Crear y gestionar carpetas

Las carpetas son nodos de la jerarquía de recursos de Cloud Platform. Una carpeta puede contener proyectos, otras carpetas o una combinación de ambos. Los recursos de organización pueden usar carpetas para agrupar proyectos en el nodo de recursos de organización en una jerarquía. Por ejemplo, el recurso de tu organización puede contener varios departamentos, cada uno con su propio conjunto de Google Cloud recursos. Las carpetas te permiten agrupar estos recursos por departamento. Las carpetas se usan para agrupar recursos que comparten políticas de permitir o denegar comunes. Aunque una carpeta puede contener varias carpetas o recursos, una carpeta o un recurso concretos solo pueden tener un elemento superior.

En el siguiente diagrama, el recurso de organización "Company" tiene carpetas que representan dos departamentos ("Dept X" y "Dept Y") y una carpeta ("Shared Infrastructure") para los elementos que pueden ser comunes a ambos departamentos. En "Departamento Y", se han organizado en dos equipos y, dentro de las carpetas de los equipos, se han organizado por productos. La carpeta "Producto 1" contiene tres proyectos, cada uno con los recursos necesarios. De esta forma, pueden asignar políticas de permitir, denegar u organización con un alto grado de flexibilidad y con la granularidad adecuada.

Puedes usar políticas de permitir y denegar a nivel de carpeta para controlar el acceso a los recursos que contiene la carpeta. Por ejemplo, si a un usuario se le asigna el rol Administrador de instancias de Compute en una carpeta, tendrá ese rol en todos los proyectos de la carpeta.

Antes de empezar

La función de carpetas solo está disponible para los clientes de Google Workspace y Cloud Identity que tengan un recurso de organización. Para obtener más información sobre cómo adquirir un recurso de organización, consulta el artículo Crear y gestionar organizaciones.

Si quieres saber cómo usar las carpetas de la mejor forma posible, te recomendamos que hagas lo siguiente:

1. Consulta el artículo Control de acceso a carpetas con gestión de identidades y accesos. En este tema se describe cómo puedes controlar quién tiene acceso a las carpetas y a los recursos que contienen.
2. Consulta cómo definir permisos de carpeta. Las carpetas admiten varios roles de gestión de identidades y accesos. Si quieres configurar los permisos de forma general para que los usuarios puedan ver la estructura de sus proyectos, asigna a todo el dominio los roles Lector de la organización y Lector de carpetas a nivel de recurso de organización. Para restringir la visibilidad a las ramas de tu jerarquía de carpetas, asigna el rol Lector de carpetas a la carpeta o carpetas que quieras que vean los usuarios.
3. Crea carpetas. Cuando planifiques cómo organizar tus recursos de Cloud, te recomendamos que empieces con una sola carpeta como entorno de pruebas en el que puedas experimentar con la jerarquía que mejor se adapte a tu recurso de organización. Las carpetas son límites de aislamiento entre recursos y puntos de montaje para las políticas de acceso y configuración. Puedes crear carpetas para incluir recursos que pertenezcan a diferentes departamentos y asignar roles de administrador en las carpetas para delegar privilegios de administrador. Las carpetas también se pueden usar para agrupar recursos que pertenezcan a aplicaciones o a diferentes entornos, como desarrollo, producción o pruebas. Usa carpetas anidadas para modelar estas situaciones.

Lo habitual es crear carpetas que, a su vez, contengan otras carpetas o proyectos, como se muestra en la imagen de arriba. Esta estructura se denomina jerarquía de carpetas. Cuando crees una jerarquía de carpetas, ten en cuenta lo siguiente:

• Puedes anidar carpetas hasta 10 (diez) niveles.
• Una carpeta superior no puede contener más de 300 carpetas. Esto solo se refiere a las carpetas secundarias directas. A su vez, esas subcarpetas pueden contener otras carpetas o proyectos.
• Los nombres visibles de las carpetas deben ser únicos en el mismo nivel de la jerarquía.

Configurar permisos para gestionar carpetas

Para acceder a las carpetas y gestionarlas, asigna roles de gestión de identidades y accesos específicos de las carpetas a grupos de usuarios concretos. Para obtener más información sobre estos roles, consulta el artículo Control de acceso a carpetas con gestión de identidades y accesos. También te recomendamos que consultes nuestras prácticas recomendadas para identificar la configuración óptima de los permisos de tus carpetas.

Para gestionar carpetas de todo el recurso de tu organización, debes tener el rol Administrador de carpetas. Este rol concede al usuario permiso para crear, editar, eliminar, mover y cambiar los permisos de gestión de identidades y accesos de las carpetas, así como permiso para mover proyectos entre carpetas.

