La risorsa organizzazione stabilisce la proprietà dei progetti e delle cartelle al suo interno nella gerarchia delle risorse di Google Cloud.
Il tuo account Google Workspace o Cloud Identity è associato a una sola risorsa dell'organizzazione. Ogni account Google Workspace o Cloud Identity è associato anche a un dominio principale, ad esempio example.com. Per maggiori dettagli sull'utilizzo di più domini, vedi Aggiungere un dominio alias utente o un dominio secondario. Per informazioni dettagliate sulla modifica del dominio principale per un account Google Workspace, vedi Cambiare il dominio principale per Google Workspace.
È preferibile utilizzare le cartelle sotto un'unica risorsa dell'organizzazione per la maggior parte dei casi d'uso. Se vuoi mantenere organizzazioni o reparti secondari all'interno della tua azienda come entità isolate senza amministrazione centrale, puoi configurare più account Google Workspace o Cloud Identity. Ogni account include una singola risorsa dell'organizzazione associata a un dominio principale.
Effetti dell'utilizzo di più risorse dell'organizzazione
Utilizza più risorse dell'organizzazione quando non vuoi che gli utenti di un account Google Workspace o Cloud Identity accedano alle risorse create dagli utenti da un altro account Google Workspace o Cloud Identity. La separazione delle risorse in più risorse dell'organizzazione ha diverse conseguenze:
Per impostazione predefinita, nessun singolo utente avrà visibilità e controllo centrali su tutte le risorse.
I criteri comuni a tutte le organizzazioni secondarie dovranno essere replicati su ciascuna risorsa dell'organizzazione.
Lo spostamento di cartelle da una risorsa dell'organizzazione a un'altra non è un'operazione supportata. Lo spostamento dei progetti da una risorsa dell'organizzazione a un'altra può essere effettuato seguendo la guida qui.
Ogni risorsa dell'organizzazione richiede un account Google Workspace. La gestione di più risorse dell'organizzazione richiede quindi più account Google Workspace e la possibilità di gestire le identità tra di essi.
Utilizzo di una singola risorsa dell'organizzazione
La maggior parte delle organizzazioni che desiderano mantenere organizzazioni secondarie separate può farlo utilizzando una singola risorsa e cartelle dell'organizzazione. Se hai un solo account Google Workspace, questo account viene mappato alla risorsa dell'organizzazione e le organizzazioni secondarie vengono mappate alle cartelle.
Scegli un Amministratore organizzazione
Scegli uno o più utenti che agiscano da amministratore organizzazione IAM per la risorsa organizzazione.
Console
Per aggiungere un Amministratore organizzazione:
Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:
Seleziona la risorsa dell'organizzazione che vuoi modificare:
Fai clic sull'elenco a discesa dei progetti nella parte superiore della pagina.
Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa Organizzazione e seleziona la risorsa dell'organizzazione a cui vuoi aggiungere un Amministratore organizzazione#39;organizzazione.
Nell'elenco visualizzato, fai clic sulla risorsa dell'organizzazione per aprire la pagina Autorizzazioni IAM.
Fai clic su Aggiungi, quindi inserisci l'indirizzo email di uno o più utenti da impostare come amministratori dell'organizzazione.
Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Amministratore organizzazione e fai clic su Salva.
L'amministratore dell'organizzazione può:
Assumi il controllo completo della risorsa dell'organizzazione. Viene stabilita la separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.
Delegare la responsabilità sulle funzioni critiche assegnando i ruoli IAM pertinenti.
Creare cartelle per le organizzazioni secondarie
Creare una cartella sotto la risorsa dell'organizzazione per ogni organizzazione secondaria.
Per creare cartelle, devi disporre del ruolo Amministratore cartelle o Creatore cartella a livello padre. Ad esempio, per creare cartelle a livello di organizzazione, devi avere uno di questi ruoli a livello di organizzazione.
Durante la creazione di una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:
- Il nome può contenere lettere, numeri, spazi, trattini e trattini bassi.
- Il nome visualizzato della cartella deve iniziare e terminare con una lettera o una cifra.
- Il nome deve essere compreso tra 3 e 30 caratteri.
- Il nome deve essere diverso da tutte le altre cartelle che condividono l'elemento padre.
