El recurso de la organización establece la propiedad de los proyectos y las carpetas
debajo de él, en la jerarquía de recursos de Google Cloud Platform.
Tu cuenta de Google Workspace o Cloud Identity se asocia exactamente a una
recurso de la organización. Cada cuenta de Google Workspace o Cloud Identity
También se asocia con un dominio principal, como example.com. Para obtener más detalles sobre el uso de varios dominios, consulta Cómo agregar un dominio de alias de usuario o secundario. Para obtener más información sobre cómo cambiar el dominio principal de una cuenta de Google Workspace, consulta Cómo cambiar el dominio principal de Google Workspace.
En la mayoría de los casos de uso, es aconsejable usar las carpetas de un recurso de organización. Si deseas mantener las suborganizaciones o departamentos dentro de tu empresa como entidades aisladas sin administración central, puedes configurar varias cuentas de Google Workspace o Cloud Identity. En cada cuenta vienen con un único recurso de organización asociado a un dominio principal.
Efectos de usar varios recursos de la organización
Usa varios recursos de la organización cuando no quieras que los usuarios desde una cuenta de Google Workspace o Cloud Identity para acceder recursos creados por usuarios desde otro entorno de Google Workspace o Cloud Identity. Separar los recursos en varios recursos de la organización conlleva varias consecuencias:
De forma predeterminada, ningún usuario tendrá visibilidad central ni control sobre todos los recursos.
Las políticas comunes en todas las suborganizaciones deberán replicarse en cada recurso de la organización.
No se admite mover carpetas de un recurso de la organización a otro una sola operación. Mover proyectos de un recurso de organización a otro puede ser lograste con la guía que aparece aquí.
Cada recurso de la organización requiere una cuenta de Google Workspace. En funcionamiento varios recursos de la organización, por lo tanto, requieren varios servicios de Google Workspace y la capacidad de administrar identidades entre ellas.
Usa un solo recurso de la organización
La mayoría de las organizaciones que desean mantener suborganizaciones independientes pueden hacerlo con carpetas y un recurso de organización único. Si tienes un solo cuenta de Google Workspace, esta cuenta se asigna al recurso de organización. se asignan suborganizaciones a carpetas.
Elige un administrador de la organización
Elige uno o más usuarios a fin de que actúen como administradores de la organización de IAM para el recurso de la organización.
Console
Para agregar un administrador de la organización, sigue estos pasos:
Accede a la consola de Google Cloud como Google Workspace o administrador avanzado de Cloud Identity y navega a la IAM y Administrador:
Selecciona el recurso de la organización que deseas editar:
Haz clic en la lista desplegable de proyectos en la parte superior de la página.
En el diálogo Seleccionar una opción, haz clic en la lista desplegable de organizaciones. y selecciona el recurso de la organización al que quieres agregar Administrador de la organización.
En la lista que aparece, haz clic en el recurso de la organización para abrir su página de Permisos de IAM.
Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de uno o más usuarios que desees establecer como administradores de la organización.
En la lista desplegable Seleccionar una función, selecciona Administrador de recursos > Administrador de la organización y, luego, haz clic en Guardar.
El administrador de la organización puede hacer lo siguiente:
Toma el control total del recurso de la organización. Se establece la separación de responsabilidades entre el administrador avanzado de Google Workspace o Cloud Identity y el administrador de Google Cloud.
Puedes delegar la responsabilidad sobre las funciones esenciales mediante la asignación de las funciones relevantes de IAM.
Crea carpetas para las suborganizaciones
Crea una carpeta en el recurso de organización para cada suborganización.
Para crear carpetas, debes tener la función Administrador de carpetas o Creador de carpetas a nivel del superior. Por ejemplo, para crear carpetas a nivel de la organización, debes tener una de estas funciones a nivel de la organización.
Como parte de la creación de una carpeta, debes asignarle un nombre. Los nombres de las carpetas deben cumplir los siguientes requisitos:
- El nombre puede contener letras, dígitos, espacios, guiones y guiones bajos.
- El nombre visible de la carpeta debe comenzar y terminar con una letra o un dígito.
- El nombre debe tener entre 3 y 30 caracteres.
- El nombre debe ser distinto al de todas las demás carpetas que comparten el superior.
Para crear una carpeta, haz lo siguiente:
Console
Las carpetas se pueden crear en la IU a través de la sección “Administra proyectos y carpetas”.
Ve a la página Administrar recursos en la consola de Google Cloud:
Asegúrate de que el nombre del recurso de tu organización esté seleccionado en la Organización en la parte superior de la página.
Haz clic en Crear carpeta y selecciona una de las siguientes opciones:
- Carpeta estándar: Es un recurso de carpeta estándar.
