Die Organisationsressource legt die Eigentumsrechte für die darunter liegenden Projekte und Ordner in der Google Cloud-Ressourcenhierarchie fest.
Ihr Google Workspace- oder Cloud Identity-Konto ist genau einem Konto zugeordnet
Organisationsressource. Jedes Google Workspace- oder Cloud Identity-Konto ist auch mit einer primären Domain verknüpft, z. B. example.com. Weitere Informationen
Weitere Informationen zur Verwendung mehrerer Domains finden Sie unter Nutzer-Alias-Domain oder sekundäre Domain hinzufügen
Domain. Weitere Informationen zum Ändern der primären Domain für ein Google Workspace-Konto finden Sie im Hilfeartikel Primäre Domain für Google Workspace ändern.
Für die meisten Anwendungsfälle empfiehlt es sich, Ordner unter einer Organisationsressource zu verwenden. Wenn Sie Unterorganisationen oder Abteilungen in Ihrem Unternehmen als isolierte Entitäten ohne zentrale Verwaltung verwalten möchten, können Sie mehrere Google Workspace- oder Cloud Identity-Konten einrichten. Zu jedem Konto gehört eine einzelne Organisationsressource, die mit einer primären Domain verknüpft ist.
Auswirkungen der Verwendung mehrerer Organisationsressourcen
Verwenden Sie mehrere Organisationsressourcen, wenn Sie nicht möchten, dass Nutzer eines Google Workspace- oder Cloud Identity-Kontos auf Ressourcen zugreifen, die von Nutzern eines anderen Google Workspace- oder Cloud Identity-Kontos erstellt wurden. Das getrennte Verteilen von Ressourcen auf mehrere Organisationsressourcen hat verschiedene Konsequenzen:
Standardmäßig kann kein einzelner Nutzer zentral alle Ressourcen aufrufen und verwalten.
Richtlinien, die für Unterorganisationen gelten, müssen auf jeder Organisationsressource neu eingerichtet werden.
Das Verschieben von Ordnern von einer Organisationsressource in eine andere wird nicht unterstützt . Das Verschieben von Projekten von einer Organisationsressource zu einer anderen kann mithilfe dieser Anleitung durchgeführt werden.
Für jede Organisationsressource ist ein Google Workspace-Konto erforderlich. Betrieb Mehrere Organisationsressourcen erfordern daher mehrere Google Workspace- Konten und die Möglichkeit, Identitäten übergreifend zu verwalten.
Einzelne Organisationsressource verwenden
Die meisten Organisationen, die separate Unterorganisationen verwalten möchten, verwenden dazu eine einzelne Organisationsressource sowie Ordner. Wenn Sie eine einzelne Google Workspace-Konto verknüpft ist, wird dieses Konto der Organisationsressource zugeordnet und werden Unterorganisationen Ordnern zugeordnet.
Organisationsadministrator auswählen
Wählen Sie einen oder mehrere Nutzer aus, die als IAM-Organisation fungieren sollen Administrator für die Organisationsressource.
Console
So fügen Sie einen Organisationsadministrator hinzu:
Melden Sie sich in der Google Cloud Console als Super Admin für Google Workspace oder Cloud Identity an und rufen Sie die Seite IAM & Verwaltung auf:
Wählen Sie die Organisationsressource aus, die Sie bearbeiten möchten:
Klicken Sie oben auf der Seite auf die Projekt-Drop-down-Liste.
Klicken Sie im Dialogfeld Auswählen aus auf die Drop-down-Liste „Organisation“ und wählen Sie die Organisationsressource aus, der Sie eine Organisationsadministrator.
Klicken Sie in der angezeigten Liste auf die Organisationsressource, um deren Seite IAM-Berechtigungen.
Klicken Sie auf Hinzufügen und geben Sie die E-Mail-Adresse eines oder mehrerer Nutzer ein, die Sie als Organisationsadministratoren festlegen möchten.
Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Ressourcenmanager > Organisationsadministrator aus und klicken Sie dann auf Speichern.
Der Administrator der Organisation kann Folgendes tun:
Die vollständige Kontrolle über die Organisationsressource übernehmen. Die Aufgaben sind zwischen dem Super Admin für Google Workspace oder Cloud Identity und dem Google Cloud-Administrator getrennt.
Delegieren Sie Verantwortung für wichtige Funktionen, indem Sie die entsprechenden IAM-Rollen zuweisen.
