Como gerenciar vários recursos da organização

O recurso da organização estabelece a propriedade dos projetos e das pastas. abaixo dele, na hierarquia de recursos do Google Cloud Platform. Sua conta do Google Workspace ou do Cloud Identity está associada a exatamente um recurso da organização. cada conta do Google Workspace ou do Cloud Identity também está associado a um domínio principal, como example.com. Para mais detalhes sobre o uso de múltiplos domínios, consulte Adicionar um domínio de alias de usuário ou um endereço secundário domínio. Veja mais detalhes sobre a alteração do domínio principal de uma conta do Google Workspace em Alterar seu domínio principal do Google Workspace.

Na maioria dos casos de uso, é melhor usar pastas sob um recurso da organização. Se você quiser manter suborganizações ou departamentos da sua empresa como entidades isoladas sem administração central, poderá configurar várias contas do Google Workspace ou do Cloud Identity. Cada conta vêm com um único recurso da organização associado a um domínio principal.

Efeitos do uso de vários recursos da organização

Use vários recursos da organização quando você não quiser que os usuários de uma conta do Google Workspace ou do Cloud Identity para acessar recursos criados por usuários de outra conta do Google Workspace ou conta do Cloud Identity. Como separar recursos em várias organizações tem várias consequências:

  • Por padrão, nenhum usuário terá visibilidade central e controle de todos os recursos.

  • Políticas comuns nas suborganizações precisarão ser replicadas em cada recurso da organização.

  • Não é possível mover pastas de um recurso da organização para outro operação Migrar projetos de um recurso da organização para outro pode ser realizada seguindo este guia.

  • Cada recurso da organização requer uma conta do Google Workspace. Operacional vários recursos da organização, portanto, é necessário ter vários Google Workspace e a capacidade de gerenciar identidades entre elas.

Usar um único recurso da organização

A maioria das organizações que desejam manter suborganizações separadas pode fazê-lo usando um único recurso da organização e pastas. Se você tiver um único do Google Workspace, ela é mapeada para o recurso da organização. e suborganizações são mapeadas para pastas.

Escolha um administrador da organização

Escolha um ou mais usuários para atuar como organização do IAM Administrador do recurso da organização.

Console

Para adicionar um administrador da organização:

  1. Faça login no console do Google Cloud como uma conta do Google Workspace ou com o superadministrador do Cloud Identity IAM e Admin:

    Abrir a página IAM e administrador

  2. Selecione o recurso da organização que você quer editar:

    1. Clique na lista suspensa do projeto localizada no topo da página.

    2. Na caixa de diálogo Selecionar de, clique na lista suspensa de organizações e selecione o recurso da organização em que você quer adicionar um administrador.

    3. Na lista que aparece, clique no recurso da organização para abrir o Permissões do IAM.

  3. Clique em Adicionar e digite o endereço de e-mail de um ou mais usuários que você quer definir como administradores da organização.

  4. Na lista suspensa Selecionar um papel , selecione Resource Manager> Administrador da organização e clique em Salvar.

    O administrador da organização pode fazer o seguinte:

    • Assumir o controle total do recurso da organização. É estabelecida uma separação de responsabilidades entre o superadministrador do Google Workspace ou do Cloud Identity e o administrador do Google Cloud.

    • Delegar a responsabilidade sobre papéis críticos com a atribuição dos papéis relevantes do IAM.

Criar pastas para suborganizações

Criar uma pasta no recurso da organização para cada suborganização.

Para criar pastas, você precisa ter o papel Administrador de pasta ou Criador de pastas no nível pai. Por exemplo, para criar pastas no nível da organização, você precisa ter um desses papéis no nível da organização.

Como parte da criação de uma pasta, você precisa atribuir um nome a ela. Os nomes de pasta precisam atender aos seguintes requisitos:

  • O nome pode conter letras, dígitos, espaços, hifens e sublinhados.
  • O nome de exibição da pasta precisa começar e terminar com uma letra ou um dígito.
  • O nome precisa ter entre 3 e 30 caracteres.
  • O nome precisa ser distinto de todas as outras pastas que compartilhem o mesmo pai.

Para criar uma pasta:

Console

As pastas podem ser criadas na IU usando a seção "Gerenciar projetos e pastas".

  1. Acesse a página Gerenciar recursos no console do Google Cloud:

    Abrir a página "Gerenciar recursos"

  2. Verifique se o nome do recurso da organização está selecionado no lista suspensa da organização na parte superior da página.

  3. Clique em Criar pasta e selecione uma das seguintes opções:

    • Pasta padrão: uma pasta padrão. recurso de pasta.
    • Pasta "Em conformidade": uma Pasta Assured Workloads, que oferece controles regulatórios, regionais ou soberanos adicionais para recursos do Google Cloud. Ao selecionar essa opção, você vai Assured Workloads para Crie uma pasta.