Inicialmente, solo el administrador de la organización puede asignar el rol Administrador de carpetas al recurso de la organización. Las cuentas a las que se asigne este rol posteriormente podrán concederlo a otras cuentas.

Para configurar los permisos de una carpeta, sigue estos pasos:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member=user:USER_ID \
    --role=roles/resourcemanager.folderAdmin

request_json= '{ policy: { version: "1", bindings: [ { role: "roles/folderAdmin",
members: [ "user:admin@myorganization.com", ] }, { role: "roles/folderCreator",
members: [   "user:admin@myorganization.com", ] } , { role: "roles/folderMover",
members: [ "user:admin@myorganization.com", ] } , ] } }'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/ORGANIZATION_NAME:setIamPolicy

Crear carpetas

Para crear carpetas, debe tener el rol Administrador de carpetas o Creador de carpetas a nivel de elemento superior. Por ejemplo, para crear carpetas a nivel de organización, debes tener uno de estos roles a nivel de organización.

Para crear una carpeta, debes asignarle un nombre. Los nombres de las carpetas deben cumplir los siguientes requisitos:

• El nombre puede contener letras, números, espacios, guiones y guiones bajos.
• El nombre visible de la carpeta debe empezar y terminar con una letra o un dígito.
• El nombre debe tener entre 3 y 30 caracteres.
• El nombre debe ser distinto de todos los demás nombres de carpetas que compartan la misma carpeta principal.

Para crear una carpeta, sigue estos pasos:

gcloud resource-manager folders create \
   --display-name=[DISPLAY_NAME] \
   --organization=[ORGANIZATION_ID]

gcloud resource-manager folders create \
   --display-name=[DISPLAY_NAME] \
   --folder=[FOLDER_ID]

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "CREATE"
  }
}

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "[DISPLAY_NAME]",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Añadir etiquetas al crear carpetas

Las etiquetas permiten crear anotaciones para los recursos. Puedes añadir etiquetas al crear carpetas. Para ello, debes conceder el rol Usuario de etiquetas. Para obtener más información sobre los permisos que incluye este rol, consulta Gestionar etiquetas en recursos. Solo puedes añadir el espacio de nombres de los pares clave-valor de la etiqueta de una de las siguientes formas:

  gcloud resource-manager folders create \
  --display-name=DISPLAY_NAME \
  --organization=ORGANIZATION_ID
  --tags=KEY_VALUE_PAIRS

  POST https://cloudresourcemanager.googleapis.com/v3/projects/
  Authorization: *************
  Content-Type: application/json

  {
    "display_name": "our-folder-456",
    "parent": "organizations/123",
    "tags": {
      "key": "123/environment"
      "value": "production"
    },
"tags": {
      "key": "123/costCenter"
      "value": "marketing"
    }
  }

Configurar el acceso a carpetas

Para configurar el acceso a las carpetas, debes tener el rol Administrador de gestión de identidades y accesos de carpetas o Administrador de carpetas a nivel de elemento superior.

gcloud resource-manager folders \
  add-iam-policy-binding [FOLDER_ID] \
  --member=user:email1@example.com \
  --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
  add-iam-policy-binding [FOLDER_ID] \
  --member=user:email1@example.com \
  --role=roles/resourcemanager.folderViewer

gcloud resource-manager folders \
  set-iam-policy [FOLDER_ID] [POLICY_FILE]

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy

Crear un proyecto en una carpeta

Para crear un proyecto en una carpeta, debes tener el rol de creador de proyectos (roles/resourcemanager.projectCreator) en la carpeta. Este rol puede heredarse de una carpeta superior.

  gcloud projects create PROJECT_ID --folder FOLDER_ID

   request_json= '{
      name: DISPLAY_NAME, projectId: PROJECT_ID, parent: {id: PARENT_ID, type: PARENT_TYPE}
   }'

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/projects

No incluyas información sensible en el nombre de la carpeta ni en otros nombres de recursos. Cualquier referencia a la carpeta o a los recursos relacionados expone el nombre de la carpeta y el nombre del recurso.

Mover un proyecto a una carpeta

Debes tener en cuenta las implicaciones de las políticas antes de mover un proyecto a una carpeta o de sacarlo de ella. Las políticas que definas a nivel de proyecto se moverán con el proyecto, pero las políticas heredadas de un recurso superior no se moverán.

Cuando mueves un proyecto, las políticas de gestión de identidades y accesos o las políticas de la organización que estén asociadas directamente se moverán con él. Sin embargo, un proyecto de tu jerarquía de recursos también se ve afectado por las políticas que hereda de los recursos superiores. Si un proyecto hereda un rol de gestión de identidades y accesos que proporciona a los usuarios permiso para usar un servicio concreto, los usuarios no tendrán acceso a ese servicio en el destino a menos que también hereden el permiso en el destino.