Ordner für Unterorganisationen erstellen
Erstellen Sie für jede Unterorganisation einen Ordner unter der Organisationsressource.
Um Ordner zu erstellen, benötigen Sie auf der übergeordneten Ebene die Rolle Ordneradministrator oder Ordnerersteller. Wenn Sie beispielsweise auf der Organisationsebene Ordner erstellen möchten, müssen Sie eine dieser Rollen auf dieser Ebene haben.
Einem neu erstellten Ordner muss ein Name zugewiesen werden. Für Ordnernamen gelten die folgenden Kriterien:
- Der Name kann Buchstaben, Zahlen, Leerzeichen, Bindestriche und Unterstriche enthalten.
- Der Anzeigename des Ordners muss mit einem Buchstaben oder einer Zahl beginnen und enden.
- Der Name muss zwischen 3 und 30 Zeichen lang sein.
- Der Name muss innerhalb einer Hierarchieebene eindeutig sein.
So erstellen Sie einen Ordner:
Console
Sie können Ordner auf der Nutzeroberfläche unter "Projekte und Ordner verwalten" erstellen.
Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten:
Prüfen Sie, ob der Name Ihrer Organisationsressource in der Drop-down-Liste der Organisation oben auf der Seite ausgewählt ist.
Klicken Sie auf Ordner erstellen und wählen Sie eine der folgenden Optionen aus:
- Standardordner: ein Standardordner Ordnerressource.
- Compliant Folder: Ein Assured Workloads-Ordner, der zusätzliche rechtliche, regionale oder souveräne Kontrollen für Google Cloud-Ressourcen bietet. Wenn Sie diese Option auswählen, gelangen Sie zu Assured Workloads, um einen Ordner zu erstellen.
Geben Sie im Feld Ordnername den Namen Ihres neuen Ordners ein.
Klicken Sie unter Ziel auf Durchsuchen und wählen Sie die Organisation aus. Ressource oder Ordner, unter der Sie den neuen Ordner erstellen möchten.
- Klicken Sie auf Erstellen.
gcloud
Ordner können programmatisch erstellt werden mithilfe der Google Cloud CLI
So erstellen Sie mit gcloud einen Ordner unter der Organisationsressource
Befehlszeilentool, führen Sie den folgenden Befehl aus.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Mit dem folgenden Befehl erstellen Sie einen Ordner unter einem anderen Ordner:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dabei gilt:
[DISPLAY_NAME]ist der Anzeigename des Ordners. Zwei Ordner mit demselben übergeordneten Element können nicht denselben Anzeigenamen haben. Der Anzeigename muss mit einem Buchstaben oder einer Ziffer beginnen und enden. Er kann Buchstaben, Ziffern, Leerzeichen, Binde- und Unterstriche enthalten und darf nicht mehr als 30 Zeichen umfassen.[ORGANIZATION_ID]ist die ID der übergeordneten Organisationsressource, wenn die ist eine Organisationsressource.[FOLDER_ID]ist die ID des übergeordneten Ordners, wenn das übergeordnete Element ein Ordner ist.
API
Ordner können mit einer API-Anfrage erstellt werden.
Die JSON-Anfrage:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
Die curl-Anfrage für die Ordnererstellung:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dabei gilt:
[DISPLAY_NAME]ist der Anzeigename des neuen Ordners, z. B. "Mein Ordner".[ORGANIZATION_NAME]ist der Name der Organisationsressource, unter der Sie erstellen den Ordner, z. B.organizations/123.
Die Antwort auf die Ordnererstellung:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
Die curl-Anfrage zum Abrufen des Vorgangs:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
Die Antwort auf das Abrufen des Vorgangs:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Administratorrollen für Ordner erteilen
Teilen Sie für jeden Unterorganisationsordner, den Sie erstellen, einem oder mehreren Nutzern die Rolle des Ordner-Administrators zu. Diese Nutzer haben administrative Kontrolle über den Ordner und die Unterorganisation, die er repräsentiert.
Um den Zugriff auf Ordner zu konfigurieren, benötigen Sie auf der übergeordneten Ebene die Rolle IAM-Ordneradministrator oder Ordneradministrator.
Console
Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten.
Klicken Sie links oben auf die Drop-down-Liste Organisation und wählen Sie Ihre Organisationsressource aus.
Klicken Sie auf das Kästchen neben dem Projekt, für das Sie Berechtigungen ändern möchten.