  4. Na caixa Nome da pasta, insira o nome da nova pasta.

  5. Em Destino, clique em Procurar e selecione a organização. recurso ou pasta em que você quer criar a nova pasta.

    1. Clique em Criar.

gcloud

As pastas podem ser criadas programaticamente usando a Google Cloud CLI.

Para criar uma pasta no recurso da organização usando o gcloud ferramenta de linha de comando, execute o seguinte comando.

gcloud resource-manager folders create \
   --display-name=[DISPLAY_NAME] \
   --organization=[ORGANIZATION_ID]

Para criar uma pasta cujo pai é outra pasta:

gcloud resource-manager folders create \
   --display-name=[DISPLAY_NAME] \
   --folder=[FOLDER_ID]

Em que:

  • [DISPLAY_NAME] é o nome de exibição da pasta. Pastas com o mesmo pai não podem ter o mesmo nome de exibição. O nome de exibição precisa começar e terminar com uma letra ou um dígito, pode conter letras, dígitos, espaços, hifens e sublinhados e não pode ter mais de 30 caracteres;
  • [ORGANIZATION_ID] é o ID do recurso da organização pai se o pai é um recurso da organização.
  • [FOLDER_ID] é o código da pasta pai, se o pai for uma pasta.

API

É possível criar pastas com uma solicitação de API.

A solicitação JSON:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

A solicitação curl Criar pasta:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Em que:

  • [DISPLAY_NAME] é o nome de exibição da pasta nova. Por exemplo, "Minha pasta maravilhosa";
  • [ORGANIZATION_NAME] é o nome do recurso da organização em que você está criando a pasta, por exemplo, organizations/123.

A resposta Criar pasta:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "CREATE"
  }
}

A solicitação curl Receber operação:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

A resposta Receber operação:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "[DISPLAY_NAME]",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Atribuir papéis de administrador na pasta

Para cada pasta da suborganização que você cria, atribua o papel Administrador de pasta a um ou mais usuários. Esses usuários terão controle administrativo sobre a pasta e a suborganização que ela representa.

Para configurar o acesso às pastas, você precisa ter o papel Administrador de pastas do IAM ou Administrador de pasta no nível pai.

Console

  1. No console do Google Cloud, abra a página Gerenciar recursos.

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização no canto superior esquerdo e selecione o recurso da organização.

  3. Marque a caixa de seleção ao lado do projeto que você quer mudar. permissões.

    1. No Painel de informações ao lado direito, em Permissões, insira os endereços de e-mail dos membros que você quer adicionar.

    2. Na lista suspensa Selecionar papel, escolha o papel que você quer atribuir conceder a esses membros.

    3. Clique em Adicionar. Uma notificação será exibida para confirmar a adição ou atualização. dos membros uma nova função.

gcloud

Você pode configurar o acesso às pastas de forma programática usando as Google Cloud CLI ou a API.

gcloud resource-manager folders \
  add-iam-policy-binding [FOLDER_ID] \
  --member=user:email1@example.com \
  --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
  add-iam-policy-binding [FOLDER_ID] \
  --member=user:email1@example.com \
  --role=roles/resourcemanager.folderViewer

Como alternativa:

gcloud resource-manager folders \
  set-iam-policy [FOLDER_ID] [POLICY_FILE]

Em que:

  • [FOLDER_ID] é o código da nova pasta.
  • [POLICY_FILE] é o caminho para um arquivo de política para a pasta.

API

O método setIamPolicy define a política de controle de acesso em uma pasta. que substitua as políticas atuais. O campo resource deve ser o nome do recurso, por exemplo, folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

A solicitação curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy

Em que:

  • [FOLDER_NAME] é o nome da pasta com a política do IAM que está sendo definida. Por exemplo, folders/123.

Como restringir papéis das suborganizações

Cada Administrador de pasta pode restringir o papel Criador do projeto aos membros da sua suborganização. Ele pode remover o domínio do Criador do projeto na política do IAM do recurso da organização.

Os superadministradores do Google Workspace têm acesso irrevogável da organização Privilégios de administrador. Esses superadministradores normalmente gerenciam as identidades e as políticas de identidade, em vez de gerenciar recursos e políticas de recursos do Google Cloud.

Console

Para remover os papéis atribuídos aos usuários por padrão usando o console do Google Cloud:

  1. Acesse a página Gerenciar recursos no console do Google Cloud:

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização na parte superior da página e selecione recurso da sua organização.

