La risorsa dell'organizzazione stabilisce la proprietà dei progetti e delle cartelle al di sotto nella gerarchia delle risorse della piattaforma Google Cloud.
Il tuo account Google Workspace o Cloud Identity è associato esattamente a un account
risorsa dell'organizzazione. Ogni account Google Workspace o Cloud Identity è associato anche a un dominio principale, ad esempio example.com. Per maggiori dettagli
sull'utilizzo di più domini, consulta Aggiungere un dominio di alias utente o un dominio secondario
dominio. Per maggiori dettagli sulla modifica del dominio principale per un account Google Workspace, vedi Cambiare il dominio principale per Google Workspace.
Per la maggior parte dei casi d'uso, è meglio utilizzare le cartelle all'interno di una risorsa dell'organizzazione. Se vuoi mantenere suddivisioni o reparti all'interno della tua azienda come entità isolate senza amministrazione centrale, puoi configurare più account Google Workspace o Cloud Identity. Ogni account sono costituiti da un'unica risorsa dell'organizzazione associata a un dominio principale.
Effetti dell'utilizzo di più risorse dell'organizzazione
Utilizza più risorse organizzazione se non vuoi che gli utenti di un account Google Workspace o Cloud Identity accedano alle risorse create dagli utenti di un altro account Google Workspace o Cloud Identity. Separazione delle risorse in più organizzazioni ha diverse conseguenze:
Per impostazione predefinita, nessun singolo utente avrà visibilità e controllo centralizzati su tutte le risorse.
I criteri comuni a più organizzazioni secondarie dovranno essere replicati su ogni risorsa dell'organizzazione.
Lo spostamento di cartelle da una risorsa dell'organizzazione all'altra non è un'operazione supportata. Puoi spostare i progetti da una risorsa dell'organizzazione a un'altra seguendo la guida qui.
Ogni risorsa dell'organizzazione richiede un account Google Workspace. L'utilizzo di più risorse dell'organizzazione richiede quindi più account Google Workspace e la possibilità di gestire le identità in questi account.
Utilizzo di una singola risorsa dell'organizzazione
La maggior parte delle organizzazioni che desiderano mantenere organizzazioni secondarie separate può farlo utilizzando un'unica risorsa e cartelle dell'organizzazione. Se hai un singolo Google Workspace, questo account è mappato alla risorsa dell'organizzazione e le organizzazioni secondarie mappano alle cartelle.
Scegli un Amministratore organizzazione
Scegli uno o più utenti che agiscano come organizzazione IAM Amministratore della risorsa organizzazione.
Console
Per aggiungere un amministratore dell'organizzazione:
Accedi alla console Google Cloud come Google Workspace oppure il super amministratore di Cloud Identity e vai alla IAM e Pagina Amministrazione:
Seleziona la risorsa dell'organizzazione che vuoi modificare:
Fai clic sull'elenco a discesa del progetto nella parte superiore della pagina.
Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa delle organizzazioni e seleziona la risorsa dell'organizzazione a cui vuoi aggiungere Amministratore organizzazione.
Nell'elenco visualizzato, fai clic sulla risorsa dell'organizzazione per aprire la pagina Autorizzazioni IAM.
Fai clic su Aggiungi e inserisci l'indirizzo email di uno o più utenti che vuoi impostare come amministratori dell'organizzazione.
Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Amministratore dell'organizzazione e poi fai clic su Salva.
L'amministratore dell'organizzazione può effettuare le seguenti operazioni:
Assumi il controllo completo della risorsa dell'organizzazione. È stata stabilita la separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.
Delegare la responsabilità per le funzioni critiche assegnando i ruoli IAM pertinenti.
Creare cartelle per le organizzazioni secondarie
Crea una cartella sotto la risorsa organizzazione per ogni organizzazione secondaria.
Per creare cartelle, devi disporre del ruolo Amministratore delle cartelle o Creatore di cartelle a livello di cartella principale. Ad esempio, per creare cartelle a livello di organizzazione, devi disporre di uno di questi ruoli a livello di organizzazione.
Durante la creazione di una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:
- Il nome può contenere lettere, cifre, spazi, trattini e trattini bassi.
- Il nome visualizzato della cartella deve iniziare e terminare con una lettera o una cifra.
