La risorsa dell'organizzazione stabilisce la proprietà dei progetti e delle cartelle al di sotto nella gerarchia delle risorse della piattaforma Google Cloud.
Il tuo account Google Workspace o Cloud Identity è associato a esattamente una risorsa dell'organizzazione. Ogni account Google Workspace o Cloud Identity è associato anche a un dominio principale, ad esempio example.com. Per maggiori dettagli sull'utilizzo di più domini, vedi Aggiungere un dominio degli alias utente o un dominio secondario. Per informazioni dettagliate sulla modifica del dominio principale di un account Google Workspace, vedi Cambiare il dominio principale per Google Workspace.
Per la maggior parte dei casi d'uso, è meglio utilizzare le cartelle all'interno di una risorsa dell'organizzazione. Se vuoi mantenere suddivisioni o reparti all'interno della tua azienda come entità isolate senza amministrazione centrale, puoi configurare più account Google Workspace o Cloud Identity. Ogni account sarà fornito con una singola risorsa dell'organizzazione associata a un dominio principale.
Effetti dell'utilizzo di più risorse dell'organizzazione
Utilizza più risorse organizzazione se non vuoi che gli utenti di un account Google Workspace o Cloud Identity accedano alle risorse create dagli utenti di un altro account Google Workspace o Cloud Identity. La suddivisione delle risorse in più risorse dell'organizzazione comporta diverse conseguenze:
Per impostazione predefinita, nessun singolo utente avrà visibilità e controllo centralizzati su tutte le risorse.
I criteri comuni a più organizzazioni secondarie dovranno essere replicati su ogni risorsa dell'organizzazione.
Lo spostamento di cartelle da una risorsa dell'organizzazione all'altra non è un'operazione supportata. Puoi spostare i progetti da una risorsa dell'organizzazione a un'altra seguendo la guida qui.
Ogni risorsa dell'organizzazione richiede un account Google Workspace. L'utilizzo di più risorse dell'organizzazione richiede quindi più account Google Workspace e la possibilità di gestire le identità in questi account.
Utilizzo di una singola risorsa dell'organizzazione
La maggior parte delle organizzazioni che vogliono mantenere organizzazioni secondarie distinte può farlo utilizzando una singola risorsa e cartelle dell'organizzazione. Se hai un singolo account Google Workspace, questo viene mappato alla risorsa dell'organizzazione e le organizzazioni secondarie alle cartelle.
Scegli un Amministratore organizzazione
Scegli uno o più utenti che agiranno come amministratori dell'organizzazione IAM per la risorsa dell'organizzazione.
Console
Per aggiungere un Amministratore organizzazione:
Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:
Seleziona la risorsa dell'organizzazione che vuoi modificare:
Fai clic sull'elenco a discesa del progetto nella parte superiore della pagina.
Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa dell'organizzazione e seleziona la risorsa dell'organizzazione a cui vuoi aggiungere un Amministratore organizzazione dell'organizzazione.
Nell'elenco visualizzato, fai clic sulla risorsa dell'organizzazione per aprire la pagina Autorizzazioni IAM.
Fai clic su Aggiungi e inserisci l'indirizzo email di uno o più utenti che vuoi impostare come amministratori dell'organizzazione.
Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Amministratore dell'organizzazione e poi fai clic su Salva.
L'amministratore dell'organizzazione può:
Assumere il pieno controllo della risorsa dell'organizzazione. È stata stabilita la separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.
Delegare la responsabilità per le funzioni critiche assegnando i ruoli IAM pertinenti.
Creare cartelle per le organizzazioni secondarie
Crea una cartella nella risorsa organizzazione per ogni organizzazione secondaria.
Per creare cartelle, devi disporre del ruolo Amministratore delle cartelle o Creatore di cartelle a livello di cartella principale. Ad esempio, per creare cartelle a livello di organizzazione, devi disporre di uno di questi ruoli a livello di organizzazione.
Durante la creazione di una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:
- Il nome può contenere lettere, cifre, spazi, trattini e trattini bassi.
- Il nome visualizzato della cartella deve iniziare e terminare con una lettera o un numero.
- Il nome deve essere compreso tra 3 e 30 caratteri.
- Il nome deve essere diverso da quello di tutte le altre cartelle che condividono la cartella principale.
Per creare una cartella:
Console
Le cartelle possono essere create nell'interfaccia utente utilizzando la sezione "Gestisci progetti e cartelle".
Vai alla pagina Gestisci risorse nella console Google Cloud:
Assicurati che il nome della risorsa dell'organizzazione sia selezionato nell'elenco a discesa dell'organizzazione nella parte superiore della pagina.