Per creare una cartella:
Console
Puoi creare le cartelle nell'interfaccia utente utilizzando la sezione "Gestisci progetti e cartelle".
Vai alla pagina Gestisci risorse nella console Google Cloud:
Assicurati che il nome della risorsa dell'organizzazione sia selezionato nell'elenco a discesa dell'organizzazione nella parte superiore della pagina.
Fai clic su Crea cartella e seleziona una delle seguenti opzioni:
- Cartella standard: una risorsa cartella standard.
- Cartella Assured Workloads: una cartella Assured Workloads, che fornisce ulteriori controlli normativi, a livello di regione o di sovranità per le risorse Google Cloud. Se selezioni questa opzione, visualizzerai Assured Workloads per creare una cartella.
Nella casella Nome cartella, inserisci il nome della nuova cartella.
In Destinazione, fai clic su Sfoglia, quindi seleziona la risorsa o la cartella dell'organizzazione in cui vuoi creare la nuova cartella.
- Fai clic su Crea.
gcloud
Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.
Per creare una cartella nella risorsa dell'organizzazione utilizzando lo strumento a riga di comando gcloud, esegui questo comando:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Per creare una cartella la cui cartella principale corrisponde a un'altra:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dove:
[DISPLAY_NAME]è il nome visualizzato della cartella. Due cartelle con lo stesso nome principale non possono condividere lo stesso nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o una cifra, può contenere lettere, numeri, spazi, trattini e trattini bassi e non può superare i 30 caratteri.[ORGANIZATION_ID]è l'ID della risorsa dell'organizzazione padre se la risorsa padre è una risorsa dell'organizzazione.[FOLDER_ID]è l'ID della cartella principale, se quella principale è una cartella.
API
Le cartelle possono essere create con una richiesta API.
Il codice JSON della richiesta:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La richiesta curl per la creazione di una cartella:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dove:
[DISPLAY_NAME]è il nome visualizzato della nuova cartella, ad esempio "La mia cartella perfetta".[ORGANIZATION_NAME]è il nome della risorsa dell'organizzazione in cui stai creando la cartella, ad esempioorganizations/123.
La risposta Crea cartella:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
Richiesta curl dell'operazione Get:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La risposta Ottieni operazione:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Concedi ruoli di amministratore della cartella
Per ogni cartella di organizzazioni secondarie create, concedi a uno o più utenti il ruolo Amministratore cartelle. Questi utenti avranno il controllo amministrativo sulla cartella e sull'organizzazione secondaria che rappresenta.
Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM cartella o Amministratore cartelle a livello padre.
Console
Nella console Google Cloud, apri la pagina Gestisci risorse.
Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e seleziona la risorsa Organizzazione.
Seleziona la casella di controllo accanto al progetto per il quale vuoi modificare le autorizzazioni.
Nel riquadro Informazioni a destra, in Autorizzazioni, inserisci gli indirizzi email dei membri che vuoi aggiungere.
Nell'elenco a discesa Seleziona un ruolo, scegli il ruolo che vuoi concedere ai membri.
Fai clic su Aggiungi. Viene visualizzata una notifica che conferma l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.
gcloud
Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
In alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dove:
[FOLDER_ID]è l'ID della nuova cartella.[POLICY_FILE]è il percorso di un file di criteri per la cartella.
API
Il metodo setIamPolicy imposta il criterio di controllo dell'accesso su una cartella, sostituendo qualsiasi criterio esistente. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La richiesta curl:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dove:
[FOLDER_NAME]è il nome della cartella per cui è stato impostato il criterio IAM, ad esempio cartelle/123.
Limitazione dei ruoli delle organizzazioni secondarie
Ogni Amministratore cartelle può limitare il ruolo Creatore progetto ai membri della sua organizzazione secondaria. Può rimuovere il dominio anche dal ruolo Creatore progetto nel criterio IAM della risorsa dell'organizzazione.
I super amministratori di Google Workspace dispongono di privilegi di amministratore dell'organizzazione irrevocabili. Questi super amministratori gestiscono in genere i criteri relativi a identità e identità anziché gestire le risorse e i criteri delle risorse di Google Cloud.
Console
Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud:
Vai alla pagina Gestisci risorse nella console Google Cloud:
Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina e seleziona la risorsa Organizzazione.