  3. Marque a caixa de seleção do recurso da organização para o qual alterar permissões. Se você não tiver um recurso Pasta, o recurso da organização não ficará visível. Para continuar, veja as instruções para revogar papéis por meio da página do IAM.

  4. No Painel de informações ao lado direito, em Permissões, clique para expandir o papel. do qual você quer remover usuários.

  5. Na lista expandida de papéis, clique em Remover ao lado do membro que você quer remover do papel.Captura de tela da IU

  6. Na caixa de diálogo Remover principal? exibida, clique em Remover para confirmar a remoção do papel da principal especificada.

  7. Repita as duas etapas acima para cada papel que você quer remover.

Exemplo

O diagrama abaixo ilustra uma organização que usou pastas para separar dois departamentos. Os chefes dos departamentos de engenharia e de finanças têm controle administrativo, e outros usuários não podem criar projetos.

Diagrama da hierarquia

Como gerenciar várias organizações em um recurso de organização principal

Caso sua organização tenha várias contas do Google Workspace, você terá vários recursos da organização por padrão. Para manter a visibilidade central e controle, escolha um recurso da organização para ser a principal recurso. Os superadministradores da conta do Google Workspace associada com o recurso principal da organização terão controle administrativo sobre todos recursos, incluindo aqueles criados pelos usuários de outros contas do Google Workspace. Usuários desses Google Workspace terão acesso a uma pasta abaixo do recurso principal da organização, em que eles poderão criar projetos.

Escolha um administrador da organização

Escolha um ou mais usuários para atuar como organização do IAM Administrador do recurso da organização.

Console

Para adicionar um administrador da organização:

  1. Faça login no console do Google Cloud como uma conta do Google Workspace ou com o superadministrador do Cloud Identity IAM e Admin:

    Abrir a página IAM e administrador

  2. Selecione o recurso da organização que você quer editar:

    1. Clique na lista suspensa do projeto localizada no topo da página.

    2. Na caixa de diálogo Selecionar de, clique na lista suspensa de organizações e selecione o recurso da organização em que você quer adicionar um administrador.

    3. Na lista que aparece, clique no recurso da organização para abrir o Permissões do IAM.

  3. Clique em Adicionar e digite o endereço de e-mail de um ou mais usuários que você quer definir como administradores da organização.

  4. Na lista suspensa Selecionar um papel , selecione Resource Manager> Administrador da organização e clique em Salvar.

    O administrador da organização pode fazer o seguinte:

    • Assumir o controle total do recurso da organização. É estabelecida uma separação de responsabilidades entre o superadministrador do Google Workspace ou do Cloud Identity e o administrador do Google Cloud.

    • Delegar a responsabilidade sobre papéis críticos com a atribuição dos papéis relevantes do IAM.

Remover o papel Criador do projeto

Remova o papel Criador de projetos do recurso da organização para garantir para que os recursos não sejam criados nos outros recursos da organização.

Console

Para remover os papéis atribuídos aos usuários por padrão usando o console do Google Cloud:

  1. Acesse a página Gerenciar recursos no console do Google Cloud:

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização na parte superior da página e selecione recurso da sua organização.

  3. Marque a caixa de seleção do recurso da organização para o qual alterar permissões. Se você não tiver um recurso Pasta, o recurso da organização não ficará visível. Para continuar, veja as instruções para revogar papéis por meio da página do IAM.

  4. No Painel de informações ao lado direito, em Permissões, clique para expandir o papel. do qual você quer remover usuários.

  5. Na lista expandida de papéis, clique em Remover ao lado do membro que você quer remover do papel.Captura de tela da IU

  6. Na caixa de diálogo Remover principal? exibida, clique em Remover para confirmar a remoção do papel da principal especificada.

  7. Repita as duas etapas acima para cada papel que você quer remover.

Criar pastas para contas do Google Workspace

Criar uma pasta no recurso da organização para cada Google Workspace do Compute Engine.

Para criar pastas, você precisa ter o papel Administrador de pasta ou Criador de pastas no nível pai. Por exemplo, para criar pastas no nível da organização, você precisa ter um desses papéis no nível da organização.

Como parte da criação de uma pasta, você precisa atribuir um nome a ela. Os nomes de pasta precisam atender aos seguintes requisitos:

  • O nome pode conter letras, dígitos, espaços, hifens e sublinhados.
  • O nome de exibição da pasta precisa começar e terminar com uma letra ou um dígito.
  • O nome precisa ter entre 3 e 30 caracteres.
  • O nome precisa ser distinto de todas as outras pastas que compartilhem o mesmo pai.

Para criar uma pasta:

Console

As pastas podem ser criadas na IU usando a seção "Gerenciar projetos e pastas".