- Carpeta de cumplimiento: Una carpeta de Assured Workloads que proporciona controles regulatorios, regionales o de soberanía adicionales para los recursos de Google Cloud. Si seleccionas esta opción, accederás a Assured Workloads en crea una carpeta.
En el cuadro Nombre de la carpeta, ingresa el nombre de la carpeta nueva.
En Destino, haz clic en Explorar y, luego, selecciona la organización. recurso o carpeta en la que quieras crear tu nueva carpeta.
- Haz clic en Crear.
gcloud
Las carpetas se pueden crear de manera programática con la CLI de Google Cloud.
Para crear una carpeta en el recurso de la organización con gcloud
de herramienta de línea de comandos, ejecuta el siguiente comando.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Para crear una carpeta cuya carpeta superior sea otra, sigue estos pasos:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
En el ejemplo anterior, se ilustra lo siguiente:
[DISPLAY_NAME]es el nombre visible de la carpeta. Dos carpetas con la misma carpeta superior no pueden compartir un nombre visible. El nombre visible debe comenzar y terminar con una letra o un dígito, puede contener letras, dígitos, espacios, guiones y guiones bajos, y no puede tener más de 30 caracteres.[ORGANIZATION_ID]es el ID del recurso superior de la organización si el superior es un recurso de la organización.[FOLDER_ID]es el ID de la carpeta superior, si el superior es una carpeta.
API
Se pueden crear carpetas con una solicitud a la API.
El JSON de la solicitud luce así:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La solicitud de curl para crear carpetas luce así:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
En el ejemplo anterior, se ilustra lo siguiente:
[DISPLAY_NAME]es el nombre visible de la carpeta nueva, por ejemplo, “Mi carpeta genial”.[ORGANIZATION_NAME]es el nombre del recurso de la organización en el que creas la carpeta, por ejemplo,organizations/123.
La respuesta para crear carpetas luce así:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
La solicitud de curl para obtener operaciones luce así:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La respuesta para obtener operaciones luce así:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Otorga funciones de administrador a la carpeta
Para cada carpeta de la suborganización que creas, otorga a uno o más usuarios la función Administrador de carpetas. Estos usuarios tendrán control administrativo sobre la carpeta y la suborganización que representa.
Para configurar el acceso a las carpetas, debes tener la función Administrador de carpetas de IAM o Administrador de carpetas a nivel del superior.
Console
En la consola de Google Cloud, abre la página Administrar recursos.
Haz clic en la lista desplegable Organización en la esquina superior izquierda y, luego, selecciona el recurso de tu organización.
Selecciona la casilla de verificación junto al proyecto en el que deseas cambiar los permisos.
En Permisos, dentro del Panel de información ubicado a la derecha, ingresa las direcciones de correo electrónico de los miembros que deseas agregar.
En la lista desplegable Seleccionar una función, selecciona el rol que deseas otorgar a esos miembros.
Haz clic en Agregar. Aparecerá una notificación para confirmar la adición o actualización. de los miembros nuevo rol.
gcloud
Puedes configurar el acceso a las carpetas de manera programática con el Google Cloud CLI o la API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
O, como alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
En el ejemplo anterior, se ilustra lo siguiente:
[FOLDER_ID]es el ID de la carpeta nueva.[POLICY_FILE]es la ruta a un archivo de la política de la carpeta.
API
El método setIamPolicy establece la política de control de acceso en una carpeta.
para reemplazar las políticas existentes. El campo resource debe ser el nombre
el nombre del recurso, por ejemplo, folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La solicitud curl luce así:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
En el ejemplo anterior, se ilustra lo siguiente:
[FOLDER_NAME]es el nombre de la carpeta cuya política de IAM configurarás, por ejemplo, carpetas/123.
Restringe las funciones de la suborganización
Cada Administrador de carpetas puede restringir la función Creador del proyecto de los miembros de su suborganización. También puede quitar el dominio del rol de Creador del proyecto en la política de IAM del recurso de la organización.
Los administradores avanzados de Google Workspace tienen privilegios de administrador de la organización irrevocables. Estos administradores avanzados suelen administrar las identidades y las políticas de identidad, en lugar de administrar los recursos de Google Cloud y las políticas de recursos.
Console
Para quitar los roles asignados a los usuarios de forma predeterminada con la consola de Google Cloud, sigue estos pasos:
Ve a la página Administrar recursos en la consola de Google Cloud:
Haz clic en la lista desplegable Organización en la parte superior de la página y, luego, selecciona el recurso de tu organización.