Seleziona la casella di controllo per la risorsa dell'organizzazione per la quale vuoi modificare le autorizzazioni. Se non hai una risorsa cartella, la risorsa organizzazione non sarà visibile. Per continuare, consulta le istruzioni per la revoca dei ruoli tramite la pagina IAM.
Nel riquadro Informazioni sul lato destro, in Autorizzazioni, fai clic per espandere il ruolo da cui vuoi rimuovere gli utenti.
Nell'elenco dei ruoli espanso, fai clic su Rimuovi accanto all'entità che vuoi rimuovere dal ruolo.
Nella finestra di dialogo Vuoi rimuovere l'entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.
Ripeti i due passaggi precedenti per ogni ruolo che vuoi rimuovere.
Esempio
Il diagramma seguente illustra un'organizzazione che ha utilizzato le cartelle per separare due reparti. I capi dei dipartimenti di ingegneria e finanza hanno il controllo amministrativo e ad altri utenti non è consentito creare progetti.
Gestione di più organizzazioni in una risorsa dell'organizzazione principale
Se la tua organizzazione ha più account Google Workspace, per impostazione predefinita avrai più risorse dell'organizzazione. Per mantenere visibilità e controllo centrali, dovresti scegliere una risorsa organizzazione come risorsa principale dell'organizzazione. I super amministratori dell'account Google Workspace associato alla risorsa principale dell'organizzazione avranno il controllo amministrativo su tutte le risorse, incluse quelle create dagli utenti degli altri account Google Workspace. Gli utenti di questi account Google Workspace avranno accesso a una cartella nella risorsa dell'organizzazione principale, in cui potranno creare progetti.
Scegli un Amministratore organizzazione
Scegli uno o più utenti che agiscano da amministratore organizzazione IAM per la risorsa organizzazione.
Console
Per aggiungere un Amministratore organizzazione:
Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:
Seleziona la risorsa dell'organizzazione che vuoi modificare:
Fai clic sull'elenco a discesa dei progetti nella parte superiore della pagina.
Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa Organizzazione e seleziona la risorsa dell'organizzazione a cui vuoi aggiungere un Amministratore organizzazione#39;organizzazione.
Nell'elenco visualizzato, fai clic sulla risorsa dell'organizzazione per aprire la pagina Autorizzazioni IAM.
Fai clic su Aggiungi, quindi inserisci l'indirizzo email di uno o più utenti da impostare come amministratori dell'organizzazione.
Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Amministratore organizzazione e fai clic su Salva.
L'amministratore dell'organizzazione può:
Assumi il controllo completo della risorsa dell'organizzazione. Viene stabilita la separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.
Delegare la responsabilità sulle funzioni critiche assegnando i ruoli IAM pertinenti.
Rimuovi il ruolo Autore progetto
Rimuovi il ruolo Creatore progetto dalla risorsa dell'organizzazione per assicurarti che non vengano create risorse nelle altre risorse dell'organizzazione.
Console
Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud:
Vai alla pagina Gestisci risorse nella console Google Cloud:
Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina e seleziona la risorsa Organizzazione.
Seleziona la casella di controllo per la risorsa dell'organizzazione per la quale vuoi modificare le autorizzazioni. Se non hai una risorsa cartella, la risorsa organizzazione non sarà visibile. Per continuare, consulta le istruzioni per la revoca dei ruoli tramite la pagina IAM.
Nel riquadro Informazioni sul lato destro, in Autorizzazioni, fai clic per espandere il ruolo da cui vuoi rimuovere gli utenti.
Nell'elenco dei ruoli espanso, fai clic su Rimuovi accanto all'entità che vuoi rimuovere dal ruolo.
Nella finestra di dialogo Vuoi rimuovere l'entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.
Ripeti i due passaggi precedenti per ogni ruolo che vuoi rimuovere.
Creare cartelle per gli account Google Workspace
Creare una cartella nella risorsa dell'organizzazione per ogni account Google Workspace.
Per creare cartelle, devi disporre del ruolo Amministratore cartelle o Creatore cartella a livello padre. Ad esempio, per creare cartelle a livello di organizzazione, devi avere uno di questi ruoli a livello di organizzazione.
Durante la creazione di una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:
- Il nome può contenere lettere, numeri, spazi, trattini e trattini bassi.