Por ejemplo, supongamos que una cuenta de servicio tiene el rol Creador de objetos de almacenamiento asignado a un usuario en la carpeta A. La cuenta de servicio tiene permiso para subir datos a Cloud Storage en cualquier proyecto de la carpeta A. Si has movido uno de estos proyectos a la carpeta B, que no tiene los mismos permisos heredados, la cuenta de servicio de ese proyecto perderá la capacidad de subir datos, lo que provocará una interrupción del servicio.

Estas mismas consideraciones se aplican si las políticas de la organización se definen en las carpetas de origen y de destino. Al igual que las políticas de gestión de identidades y accesos, las políticas de organización se heredan. Por lo tanto, debe asegurarse de que las políticas de su organización sean coherentes entre las carpetas de origen y de destino.

Para obtener más información sobre las políticas de organización, consulta la introducción al servicio de políticas de organización.

Para mover un proyecto, necesitas el rol de IAM Trasladador de proyectos (roles/resourcemanager.projectMover) en la carpeta de origen y en la de destino. Si el recurso no está en una carpeta, necesitas este rol en el recurso de organización.

Estos roles te conceden los siguientes permisos obligatorios:

• resourcemanager.projects.update en el proyecto
• Si el recurso está en una carpeta: resourcemanager.projects.move en la carpeta de origen y en la de destino.
• Si el recurso no está en una carpeta: resourcemanager.projects.move en el recurso de organización

También puedes obtener estos permisos con roles personalizados u otros roles predefinidos.

gcloud beta projects move PROJECT_ID \
--DESTINATION_TYPE DESTINATION_ID

POST https://cloudresourcemanager.googleapis.com/v3/{name=PROJECT_NAME}:move
{
  "destinationParent": DESTINATION_PARENT
}

Mover una carpeta a otra carpeta

Para mover una carpeta a otra, debes tener el permiso resourcemanager.folders.move en las carpetas de origen y de destino.

gcloud resource-manager folders move [FOLDER_ID] \
  --organization=[PARENT_ID]

gcloud resource-manager folders move [FOLDER_ID] \
  --folder=[PARENT_ID]

request_json= '{
   destinationParent: "folders/[DESTINATION_FOLDER_ID]"
}'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token} \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders/[DISPLAY_NAME]:move

{
  "name": "operations/fm.1234567890",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "MOVE"
  }
}

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fm.1234567890

{
  "name": "operations/fm.1234567890",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "MOVE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "folders/98765",
    "displayName": "[DISPLAY_NAME]",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-20T00:54:44.295Z"
  }
}

Ver o enumerar carpetas y proyectos

Para ver o enumerar carpetas, debes tener los roles Lector de la organización y Lector de carpetas.

Para ver o enumerar carpetas y proyectos, sigue estos pasos:

gcloud resource-manager folders describe FOLDER_ID

gcloud resource-manager folders list \
  --organization ORGANIZATION_ID

gcloud resource-manager folders list \
  --folder FOLDER_ID

gcloud projects list \
  --filter=" parent.id: 'RESOURCE_ID' "

curl -X GET -H "Content-Type: application/json" \
  -H "Authorization: Bearer ${bearer_token}" \
  https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]

curl -X GET -H "Content-Type: application/json" \
  -H "Authorization: Bearer ${bearer_token}" \
  https://cloudresourcemanager.googleapis.com/v3/folders?parent=[PARENT_NAME]

Usar Google Cloud CLI

Los comandos para interactuar con la API Folders con la herramienta de línea de comandos gcloud están disponibles en el grupo de comandos gcloud resource-manager folders.

Crear

Para crear una carpeta, usa gcloud resource-manager folders create con flags que definan el nombre de la carpeta y el ID del recurso de organización o de la carpeta en la que quieras crearla.

gcloud resource-manager folders create \
  --display-name="Super Fantastic Folder" \
  --organization=2518

Created Folder 245321.

