Il nodo radice per la gestione delle risorse in Google Cloud è l'organizzazione. L'organizzazione Google Cloud fornisce una gerarchia di risorse che fornisce una struttura di proprietà per le risorse e i punti di collegamento per i criteri dell'organizzazione e i controlli dell'accesso. La gerarchia delle risorse è composta da cartelle, progetti e risorse e definisce la struttura e l'utilizzo dei servizi Google Cloud all'interno di un'organizzazione.
Le risorse più in basso nella gerarchia ereditano criteri come i criteri di autorizzazione IAM e i criteri dell'organizzazione. Tutte le autorizzazioni di accesso sono negate per impostazione predefinita, finché non applichi i criteri di autorizzazione direttamente a una risorsa o finché la risorsa non eredita i criteri di autorizzazione da un livello superiore nella gerarchia delle risorse.
Il seguente diagramma mostra le cartelle e i progetti di cui viene eseguito il deployment dal progetto.
Le seguenti sezioni descrivono le cartelle e i progetti nel diagramma.
Cartelle
Il progetto utilizza le cartelle per raggruppare i progetti in base all'ambiente. Questo raggruppamento logico viene utilizzato per applicare configurazioni, come criteri di autorizzazione e criteri dell'organizzazione a livello di cartella, per poi ereditare i criteri da tutte le risorse al suo interno. La tabella seguente descrive le cartelle che fanno parte del progetto.
| Cartella | Descrizione |
|---|---|
bootstrap |
Contiene i progetti utilizzati per il deployment dei componenti di base. |
common |
Contiene progetti con risorse condivise da tutti gli ambienti. |
production |
Contiene progetti con risorse di produzione. |
nonproduction |
Contiene una copia dell'ambiente di produzione per consentirti di testare i carichi di lavoro prima di promuoverli alla produzione. |
development |
Contiene le risorse cloud utilizzate per lo sviluppo. |
networking |
Contiene le risorse di networking condivise da tutti gli ambienti. |
Progetti
Il progetto utilizza i progetti per raggruppare singole risorse in base alle loro funzionalità e ai confini previsti per controllo dell'accesso#39;accesso. Questa tabella descrive i progetti inclusi nel progetto.
| Cartella | Progetto | Descrizione |
|---|---|---|
bootstrap |
prj-b-cicd |
Contiene la pipeline di deployment utilizzata per creare i componenti di base dell'organizzazione. Per ulteriori informazioni, consulta la metodologia di deployment. |
prj-b-seed |
Contiene lo stato Terraform dell'infrastruttura e l'account di servizio Terraform necessario per eseguire la pipeline. Per maggiori informazioni, consulta la metodologia del deployment. | |
common |
prj-c-secrets |
Contiene secret a livello di organizzazione. Per maggiori informazioni, vedi Archiviare le credenziali dell'applicazione con Secret Manager. |
prj-c-logging |
Contiene le origini log aggregate per gli audit log. Per maggiori informazioni, consulta Logging centralizzato per la sicurezza e il controllo. | |
prj-c-scc |
Contiene le risorse per la configurazione degli avvisi di Security Command Center e di altri strumenti di monitoraggio della sicurezza personalizzati. Per ulteriori informazioni, consulta la pagina sul monitoraggio delle minacce con Security Command Center. | |
prj-c-billing-export |
Contiene un set di dati BigQuery con le esportazioni della fatturazione dell'organizzazione. Per ulteriori informazioni, consulta la pagina su come allocare i costi tra i centri di costo interni. | |
prj-c-infra-pipeline |
Contiene una pipeline dell'infrastruttura per il deployment di risorse come VM e database utilizzate dai carichi di lavoro. Per ulteriori informazioni, consulta i livelli della pipeline. | |
prj-c-kms |
Contiene chiavi di crittografia a livello di organizzazione. Per ulteriori informazioni, consulta la pagina sulla gestione delle chiavi di crittografia. | |
networking |
prj-net-{env}-shared-base |