Selecciona la casilla de verificación del recurso de la organización para el que deseas cambiar permisos. Si no tienes un recurso de carpeta, el recurso de la organización no será visible. Si quieres continuar, consulta las instrucciones para revocar funciones que están en la página de IAM.
En el Panel de información del lado derecho, en Permisos, haz clic para expandir el rol. de la que deseas quitar usuarios.
En la lista expandida de las funciones, junto al principal que deseas quitar de la función, haz clic en quitar.
En el diálogo ¿Quitar principal? que aparece, haz clic en Quitar para confirmar que quieres quitar el rol de la principal especificada.
Repite los dos pasos anteriores en cada función que desees quitar.
Ejemplo
En el diagrama siguiente, se describe una organización que usó carpetas para separar dos departamentos. Los jefes de los departamentos de ingeniería y finanzas tienen control administrativo, y los otros usuarios no pueden crear proyectos.
Administrar varias organizaciones bajo un recurso principal de la organización
Si tu organización tiene varias cuentas de Google Workspace, tendrás varios recursos de la organización de forma predeterminada. Para mantener la visibilidad y el control central, debes elegir un recurso de la organización para que sea el recurso principal de esta. Los administradores avanzados de la cuenta de Google Workspace asociada con tu recurso principal de la organización tendrán control administrativo sobre todos los recursos, incluidos los que crearon los usuarios de otras cuentas de Google Workspace. Los usuarios de esas cuentas de Google Workspace tendrán acceso a una carpeta en el recurso principal de la organización, en el que podrán crear proyectos.
Elige un administrador de la organización
Elige uno o más usuarios a fin de que actúen como administradores de la organización de IAM para el recurso de la organización.
Console
Para agregar un administrador de la organización, sigue estos pasos:
Accede a la consola de Google Cloud como un administrador avanzado de Google Workspace o Cloud Identity y ve a la página IAM y administración:
Selecciona el recurso de la organización que deseas editar:
Haz clic en la lista desplegable de proyectos en la parte superior de la página.
En el diálogo Seleccionar una opción, haz clic en la lista desplegable de organizaciones. y selecciona el recurso de la organización al que quieres agregar Administrador de la organización.
En la lista que aparece, haz clic en el recurso de la organización para abrir su página de Permisos de IAM.
Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de uno o más usuarios que desees establecer como administradores de la organización.
En la lista desplegable Seleccionar una función, selecciona Administrador de recursos > Administrador de la organización y, luego, haz clic en Guardar.
El administrador de la organización puede hacer lo siguiente:
Toma el control total del recurso de la organización. Se establece la separación de responsabilidades entre el administrador avanzado de Google Workspace o Cloud Identity y el administrador de Google Cloud.
Puedes delegar la responsabilidad sobre las funciones esenciales mediante la asignación de las funciones relevantes de IAM.
Quita la función Creador del proyecto
Quita el rol Creador del proyecto del recurso de la organización para asegurarte que los recursos no se crean en los otros recursos de la organización.
Console
Para quitar los roles asignados a los usuarios de forma predeterminada con la consola de Google Cloud, sigue estos pasos:
Ve a la página Administrar recursos en la consola de Google Cloud:
Haz clic en la lista desplegable Organización en la parte superior de la página y, luego, selecciona tu recurso de organización.
Selecciona la casilla de verificación del recurso de la organización para el que deseas cambiar permisos. Si no tienes un recurso de carpeta, el recurso de la organización no será visible. Si quieres continuar, consulta las instrucciones para revocar funciones que están en la página de IAM.
En el Panel de información del lado derecho, en Permisos, haz clic para expandir el rol. de la que deseas quitar usuarios.
En la lista expandida de las funciones, junto al principal que deseas quitar de la función, haz clic en quitar.
En el diálogo ¿Quitar principal? que aparece, haz clic en Quitar para confirmar que quieres quitar el rol de la principal especificada.
Repite los dos pasos anteriores en cada función que desees quitar.
Crea carpetas para las cuentas de Google Workspace
Crea una carpeta en el recurso de organización para cada Google Workspace. de servicio predeterminada.
Para crear carpetas, debes tener la función Administrador de carpetas o Creador de carpetas a nivel del superior. Por ejemplo, para crear carpetas a nivel de la organización, debes tener uno de estos roles a nivel de la organización.
Como parte de la creación de una carpeta, debes asignarle un nombre. Los nombres de las carpetas deben cumplir los siguientes requisitos:
- El nombre puede contener letras, dígitos, espacios, guiones y guiones bajos.
- El nombre visible de la carpeta debe comenzar y terminar con una letra o un dígito.
- El nombre debe tener entre 3 y 30 caracteres.
- El nombre debe ser distinto al de todas las demás carpetas que comparten el superior.
