다.

  • OLPC 모드 필요: 조직의 OLPC 모드가 설정되지 않음인 상태에서 IL5의 데이터 경계를 선택하면 표시됩니다. 모드가 구성될 때까지 생성 또는 시행을 사용할 수 없습니다. 배너에서 OLPC 모드 선택을 클릭하여 워크플로를 벗어나지 않고 측면 패널에서 OLPC 모드를 선택하고 저장합니다.
  • OLPC 모드로 차단됨: IL5가 아닌 제어 패키지를 선택하거나, 모니터링 및 방지 모드에서 기본 제공되는 IL5가 아닌 프레임워크를 배포하거나, 조직에서 엄격한 IL5 또는 엄격한 IL5(정방향 마이그레이션)를 사용하는 동안 기존의 기본 제공되는 IL5가 아닌 프레임워크 배포를 모니터링 모드에서 모니터링 및 방지 모드로 변경하려고 할 때 표시됩니다. 조직에서 IL5 워크로드와 함께 IL5가 아닌 워크로드에 대한 예방 제어를 시행해야 하는 경우 관리자는 배너에서 OLPC 모드 업데이트를 클릭하고 IL5 지원 라우팅이 있는 여러 워크로드 허용 또는 선택 해제를 선택할 수 있습니다.
  • OLPC 선택 해제 활성: 조직의 OLPC 모드가 선택 해제로 설정된 상태에서 IL5의 데이터 경계를 선택하면 표시됩니다. 이 경고는 워크로드 생성을 차단하지 않으며 폴더 수준 IL5 제어가 폴더에 계속 적용됩니다. 조직 수준 리소스에 미국인 직원 제어를 적용하려면 OLPC 모드 업데이트를 클릭하고 엄격한 IL5, 엄격한 IL5(정방향 마이그레이션) 또는 IL5 지원 라우팅으로 여러 워크로드 허용을 선택합니다.

OLPC 모드 문제 해결

다음 표에서는 OLPC 모드를 보거나 업데이트하거나 워크로드를 만들 때 발생하는 일반적인 오류와 해결 단계를 설명합니다.

오류 메시지 원인 해결 방법
Can't set Strict IL5 because this organization has existing non-IL5 workloads. Choose "Strict IL5 (forward migration)" or "Allow multiple workloads with IL5 support routing" instead. IL5 전용 조직을 위해 예약된 엄격한 IL5를 선택했지만 조직에 이미 활성 상태인 비IL5 폴더 또는 기본 제공 예방 프레임워크 배포가 하나 이상 있습니다. 엄격한 IL5(정방향 마이그레이션)를 선택하여 기존의 IL5가 아닌 워크로드를 유지하면서 새 워크로드를 차단하거나 IL5 지원 라우팅이 있는 여러 워크로드 허용을 선택합니다. 대신 엄격한 IL5를 사용하려면 먼저 IL5가 아닌 Assured Workloads 폴더를 삭제하고 기본 제공되는 IL5가 아닌 예방적 Assured Workloads 프레임워크에서 리소스 할당을 삭제하여 IL5가 아닌 기존 워크로드를 모두 삭제하세요. 프레임워크 리소스 할당을 삭제하면 폴더나 프로젝트를 삭제하지 않고도 즉시 적용됩니다.
You don't have permission to view Assured Workloads settings. 또는 You don't have permission to update Assured Workloads settings., 또는 OLPC 모드 수정 버튼을 사용할 수 없음 계정에 조직 수준에서 부여된 필수 IAM 역할이 없습니다. 조직 관리자에게 폴더나 프로젝트가 아닌 조직 리소스에서 설정을 볼 수 있는 roles/assuredworkloads.viewer 또는 설정을 보고 업데이트할 수 있는 roles/assuredworkloads.admin을 부여해 달라고 요청하세요.
This organization's OLPC mode doesn't allow the selected regime. Choose an allowed regime or update the OLPC mode in Assured Workloads settings. 엄격한 IL5 또는 엄격한 IL5(정방향 마이그레이션)가 활성 상태인 동안(예: 관리자가 다른 세션에서 모드를 변경한 후) IL5가 아닌 폴더 또는 기본 제공 예방 프레임워크 배포가 제출되었습니다. IL5의 데이터 경계를 선택하거나 관리자에게 Assured Workloads 설정에서 OLPC 모드를 IL5 지원 라우팅이 있는 여러 워크로드 허용으로 업데이트해 달라고 요청하세요.
Couldn't update OLPC mode. Try again. 다른 관리자가 동시에 조직의 설정을 업데이트했거나 일시적인 오류가 발생했습니다. Assured Workloads 설정 페이지를 새로고침하고 선택사항을 다시 저장해 봅니다. 오류가 계속되면 고객 지원에 문의하세요.

다음 단계