Fai clic su Crea cartella e seleziona una delle seguenti opzioni:
- Cartella standard: una risorsa cartella standard.
- Cartella conforme: una cartella Assured Workloads, che fornisce controlli aggiuntivi a livello di normative, regionali o di sovranità per le risorse Google Cloud. Se selezioni questa opzione, verrà visualizzata la pagina Assured Workloads per creare una cartella.
Nella casella Nome cartella, inserisci il nome della nuova cartella.
In Destinazione, fai clic su Sfoglia e seleziona la risorsa o la cartella dell'organizzazione in cui vuoi creare la nuova cartella.
- Fai clic su Crea.
gcloud
Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.
Per creare una cartella nella risorsa dell'organizzazione utilizzando lo strumento a riga di comando gcloud, esegui il seguente comando.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Per creare una cartella la cui cartella principale è un'altra cartella:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dove:
[DISPLAY_NAME]è il nome visualizzato della cartella. Nessuna delle due cartelle con lo stesso elemento principale può condividere un nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o un numero, può contenere lettere, cifre, spazi, trattini e trattini bassi e non può superare i 30 caratteri.[ORGANIZATION_ID]è l'ID della risorsa dell'organizzazione principale se la risorsa principale è una risorsa dell'organizzazione.[FOLDER_ID]è l'ID della cartella principale, se la cartella principale è una cartella.
API
Le cartelle possono essere create con una richiesta API.
Il JSON della richiesta:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La richiesta curl Create Folder:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dove:
[DISPLAY_NAME]è il nome visualizzato della nuova cartella, ad esempio "La mia fantastica cartella".[ORGANIZATION_NAME]è il nome della risorsa dell'organizzazione in cui stai creando la cartella, ad esempioorganizations/123.
La risposta Crea cartella:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
La richiesta curl Get Operation:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La risposta all'operazione Get:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Concedi i ruoli di amministratore della cartella
Per ogni cartella della suddivisione dell'organizzazione che crei, concedi a uno o più utenti il ruolo Amministratore cartelle. Questi utenti avranno il controllo amministrativo sulla cartella e sulla suddivisione dell'organizzazione che rappresenta.
Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM delle cartelle o Amministratore delle cartelle a livello di cartella principale.
Console
Nella console Google Cloud, apri la pagina Gestisci risorse.
Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e poi seleziona la risorsa dell'organizzazione.
Seleziona la casella di controllo accanto al progetto per cui vuoi modificare le autorizzazioni.
Sul lato destro del riquadro Informazioni, in Autorizzazioni, inserisci gli indirizzi email dei membri che vuoi aggiungere.
Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo da concedere ai membri.
Fai clic su Aggiungi. Viene visualizzata una notifica per confermare l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.
gcloud
Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
In alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dove:
[FOLDER_ID]è l'ID della nuova cartella.[POLICY_FILE]è il percorso di un file di criteri per la cartella.
API
Il metodo setIamPolicy imposta il criterio di controllo dell'accesso in una cartella,
sostituendo qualsiasi criterio esistente. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La richiesta curl:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dove:
[FOLDER_NAME]è il nome della cartella di cui viene impostato il criterio IAM, ad esempio cartelle/123.
Limitare i ruoli delle organizzazioni secondarie
Ogni Amministratore cartelle può limitare il ruolo Creatore progetto ai membri della sua suddivisione dell'organizzazione. Può rimuovere il dominio anche dal ruolo Creator del progetto nel criterio IAM della risorsa dell'organizzazione.
I super amministratori di Google Workspace dispongono di privilegi di amministratore dell'organizzazione irrevocabili. In genere, questi super amministratori gestiscono le identità e i criteri di identità, anziché le risorse e i criteri delle risorse di Google Cloud.
Console
Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud:
Vai alla pagina Gestisci risorse nella console Google Cloud:
Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina e seleziona la risorsa dell'organizzazione.
Seleziona la casella di controllo per la risorsa dell'organizzazione per cui vuoi modificare le autorizzazioni. Se non hai una risorsa Cartella, la risorsa dell'organizzazione non sarà visibile. Per continuare, consulta le istruzioni per la revoca dei ruoli tramite la pagina IAM.
Nel riquadro Informazioni a destra, fai clic su Autorizzazioni per espandere il ruolo da cui vuoi rimuovere gli utenti.
Nell'elenco dei ruoli espanso, fai clic su Rimuovi accanto al principale che vuoi rimuovere dal ruolo.
Nella finestra di dialogo Vuoi rimuovere l'entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.