Para crear una carpeta, haz lo siguiente:
Console
Las carpetas se pueden crear en la IU a través de la sección “Administra proyectos y carpetas”.
Ve a la página Administrar recursos en la consola de Google Cloud:
Asegúrate de que el nombre del recurso de tu organización esté seleccionado en la lista desplegable de organizaciones que se encuentra en la parte superior de la página.
Haz clic en Crear carpeta y selecciona una de las siguientes opciones:
- Carpeta estándar: Es un recurso de carpeta estándar.
- Carpeta de cumplimiento: Una carpeta de Assured Workloads que proporciona controles regulatorios, regionales o de soberanía adicionales para los recursos de Google Cloud. Si seleccionas esta opción, accederás a Assured Workloads para crear una carpeta.
En el cuadro Nombre de la carpeta, ingresa el nombre de la carpeta nueva.
En Destino, haz clic en Explorar y, luego, selecciona la organización. recurso o carpeta en la que quieras crear tu nueva carpeta.
- Haz clic en Crear.
gcloud
Las carpetas se pueden crear de manera programática con la CLI de Google Cloud.
Para crear una carpeta en el recurso de la organización con gcloud
de herramienta de línea de comandos, ejecuta el siguiente comando.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Para crear una carpeta cuya carpeta superior sea otra, sigue estos pasos:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
En el ejemplo anterior, se ilustra lo siguiente:
[DISPLAY_NAME]es el nombre visible de la carpeta. Dos carpetas con la misma carpeta superior no pueden compartir un nombre visible. El nombre visible debe comenzar y terminar con una letra o un dígito, puede contener letras, dígitos, espacios, guiones y guiones bajos, y no puede tener más de 30 caracteres.[ORGANIZATION_ID]es el ID del recurso superior de la organización si el superior es un recurso de la organización.[FOLDER_ID]es el ID de la carpeta superior, si el superior es una carpeta.
API
Se pueden crear carpetas con una solicitud a la API.
El JSON de la solicitud luce así:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La solicitud de curl para crear carpetas luce así:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
En el ejemplo anterior, se ilustra lo siguiente:
[DISPLAY_NAME]es el nombre visible de la carpeta nueva, por ejemplo, “Mi carpeta genial”.[ORGANIZATION_NAME]es el nombre del recurso de la organización en el que creas la carpeta, por ejemplo,organizations/123.
La respuesta para crear carpetas luce así:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
La solicitud de curl para obtener operaciones luce así:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La respuesta para obtener operaciones luce así:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Otorga funciones de administrador a la carpeta
Otorga a uno o más usuarios la función Administrador de carpetas, para cada una de las carpetas creadas. A estos usuarios se les delegará el control administrativo sobre la carpeta y la suborganización que representa.
Para configurar el acceso a las carpetas, debes tener la función Administrador de carpetas de IAM o Administrador de carpetas a nivel del superior.
Console
En la consola de Google Cloud, abre la página Administrar recursos.
Haz clic en la lista desplegable Organización en la esquina superior izquierda y, luego, selecciona el recurso de tu organización.
Selecciona la casilla de verificación junto al proyecto en el que deseas cambiar los permisos.
En Permisos, dentro del Panel de información ubicado a la derecha, ingresa las direcciones de correo electrónico de los miembros que deseas agregar.
En la lista desplegable Seleccionar una función, selecciona el rol que deseas otorgar a esos miembros.
Haz clic en Agregar. Aparecerá una notificación para confirmar la adición o actualización. de los miembros nuevo rol.
gcloud
Puedes configurar el acceso a las carpetas de manera programática con el Google Cloud CLI o la API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
O, como alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
En el ejemplo anterior, se ilustra lo siguiente:
[FOLDER_ID]es el ID de la carpeta nueva.[POLICY_FILE]es la ruta a un archivo de la política de la carpeta.
API
El método setIamPolicy establece la política de control de acceso en una carpeta.
para reemplazar las políticas existentes. El campo resource debe ser el nombre
el nombre del recurso, por ejemplo, folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La solicitud curl luce así:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
En el ejemplo anterior, se ilustra lo siguiente:
[FOLDER_NAME]es el nombre de la carpeta cuya política de IAM configurarás, por ejemplo, carpetas/123.
Cada Administrador de carpeta puede otorgar a los usuarios del dominio asociado la función Creador del proyecto.
Ejemplo
En el siguiente diagrama, se describe una organización con un dominio principal que se mantiene aislado de un dominio secundario adquirido. Cada uno de los dominios tiene sus propias cuentas de Google Workspace, y hypothetical.com es el recurso principal de la organización.