Geben Sie auf der rechten Seite im Bereich Infofeld unter Berechtigungen die E-Mail-Adressen der Mitglieder ein, die Sie hinzufügen möchten.
Wählen Sie aus der Drop-down-Liste Rolle auswählen die Rolle aus, die Sie diesen Mitgliedern zuweisen möchten.
Klicken Sie auf Hinzufügen. Eine Benachrichtigung wird angezeigt, um das Hinzufügen oder Aktualisieren zu bestätigen. der Mitglieder Rolle spielen.
gcloud
Sie können den Zugriff auf Ordner programmatisch konfigurieren. Verwenden Sie dazu die Google Cloud CLI oder API
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
Alternativ:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dabei gilt:
[FOLDER_ID]ist die ID des neuen Ordners.[POLICY_FILE]ist der Pfad zu einer Richtliniendatei für den Ordner.
API
Mit der Methode setIamPolicy legen Sie die Richtlinie für die Zugriffssteuerung eines Ordners fest und ersetzen dabei gegebenenfalls vorhandene Richtlinien. Im Feld resource muss der Wert für den Ordner
Ressourcenname, z. B. folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
Die curl-Anfrage:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dabei gilt:
[FOLDER_NAME]ist der Name des Ordners, für den eine IAM-Richtlinie festgelegt wird, z. B. "folders/123".
Unterorganisationsrollen einschränken
Jeder Ordneradministrator kann die Rolle des Projekterstellers auf Mitglieder seiner Unterorganisation beschränken. Er kann die Domain vom Projektersteller entfernen. Rolle auch in der IAM-Richtlinie der Organisationsressource.
Google Workspace-Super Admins haben eine unwiderrufliche Organisation Administratorberechtigungen. Diese Super Admins verwalten normalerweise die Identitäten und Identitätsrichtlinien anstelle von Google Cloud-Ressourcen und Ressourcenrichtlinien.
Console
So entfernen Sie Rollen, die Nutzern standardmäßig zugewiesen wurden, in der Google Cloud Console:
Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten:
Klicken Sie oben auf der Seite auf die Drop-down-Liste Organisation und wählen Sie Ihre Organisationsressource aus.
Klicken Sie auf das Kästchen der Organisationsressource, für die Sie Berechtigungen ändern möchten. Wenn Sie keine Ordnerressource haben, Organisationsressource nicht sichtbar sind. Weitere Informationen finden sich in der Anleitung zum Widerrufen von Rollen auf der Seite IAM.
Klicken Sie auf der rechten Seite im Infofeld unter Berechtigungen auf die Rolle, um sie zu maximieren. aus der Sie Nutzer entfernen möchten.
Klicken Sie in der maximierten Rollenliste neben dem Hauptkonto, das Sie aus der Rolle entfernen möchten, auf „Entfernen“.
Klicken Sie im nun eingeblendeten Dialog Hauptkonto entfernen? auf Entfernen, um zu bestätigen, dass die Rolle aus dem angegebenen Hauptkonto entfernt werden soll.
Wiederholen Sie die obigen zwei Schritte für jede Rolle, die Sie entfernen möchten.
Beispiel
Das folgende Diagramm veranschaulicht eine Organisation, die Ordner verwendet hat, um zwei Abteilungen zu trennen. Die Leiter der Abteilungen Technik und Finanzen haben administrative Kontrolle und andere Nutzer können keine Projekte erstellen.
Mehrere Organisationen unter einer primären Organisationsressource verwalten
Wenn Ihre Organisation mehrere Google Workspace-Konten hat, haben Sie standardmäßig mehrere Organisationsressourcen. Um die zentrale Sichtbarkeit und sollten Sie eine Organisationsressource als primäre Organisation auswählen. . Die Super Admins des Google Workspace-Kontos, das mit mit Ihrer primären Organisationsressource administrative Kontrolle über alle einschließlich der Ressourcen, die von Nutzern der anderen Google Workspace-Konten. Nutzern aus diesen Google Workspace-Konten wird der Zugriff auf einen Ordner unter der primären Organisationsressource gewährt, in dem sie Projekte erstellen können.
Organisationsadministrator auswählen
Wählen Sie einen oder mehrere Nutzer aus, die als IAM-Organisation fungieren sollen Administrator für die Organisationsressource.