Ver

Para ver una carpeta, usa gcloud resource-manager folders describe con el ID de la carpeta que quieras ver.

gcloud resource-manager folders describe 245321
name: folders/245321
parent: organizations/2518
display_name: Super Fantastic Folder
lifecycle_state: ACTIVE
create_time: <timestamp info …>
update_time: <timestamp info …>

Lista

Para enumerar las carpetas que hay en una carpeta, usa gcloud resource-manager folders list y pasa el ID de la carpeta en la marca --folder. También se pueden enumerar las carpetas de nivel superior de un recurso de organización con la marca --organization.

gcloud resource-manager folders list --folder 245321
<table output showing the folders underneath the folder with the specified ID>

gcloud resource-manager folders list --organization 2518
<table output showing folders in this Organization but not in any folder>

Para incluir en la lista las carpetas cuya eliminación se ha solicitado, añade la marca --show-deleted.

gcloud beta resource-manager folders list --folder 245321 --show-deleted
<table output showing all the folders including the delete requested ones underneath the folder with the specified ID>

Puedes enumerar proyectos con el comando gcloud projects list. Para ello, debes indicar el ID del recurso de la carpeta o la organización principal en la marca --filter.

gcloud projects list --filter=" parent.id: '245321' "
<table output showing the projects underneath the resource with the specified ID>

Para obtener más información sobre cómo interactúan los permisos y los filtros con los comandos de lista, consulta Listar todos los recursos de tu jerarquía.

Buscar

Para buscar carpetas que coincidan con la consulta especificada, usa gcloud alpha resource-manager folders search y pasa la condición en la marca --query. El ámbito de la búsqueda son todas las carpetas para las que el usuario tiene permiso de lectura.

gcloud alpha resource-manager folders search --query="name:vij*"
<table output showing the folders with names starting from vij eg. vijeta, vijay-folder>

gcloud alpha resource-manager folders search --query="state:DELETE_REQUESTED"
<table output showing folders for which delete has been requested>

Todas las carpetas para las que el usuario tenga permiso de lectura se pueden mostrar con el comando gcloud folders search.

gcloud folders search
<table output showing all viewable folders>

Actualizar

Las carpetas se pueden actualizar con el comando gcloud resource-manager folders update. Actualmente, solo se puede actualizar el campo display_name de una carpeta.

gcloud resource-manager folders update \
  --display-name="Mega Incredible Folder" 245321
name: folders/245321
parent: organizations/2518
display_name: Mega Incredible Folder
lifecycle_state: ACTIVE
create_time: <timestamp info …>
update_time: <recent timestamp info …>

Eliminar

Las carpetas se pueden eliminar y restaurar desde la línea de comandos. Un usuario debe tener el rol Administrador de carpetas o Editor de carpetas para tener permiso para eliminar una carpeta. Solo puedes eliminar una carpeta si está vacía.

gcloud resource-manager folders delete 245321
name: folders/245321
parent: organizations/2518
display_name: Mega Incredible Folder
lifecycle_state: DELETE_REQUESTED
create_time: <timestamp info …>
update_time: <recent timestamp info …>

gcloud resource-manager folders undelete 245321
name: folders/245321
parent: organizations/2518
display_name: Mega Incredible Folder
lifecycle_state: ACTIVE
create_time: <timestamp info …>
update_time: <recent timestamp info …>

Trasladar proyecto

Los proyectos se pueden crear en carpetas y mover a carpetas mediante los comandos gcloud projects create y gcloud projects move. Las carpetas también se pueden mover con gcloud resource-manager folders move.

gcloud projects create --folder=245321 fancy-folder-project
project_id: fancy-folder-project
project_number: 905283
parent:
  type: "folder"
  id: 245321
other fields …

gcloud projects move --folder=245321 soon-to-be-fancy-project
project_id: soon-to-be-fancy-project
project_number: 428714
parent:
  type: "folder"
  id: 245321
other fields …

Operaciones de larga duración

Algunas operaciones con carpetas, como la creación de carpetas, pueden tardar mucho tiempo. Para que te resulte más fácil realizar varias tareas a la vez, algunos comandos de carpetas te permiten ejecutarlos de forma asíncrona. Estos comandos aceptan una marca --async para habilitar el comportamiento asíncrono, lo que hace que devuelvan una operación de larga duración inmediatamente en lugar de esperar a que se complete. Puedes sondear esta operación tú mismo con el comando gcloud beta resource-manager operations describe. Actualmente, solo los comandos folders create y folders move permiten el uso asíncrono.

gcloud resource-manager folders create \
  --display-name="Awe-Inspiring Async Folder" \
  --organization=2518 \
  --async

name: operations/fc.8572
metadata:
  operation_type: CREATE
  display_name: Awe-Inspiring Async Folder
  destination_parent: organizations/2518
done: false

[wait for some time …]

gcloud beta resource-manager operations describe fc.8572
name: operations/fc.8572
metadata:
  operation_type: CREATE
  display_name: Awe-Inspiring Async Folder
  destination_parent: organizations/2518
done: true
response:
  name: folders/6428
  parent: organizations/2518
  display_name: Awe-Inspiring Async Folder
  lifecycle_state: ACTIVE
  create_time: <recent timestamp info …>
  update_time: <recent timestamp info …>