Contiene il progetto host per una rete VPC condiviso per i carichi di lavoro che non richiedono Controlli di servizio VPC. Per ulteriori informazioni, consulta topologia di rete. |
prj-net-{env}-shared-restricted |
Contiene il progetto host per una rete VPC condiviso per i carichi di lavoro che richiedono Controlli di servizio VPC. Per ulteriori informazioni, consulta topologia di rete. | |
prj-net-interconnect |
Contiene le connessioni Cloud Interconnect che forniscono connettività tra il tuo ambiente on-premise e Google Cloud. Per ulteriori informazioni, consulta la pagina sulla connettività ibrida. | |
prj-net-dns-hub |
Contiene le risorse per un punto di comunicazione centrale tra il tuo sistema DNS on-premise e Cloud DNS. Per ulteriori informazioni, vedi Configurazione DNS centralizzato. | |
prj-{env}-secrets |
Contiene secret a livello di cartella. Per maggiori informazioni, vedi Archiviare e controllare le credenziali dell'applicazione con Secret Manager. | |
prj-{env}-kms |
Contiene chiavi di crittografia a livello di cartella. Per ulteriori informazioni, consulta la pagina sulla gestione delle chiavi di crittografia. | |
| progetti di applicazione | Contiene vari progetti in cui crei risorse per le applicazioni. Per ulteriori informazioni, consulta i pattern di deployment del progetto e i livelli della pipeline. |
Governance per la proprietà delle risorse
Ti consigliamo di applicare le etichette in modo coerente ai progetti per facilitare l'allocazione della governance e dei costi. La tabella seguente descrive le etichette di progetto aggiunte a ogni progetto per la governance nel progetto.
| Etichetta | Descrizione |
|---|---|
application |
Il nome leggibile dell'applicazione o del carico di lavoro associato al progetto. |
businesscode |
Un breve codice che descrive quale unità aziendale è proprietaria del progetto. Il codice shared viene utilizzato per progetti comuni
non esplicitamente legati a un'unità aziendale. |
billingcode |
Un codice utilizzato per fornire informazioni sullo storno di addebito. |
primarycontact |
Il nome utente del contatto principale responsabile del progetto. Poiché le etichette del progetto non possono includere caratteri speciali come la e commerciale (@), viene impostata sul nome utente senza il suffisso @example.com. |
secondarycontact |
Il nome utente del contatto secondario responsabile del progetto. Poiché le etichette del progetto non possono includere caratteri speciali come @, imposta solo il nome utente senza il suffisso @example.com. |
environment |
Un valore che identifica il tipo di ambiente, ad esempio
bootstrap, common, production,
non-production,development o network. |
envcode |
Un valore che identifica il tipo di ambiente, abbreviato in
b, c, p, n,
d o net. |
vpc |
L'ID della rete VPC che dovrebbe essere utilizzata da questo progetto. |
Di tanto in tanto, Google potrebbe inviare notifiche importanti, come sospensioni dell'account o aggiornamenti ai termini dei prodotti. Il progetto utilizza i contatti necessari per inviare queste notifiche ai gruppi che configuri durante il deployment. I contatti necessari vengono configurati sul nodo organizzazione ed ereditati da tutti i progetti nell'organizzazione. Ti consigliamo di esaminare questi gruppi e assicurarti che le email siano monitorate in modo affidabile.
I contatti necessari vengono utilizzati per uno scopo diverso rispetto ai campi primarycontact e secondarycontact configurati nelle etichette del progetto. I contatti nelle etichette del progetto sono destinati alla governance interna. Ad esempio, se identifichi risorse non conformi in un progetto di carichi di lavoro e devi contattare i proprietari, puoi utilizzare il campo primarycontact per trovare la persona o il team responsabile del carico di lavoro.
Passaggi successivi
- Scopri di più sul networking (documento successivo di questa serie).