Console
So fügen Sie einen Organisationsadministrator hinzu:
Melden Sie sich in der Google Cloud Console als Google Workspace- oder Cloud Identity Super Admin und rufen Sie die IAM und Seite „Verwaltung“:
Wählen Sie die Organisationsressource aus, die Sie bearbeiten möchten:
Klicken Sie oben auf der Seite auf die Projekt-Drop-down-Liste.
Klicken Sie im Dialogfeld Auswählen aus auf die Drop-down-Liste „Organisation“ und wählen Sie die Organisationsressource aus, der Sie eine Organisationsadministrator.
Klicken Sie in der angezeigten Liste auf die Organisationsressource, um deren Seite IAM-Berechtigungen.
Klicken Sie auf Hinzufügen und geben Sie die E-Mail-Adresse eines oder mehrerer Nutzer ein, die Sie als Organisationsadministratoren festlegen möchten.
Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Ressourcenmanager > Organisationsadministrator aus und klicken Sie dann auf Speichern.
Der Administrator der Organisation kann Folgendes tun:
Die vollständige Kontrolle über die Organisationsressource übernehmen. Die Aufgaben sind zwischen dem Super Admin für Google Workspace oder Cloud Identity und dem Google Cloud-Administrator getrennt.
Delegieren Sie Verantwortung für wichtige Funktionen, indem Sie die entsprechenden IAM-Rollen zuweisen.
Rolle des Projekterstellers entfernen
Entfernen Sie die Rolle Projektersteller aus der Organisationsressource, um sicherzustellen, dass Ressourcen nicht in den anderen Ressourcen der Organisation erstellt werden.
Console
So entfernen Sie Rollen, die Nutzern standardmäßig zugewiesen wurden, in der Google Cloud Console:
Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten:
Klicken Sie oben auf der Seite auf die Drop-down-Liste Organisation und wählen Sie Ihrer Organisationsressource.
Klicken Sie auf das Kästchen der Organisationsressource, für die Sie Berechtigungen ändern möchten. Wenn Sie keine Ordnerressource haben, Organisationsressource nicht sichtbar sind. Weitere Informationen finden sich in der Anleitung zum Widerrufen von Rollen auf der Seite IAM.
Klicken Sie auf der rechten Seite im Infofeld unter Berechtigungen, um die Rolle zu maximieren, aus der Sie Nutzer entfernen möchten.
Klicken Sie in der maximierten Rollenliste neben dem Hauptkonto, das Sie aus der Rolle entfernen möchten, auf „Entfernen“.
Klicken Sie im nun eingeblendeten Dialog Hauptkonto entfernen? auf Entfernen, um zu bestätigen, dass die Rolle aus dem angegebenen Hauptkonto entfernt werden soll.
Wiederholen Sie die obigen zwei Schritte für jede Rolle, die Sie entfernen möchten.
Ordner für Google Workspace-Konten erstellen
Für jeden Google Workspace einen Ordner unter der Organisationsressource erstellen Konto.
Um Ordner zu erstellen, benötigen Sie auf der übergeordneten Ebene die Rolle Ordneradministrator oder Ordnerersteller. Um beispielsweise Ordner auf Organisationsebene zu erstellen, müssen Sie eine dieser Rollen auf Organisationsebene haben.
Einem neu erstellten Ordner muss ein Name zugewiesen werden. Für Ordnernamen gelten die folgenden Kriterien:
- Der Name kann Buchstaben, Zahlen, Leerzeichen, Bindestriche und Unterstriche enthalten.
- Der Anzeigename des Ordners muss mit einem Buchstaben oder einer Zahl beginnen und enden.
- Der Name muss zwischen 3 und 30 Zeichen lang sein.
- Der Name muss innerhalb einer Hierarchieebene eindeutig sein.
So erstellen Sie einen Ordner:
Console
Sie können Ordner auf der Nutzeroberfläche unter "Projekte und Ordner verwalten" erstellen.
Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten:
Achten Sie darauf, dass der Name Ihrer Organisationsressource im aus der Drop-down-Liste aus.
Klicken Sie auf Ordner erstellen und wählen Sie eine der folgenden Optionen aus:
- Standardordner: ein Standardordner Ordnerressource.
- Compliant Folder: Ein Assured Workloads-Ordner, der zusätzliche rechtliche, regionale oder souveräne Kontrollen für Google Cloud-Ressourcen bietet. Wenn Sie diese Option auswählen, Assured Workloads für Erstellen Sie einen Ordner.