- Il nome deve essere compreso tra 3 e 30 caratteri.
- Il nome deve essere diverso da quello di tutte le altre cartelle che condividono la cartella principale.
Per creare una cartella:
Console
Le cartelle possono essere create nell'interfaccia utente utilizzando la sezione "Gestisci progetti e cartelle".
Vai alla pagina Gestisci risorse nella console Google Cloud:
Assicurati che il nome della risorsa dell'organizzazione sia selezionato nel organizzazione nella parte superiore della pagina.
Fai clic su Crea cartella e seleziona una delle seguenti opzioni:
- Cartella Standard: un file standard risorsa cartella.
- Cartella conforme: un file cartella Assured Workloads, che fornisce controlli normativi, regionali o di sovranità aggiuntivi per le risorse Google Cloud. Se selezioni questa opzione, Assured Workloads per crea una cartella.
Nella casella Nome cartella, inserisci il nome della nuova cartella.
In Destination (Destinazione), fai clic su Sfoglia, quindi seleziona l'organizzazione. alla risorsa o alla cartella in cui vuoi creare la nuova cartella.
- Fai clic su Crea.
gcloud
Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.
Per creare una cartella nella risorsa organizzazione utilizzando gcloud
a strumento a riga di comando, esegui questo comando.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Per creare una cartella la cui cartella principale è un'altra cartella:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dove:
[DISPLAY_NAME]è il nome visualizzato della cartella. Non esistono due cartelle con lo stesso genitore può condividere un nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o una cifra, può contenere lettere, cifre, spazi e trattini e trattini bassi e non possono superare i 30 caratteri.[ORGANIZATION_ID]è l'ID della risorsa dell'organizzazione padre se la risorsa padre è una risorsa dell'organizzazione.[FOLDER_ID]è l'ID della cartella principale, se quella principale è una cartella.
API
Le cartelle possono essere create con una richiesta API.
Il JSON della richiesta:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La richiesta curl Crea cartella:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dove:
[DISPLAY_NAME]è il nome visualizzato della nuova cartella, ad esempio "La mia fantastica cartella".[ORGANIZATION_NAME]è il nome della risorsa dell'organizzazione in cui stai creando la cartella, ad esempioorganizations/123.
La risposta Crea cartella:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
La richiesta curl Get Operation:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La risposta per ottenere l'operazione:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Concedi ruoli di amministratore della cartella
Per ogni cartella di un'organizzazione secondaria che crei, concedi a uno o più utenti Amministratore cartelle. Questi utenti avranno il controllo amministrativo sulla cartella e sulla suddivisione dell'organizzazione che rappresenta.
Per configurare l'accesso alle cartelle, devi avere l'amministratore IAM della cartella o Amministratore cartelle a livello principale.
Console
Nella console Google Cloud, apri la pagina Gestisci risorse.
Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e poi seleziona la risorsa dell'organizzazione.
Seleziona la casella di controllo accanto al progetto da modificare. autorizzazioni aggiuntive.
Nel riquadro informazioni a destra, in Autorizzazioni, inserisci il gli indirizzi email dei membri che vuoi aggiungere.
Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo da concedere ai membri.
Fai clic su Aggiungi. Viene visualizzata una notifica per confermare l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.
gcloud
Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
In alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dove:
[FOLDER_ID]è l'ID della nuova cartella.[POLICY_FILE]è il percorso di un file di criteri per la cartella.
API
Il metodo setIamPolicy imposta il criterio di controllo dell'accesso su una cartella
sostituendo eventuali criteri esistenti. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La richiesta curl:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dove:
[FOLDER_NAME]è il nome della cartella di cui viene impostato il criterio IAM, ad esempio cartelle/123.
Limitazione dei ruoli delle organizzazioni secondarie
Ogni Amministratore cartelle può limitare il ruolo Creatore progetto ai membri della sua suddivisione dell'organizzazione. Può rimuovere il dominio anche dal ruolo Creator del progetto nel criterio IAM della risorsa dell'organizzazione.
I super amministratori di Google Workspace hanno un'organizzazione irrevocabile Privilegi amministrativi. In genere, questi super amministratori gestiscono le identità e i criteri di identità, anziché le risorse e i criteri delle risorse di Google Cloud.