  1. Acesse a página Gerenciar recursos no console do Google Cloud:

    Abrir a página "Gerenciar recursos"

  2. Verifique se o nome do recurso da sua organização está selecionado na lista suspensa de organizações na parte de cima da página.

  3. Clique em Criar pasta e selecione uma das seguintes opções:

    • Pasta padrão: uma pasta padrão. recurso de pasta.
    • Pasta "Em conformidade": uma Pasta Assured Workloads, que oferecem controles regulatórios, regionais ou soberanos adicionais para recursos do Google Cloud. Ao selecionar essa opção, você vai Assured Workloads para Crie uma pasta.

  4. Na caixa Nome da pasta, insira o nome da nova pasta.

  5. Em Destino, clique em Procurar e selecione a organização. recurso ou pasta em que você quer criar a nova pasta.

    1. Clique em Criar.

gcloud

As pastas podem ser criadas programaticamente usando a Google Cloud CLI.

Para criar uma pasta no recurso da organização usando o gcloud ferramenta de linha de comando, execute o seguinte comando.

gcloud resource-manager folders create \
   --display-name=[DISPLAY_NAME] \
   --organization=[ORGANIZATION_ID]

Para criar uma pasta cujo pai é outra pasta:

gcloud resource-manager folders create \
   --display-name=[DISPLAY_NAME] \
   --folder=[FOLDER_ID]

Em que:

  • [DISPLAY_NAME] é o nome de exibição da pasta. Pastas com o mesmo pai não podem ter o mesmo nome de exibição. O nome de exibição precisa começar e terminar com uma letra ou um dígito, pode conter letras, dígitos, espaços, hifens e sublinhados e não pode ter mais de 30 caracteres;
  • [ORGANIZATION_ID] é o ID do recurso da organização pai se o pai é um recurso da organização.
  • [FOLDER_ID] é o código da pasta pai, se o pai for uma pasta.

API

É possível criar pastas com uma solicitação de API.

A solicitação JSON:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

A solicitação curl Criar pasta:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Em que:

  • [DISPLAY_NAME] é o nome de exibição da pasta nova. Por exemplo, "Minha pasta maravilhosa";
  • [ORGANIZATION_NAME] é o nome do recurso da organização em que você está criando a pasta, por exemplo, organizations/123.

A resposta Criar pasta:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "CREATE"
  }
}

A solicitação curl Receber operação:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

A resposta Receber operação:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "[DISPLAY_NAME]",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "[DISPLAY_NAME]",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Atribuir papéis de administrador na pasta

Para cada uma das pastas criadas, atribua o papel Administrador de pasta a um ou mais usuários. Esses usuários receberão o controle administrativo sobre a pasta e a suborganização que ela representa.

Para configurar o acesso às pastas, você precisa ter o papel Administrador de pastas do IAM ou Administrador de pasta no nível pai.

Console

  1. No console do Google Cloud, abra a página Gerenciar recursos.

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização no canto superior esquerdo e, em seguida, selecione o recurso da organização.

  3. Marque a caixa de seleção ao lado do projeto que você quer mudar. permissões.

    1. No Painel de informações ao lado direito, em Permissões, insira os endereços de e-mail dos membros que você quer adicionar.

    2. Na lista suspensa Selecionar papel, escolha o papel que você quer atribuir conceder a esses membros.

    3. Clique em Adicionar. Uma notificação será exibida para confirmar a adição ou atualização. dos membros uma nova função.

gcloud

Você pode configurar o acesso às pastas de forma programática usando as Google Cloud CLI ou a API.

gcloud resource-manager folders \
  add-iam-policy-binding [FOLDER_ID] \
  --member=user:email1@example.com \
  --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
  add-iam-policy-binding [FOLDER_ID] \
  --member=user:email1@example.com \
  --role=roles/resourcemanager.folderViewer

Como alternativa:

gcloud resource-manager folders \
  set-iam-policy [FOLDER_ID] [POLICY_FILE]

Em que:

  • [FOLDER_ID] é o código da nova pasta.
  • [POLICY_FILE] é o caminho para um arquivo de política para a pasta.

API

O método setIamPolicy define a política de controle de acesso em uma pasta. que substitua as políticas atuais. O campo resource deve ser o nome do recurso, por exemplo, folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

A solicitação curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy

Em que:

  • [FOLDER_NAME] é o nome da pasta com a política do IAM que está sendo definida. Por exemplo, folders/123.

Cada Administrador de pasta poderá atribuir o papel Criador do projeto aos usuários do domínio associado.

Exemplo

O diagrama abaixo ilustra uma organização com um domínio principal que é isolado do domínio secundário adquirido. Cada um dos dois domínios tem suas próprias contas do Google Workspace, sendo hypothetical.com recurso principal da organização.

Diagrama da hierarquia