Geben Sie im Feld Ordnername den Namen Ihres neuen Ordners ein.
Klicken Sie unter Ziel auf Durchsuchen und wählen Sie die Organisation aus. Ressource oder Ordner, unter der Sie den neuen Ordner erstellen möchten.
- Klicken Sie auf Erstellen.
gcloud
Ordner können programmatisch erstellt werden mithilfe der Google Cloud CLI
So erstellen Sie mit gcloud einen Ordner unter der Organisationsressource
Befehlszeilentool, führen Sie den folgenden Befehl aus.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Mit dem folgenden Befehl erstellen Sie einen Ordner unter einem anderen Ordner:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dabei gilt:
[DISPLAY_NAME]ist der Anzeigename des Ordners. Zwei Ordner mit demselben übergeordneten Element können nicht denselben Anzeigenamen haben. Der Anzeigename muss mit einem Buchstaben oder einer Ziffer beginnen und enden. Er kann Buchstaben, Ziffern, Leerzeichen, Binde- und Unterstriche enthalten und darf nicht mehr als 30 Zeichen umfassen.[ORGANIZATION_ID]ist die ID der übergeordneten Organisationsressource, wenn die ist eine Organisationsressource.[FOLDER_ID]ist die ID des übergeordneten Ordners, wenn das übergeordnete Element ein Ordner ist.
API
Ordner können mit einer API-Anfrage erstellt werden.
Die JSON-Anfrage:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
Die curl-Anfrage für die Ordnererstellung:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dabei gilt:
[DISPLAY_NAME]ist der Anzeigename des neuen Ordners, z. B. "Mein Ordner".[ORGANIZATION_NAME]ist der Name der Organisationsressource, unter der Sie erstellen den Ordner, z. B.organizations/123.
Die Antwort auf die Ordnererstellung:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
Die curl-Anfrage zum Abrufen des Vorgangs:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
Die Antwort auf das Abrufen des Vorgangs:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Administratorrollen für Ordner erteilen
Teilen Sie für jeden erstellten Ordner einem oder mehreren Nutzern die Rolle Ordneradministrator zu. Diese Nutzer erhalten die administrative Kontrolle über den Ordner und die Unterorganisation, die er repräsentiert.
Um den Zugriff auf Ordner zu konfigurieren, benötigen Sie auf der übergeordneten Ebene die Rolle IAM-Ordneradministrator oder Ordneradministrator.
Console
Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten.
Klicken Sie links oben auf die Drop-down-Liste Organisation und wählen Sie Ihre Organisationsressource aus.
Klicken Sie auf das Kästchen neben dem Projekt, für das Sie Berechtigungen ändern möchten.
Geben Sie auf der rechten Seite im Bereich Infofeld unter Berechtigungen die E-Mail-Adressen der Mitglieder ein, die Sie hinzufügen möchten.
Wählen Sie aus der Drop-down-Liste Rolle auswählen die Rolle aus, die Sie diesen Mitgliedern zuweisen möchten.
Klicken Sie auf Hinzufügen. Eine Benachrichtigung wird angezeigt, um das Hinzufügen oder Aktualisieren zu bestätigen. der Mitglieder Rolle spielen.
gcloud
Sie können den Zugriff auf Ordner programmatisch konfigurieren. Verwenden Sie dazu die Google Cloud CLI oder API
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
Alternativ:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dabei gilt:
[FOLDER_ID]ist die ID des neuen Ordners.[POLICY_FILE]ist der Pfad zu einer Richtliniendatei für den Ordner.
API
Mit der Methode setIamPolicy legen Sie die Richtlinie für die Zugriffssteuerung eines Ordners fest und ersetzen dabei gegebenenfalls vorhandene Richtlinien. Im Feld resource muss der Wert für den Ordner
Ressourcenname, z. B. folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
Die curl-Anfrage:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dabei gilt:
[FOLDER_NAME]ist der Name des Ordners, für den eine IAM-Richtlinie festgelegt wird, z. B. "folders/123".
Jeder Ordneradministrator kann Nutzern aus der verknüpften Domain die Rolle Projektersteller zuweisen.
Beispiel
Das folgende Diagramm veranschaulicht eine Organisation mit einer primären Domain, die von einer erworbenen sekundären Domain isoliert gehalten wird. Jede der beiden Domains hat ein eigenes Google Workspace-Konto, wobei hypothetical.com die primäre Organisationsressource ist.