Console
Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud:
Vai alla pagina Gestisci risorse nella console Google Cloud:
Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina e seleziona risorsa della tua organizzazione.
Seleziona la casella di controllo per la risorsa dell'organizzazione per cui vuoi modificare le autorizzazioni. Se non disponi di una risorsa Cartella, risorsa dell'organizzazione non sarà visibile. Per continuare, consulta istruzioni per revocare i ruoli tramite IAM .
Nel riquadro Informazioni a destra, fai clic su Autorizzazioni per espandere il ruolo da cui vuoi rimuovere gli utenti.
Nell'elenco dei ruoli espanso, accanto all'entità da cui vuoi rimuovere ruolo, fai clic su Rimuovi.
Nella finestra di dialogo Vuoi rimuovere l'entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.
Ripeti i due passaggi precedenti per ogni ruolo che vuoi rimuovere.
Esempio
Il diagramma seguente mostra un'organizzazione che ha utilizzato le cartelle per separare due reparti. I responsabili dei reparti di ingegneria e finanza hanno il controllo amministrativo e agli altri utenti è impedita la creazione di progetti.
Gestione di più organizzazioni all'interno di una risorsa organizzazione principale
Se la tua organizzazione ha più account Google Workspace, per impostazione predefinita avrai più risorse dell'organizzazione. Per mantenere la visibilità e il controllo centralizzati, devi scegliere una risorsa dell'organizzazione come risorsa principale dell'organizzazione. I super amministratori dell'account Google Workspace associato alla risorsa dell'organizzazione principale avranno il controllo amministrativo su tutte le risorse, incluse quelle create dagli utenti degli altri account Google Workspace. Gli utenti di Google Workspace agli account verrà concesso l'accesso a una cartella nella risorsa principale dell'organizzazione, in cui potranno creare progetti.
Scegli un Amministratore organizzazione
Scegli uno o più utenti che agiscano come organizzazione IAM Amministratore della risorsa organizzazione.
Console
Per aggiungere un amministratore dell'organizzazione:
Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:
Seleziona la risorsa dell'organizzazione che vuoi modificare:
Fai clic sull'elenco a discesa del progetto nella parte superiore della pagina.
Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa delle organizzazioni e seleziona la risorsa dell'organizzazione a cui vuoi aggiungere Amministratore organizzazione.
Nell'elenco visualizzato, fai clic sulla risorsa dell'organizzazione per aprire la pagina Autorizzazioni IAM.
Fai clic su Aggiungi e inserisci l'indirizzo email di uno o più utenti che vuoi impostare come amministratori dell'organizzazione.
Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Amministratore dell'organizzazione e poi fai clic su Salva.
L'amministratore dell'organizzazione può effettuare le seguenti operazioni:
Assumi il controllo completo della risorsa dell'organizzazione. È stata stabilita la separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.
Delegare la responsabilità per le funzioni critiche assegnando i ruoli IAM pertinenti.
Rimuovi il ruolo Creatore progetto
Rimuovi il ruolo Autore progetto dalla risorsa dell'organizzazione per assicurarti che che le risorse non vengano create nelle altre risorse dell'organizzazione.
Console
Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud:
Vai alla pagina Gestisci risorse nella console Google Cloud:
Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina e seleziona la risorsa dell'organizzazione.
Seleziona la casella di controllo per la risorsa dell'organizzazione per cui vuoi modificare le autorizzazioni. Se non disponi di una risorsa Cartella, risorsa dell'organizzazione non sarà visibile. Per continuare, consulta istruzioni per revocare i ruoli tramite IAM .
Nel riquadro informazioni a destra, in Autorizzazioni, fai clic per espandere il ruolo da cui vuoi rimuovere gli utenti.
Nell'elenco dei ruoli espanso, fai clic su Rimuovi accanto al principale che vuoi rimuovere dal ruolo.
Nella finestra di dialogo Rimuovi entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.
Ripeti i due passaggi precedenti per ciascun ruolo che vuoi rimuovere.
Crea cartelle per gli account Google Workspace
Crea una cartella sotto la risorsa organizzazione per ogni Google Workspace .
Per creare cartelle, devi disporre del ruolo Amministratore cartelle o Creatore cartelle a livello principale. Ad esempio, per creare cartelle a livello di organizzazione, devi disporre di uno di questi ruoli a livello di organizzazione.