- Il nome visualizzato della cartella deve iniziare e terminare con una lettera o una cifra.
- Il nome deve essere compreso tra 3 e 30 caratteri.
- Il nome deve essere diverso da tutte le altre cartelle che condividono l'elemento padre.
Per creare una cartella:
Console
Puoi creare le cartelle nell'interfaccia utente utilizzando la sezione "Gestisci progetti e cartelle".
Vai alla pagina Gestisci risorse nella console Google Cloud:
Assicurati che il nome della risorsa dell'organizzazione sia selezionato nell'elenco a discesa dell'organizzazione nella parte superiore della pagina.
Fai clic su Crea cartella e seleziona una delle seguenti opzioni:
- Cartella standard: una risorsa cartella standard.
- Cartella Assured Workloads: una cartella Assured Workloads, che fornisce ulteriori controlli normativi, a livello di regione o di sovranità per le risorse Google Cloud. Se selezioni questa opzione, visualizzerai Assured Workloads per creare una cartella.
Nella casella Nome cartella, inserisci il nome della nuova cartella.
In Destinazione, fai clic su Sfoglia, quindi seleziona la risorsa o la cartella dell'organizzazione in cui vuoi creare la nuova cartella.
- Fai clic su Crea.
gcloud
Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.
Per creare una cartella nella risorsa dell'organizzazione utilizzando lo strumento a riga di comando gcloud, esegui questo comando:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Per creare una cartella la cui cartella principale corrisponde a un'altra:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dove:
[DISPLAY_NAME]è il nome visualizzato della cartella. Due cartelle con lo stesso nome principale non possono condividere lo stesso nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o una cifra, può contenere lettere, numeri, spazi, trattini e trattini bassi e non può superare i 30 caratteri.[ORGANIZATION_ID]è l'ID della risorsa dell'organizzazione padre se la risorsa padre è una risorsa dell'organizzazione.[FOLDER_ID]è l'ID della cartella principale, se quella principale è una cartella.
API
Le cartelle possono essere create con una richiesta API.
Il codice JSON della richiesta:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La richiesta curl per la creazione di una cartella:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dove:
[DISPLAY_NAME]è il nome visualizzato della nuova cartella, ad esempio "La mia cartella perfetta".[ORGANIZATION_NAME]è il nome della risorsa dell'organizzazione in cui stai creando la cartella, ad esempioorganizations/123.
La risposta Crea cartella:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
Richiesta curl dell'operazione Get:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La risposta Ottieni operazione:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Concedi ruoli di amministratore della cartella
Per ogni cartella creata, concedi a uno o più utenti il ruolo Amministratore cartelle. A questi utenti sarà delegato il controllo amministrativo sulla cartella e sull'organizzazione secondaria che rappresenta.
Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM cartella o Amministratore cartelle a livello padre.
Console
Nella console Google Cloud, apri la pagina Gestisci risorse.
Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e seleziona la risorsa Organizzazione.
Seleziona la casella di controllo accanto al progetto per il quale vuoi modificare le autorizzazioni.
Nel riquadro Informazioni a destra, in Autorizzazioni, inserisci gli indirizzi email dei membri che vuoi aggiungere.
Nell'elenco a discesa Seleziona un ruolo, scegli il ruolo che vuoi concedere ai membri.
Fai clic su Aggiungi. Viene visualizzata una notifica che conferma l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.
gcloud
Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
In alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dove:
[FOLDER_ID]è l'ID della nuova cartella.[POLICY_FILE]è il percorso di un file di criteri per la cartella.
API
Il metodo setIamPolicy imposta il criterio di controllo dell'accesso su una cartella, sostituendo qualsiasi criterio esistente. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La richiesta curl:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dove:
[FOLDER_NAME]è il nome della cartella per cui è stato impostato il criterio IAM, ad esempio cartelle/123.
Ogni Amministratore cartelle può quindi concedere agli utenti del dominio associato il ruolo Creatore progetto.
Esempio
Il diagramma seguente illustra un'organizzazione con un dominio principale mantenuto isolato da un dominio secondario acquisito. Ciascuno dei due domini ha i propri account Google Workspace, in cui hypothetical.com è la risorsa principale dell'organizzazione.