Durante la creazione di una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:
- Il nome può contenere lettere, cifre, spazi, trattini e trattini bassi.
- Il nome visualizzato della cartella deve iniziare e terminare con una lettera o una cifra.
- Il nome deve essere compreso tra 3 e 30 caratteri.
- Il nome deve essere diverso da quello di tutte le altre cartelle che condividono la cartella principale.
Per creare una cartella:
Console
Le cartelle possono essere create nell'interfaccia utente utilizzando la sezione "Gestisci progetti e cartelle".
Vai alla pagina Gestisci risorse nella console Google Cloud:
Assicurati che il nome della risorsa dell'organizzazione sia selezionato nel organizzazione nella parte superiore della pagina.
Fai clic su Crea cartella e seleziona una delle seguenti opzioni:
- Cartella standard: una risorsa cartella standard.
- Cartella conforme: un file cartella Assured Workloads, che fornisce controlli normativi, regionali o di sovranità aggiuntivi per le risorse Google Cloud. Se selezioni questa opzione, Assured Workloads per crea una cartella.
Nella casella Nome cartella, inserisci il nome della nuova cartella.
In Destination (Destinazione), fai clic su Sfoglia, quindi seleziona l'organizzazione. alla risorsa o alla cartella in cui vuoi creare la nuova cartella.
- Fai clic su Crea.
gcloud
Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.
Per creare una cartella nella risorsa organizzazione utilizzando gcloud
a strumento a riga di comando, esegui questo comando.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Per creare una cartella la cui cartella principale è un'altra cartella:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dove:
[DISPLAY_NAME]è il nome visualizzato della cartella. Non esistono due cartelle con lo stesso genitore può condividere un nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o una cifra, può contenere lettere, cifre, spazi e trattini e trattini bassi e non possono superare i 30 caratteri.[ORGANIZATION_ID]è l'ID della risorsa dell'organizzazione padre se la risorsa padre è una risorsa dell'organizzazione.[FOLDER_ID]è l'ID della cartella principale, se quella principale è una cartella.
API
Le cartelle possono essere create con una richiesta API.
Il JSON della richiesta:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La richiesta curl Crea cartella:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dove:
[DISPLAY_NAME]è il nome visualizzato della nuova cartella, ad esempio "La mia fantastica cartella".[ORGANIZATION_NAME]è il nome della risorsa dell'organizzazione in cui stai creando la cartella, ad esempioorganizations/123.
La risposta Crea cartella:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
La richiesta curl Get Operation:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La risposta per ottenere l'operazione:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Concedi ruoli di amministratore della cartella
Per ciascuna delle cartelle create, concedi a uno o più utenti il ruolo Amministratore cartelle. A questi utenti verrà delegato il controllo amministrativo sulla cartella dell'organizzazione secondaria che rappresenta.
Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM delle cartelle o Amministratore delle cartelle a livello di cartella principale.
Console
Nella console Google Cloud, apri la pagina Gestisci risorse.
Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e poi seleziona la risorsa dell'organizzazione.
Seleziona la casella di controllo accanto al progetto da modificare. autorizzazioni aggiuntive.
Nel riquadro informazioni a destra, in Autorizzazioni, inserisci il gli indirizzi email dei membri che vuoi aggiungere.
Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo da concedere ai membri.
Fai clic su Aggiungi. Viene visualizzata una notifica per confermare l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.
gcloud
Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
In alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dove:
[FOLDER_ID]è l'ID della nuova cartella.[POLICY_FILE]è il percorso di un file di criteri per la cartella.
API
Il metodo setIamPolicy imposta il criterio di controllo dell'accesso su una cartella
sostituendo eventuali criteri esistenti. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La richiesta curl:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dove:
[FOLDER_NAME]è il nome della cartella di cui viene impostato il criterio IAM, ad esempio cartelle/123.
Ogni Amministratore cartelle può quindi assegnare agli utenti del dominio associato il ruolo Autore progetto.
Esempio
Il diagramma seguente illustra un'organizzazione con un dominio principale tenuto isolato da un dominio secondario acquisito. Ciascuno dei due domini ha i propri account Google Workspace, con hypothetical.com come risorsa principale dell'organizzazione.