Ripeti i due passaggi precedenti per ogni ruolo che vuoi rimuovere.
Esempio
Il diagramma seguente mostra un'organizzazione che ha utilizzato le cartelle per separare due reparti. I responsabili dei reparti di ingegneria e finanza dispongono del controllo amministrativo e agli altri utenti è impedita la creazione di progetti.
Gestione di più organizzazioni in una risorsa organizzazione principale
Se la tua organizzazione ha più account Google Workspace, per impostazione predefinita avrai più risorse dell'organizzazione. Per mantenere la visibilità e il controllo centralizzati, devi scegliere una risorsa dell'organizzazione come risorsa principale dell'organizzazione. I super amministratori dell'account Google Workspace associato alla risorsa dell'organizzazione principale avranno il controllo amministrativo su tutte le risorse, incluse quelle create dagli utenti degli altri account Google Workspace. Agli utenti di questi account Google Workspace verrà concesso l'accesso a una cartella all'interno della risorsa dell'organizzazione principale, in cui potranno creare progetti.
Scegli un Amministratore organizzazione
Scegli uno o più utenti che agiranno come amministratori dell'organizzazione IAM per la risorsa dell'organizzazione.
Console
Per aggiungere un Amministratore organizzazione:
Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:
Seleziona la risorsa dell'organizzazione che vuoi modificare:
Fai clic sull'elenco a discesa del progetto nella parte superiore della pagina.
Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa dell'organizzazione e seleziona la risorsa dell'organizzazione a cui vuoi aggiungere un Amministratore organizzazione dell'organizzazione.
Nell'elenco visualizzato, fai clic sulla risorsa dell'organizzazione per aprire la pagina Autorizzazioni IAM.
Fai clic su Aggiungi e inserisci l'indirizzo email di uno o più utenti che vuoi impostare come amministratori dell'organizzazione.
Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Amministratore dell'organizzazione e poi fai clic su Salva.
L'amministratore dell'organizzazione può:
Assumere il pieno controllo della risorsa dell'organizzazione. È stata stabilita la separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.
Delegare la responsabilità per le funzioni critiche assegnando i ruoli IAM pertinenti.
Rimuovi il ruolo Creatore progetto
Rimuovi il ruolo Autore del progetto dalla risorsa dell'organizzazione per assicurarti che le risorse non vengano create nelle altre risorse dell'organizzazione.
Console
Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud:
Vai alla pagina Gestisci risorse nella console Google Cloud:
Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina e seleziona la risorsa della tua organizzazione.
Seleziona la casella di controllo per la risorsa dell'organizzazione per cui vuoi modificare le autorizzazioni. Se non hai una risorsa Cartella, la risorsa dell'organizzazione non sarà visibile. Per continuare, consulta le istruzioni per la revoca dei ruoli tramite la pagina IAM.
Nel riquadro Informazioni a destra, fai clic su Autorizzazioni per espandere il ruolo da cui vuoi rimuovere gli utenti.
Nell'elenco dei ruoli espanso, fai clic su Rimuovi accanto al principale che vuoi rimuovere dal ruolo.
Nella finestra di dialogo Vuoi rimuovere l'entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.
Ripeti i due passaggi precedenti per ogni ruolo che vuoi rimuovere.
Creare cartelle per gli account Google Workspace
Crea una cartella nella risorsa dell'organizzazione per ogni account Google Workspace.
Per creare cartelle, devi disporre del ruolo Amministratore delle cartelle o Creatore di cartelle a livello di cartella principale. Ad esempio, per creare cartelle a livello di organizzazione, devi disporre di uno di questi ruoli a livello di organizzazione.
Durante la creazione di una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:
- Il nome può contenere lettere, cifre, spazi, trattini e trattini bassi.
- Il nome visualizzato della cartella deve iniziare e terminare con una lettera o un numero.
- Il nome deve essere compreso tra 3 e 30 caratteri.
- Il nome deve essere diverso da quello di tutte le altre cartelle che condividono la cartella principale.
Per creare una cartella:
Console
Le cartelle possono essere create nell'interfaccia utente utilizzando la sezione "Gestisci progetti e cartelle".
Vai alla pagina Gestisci risorse nella console Google Cloud:
Assicurati che il nome della risorsa dell'organizzazione sia selezionato nell'elenco a discesa dell'organizzazione nella parte superiore della pagina.
Fai clic su Crea cartella e seleziona una delle seguenti opzioni:
- Cartella standard: una risorsa cartella standard.
- Cartella conforme: una cartella Assured Workloads che fornisce controlli aggiuntivi a livello di normative, regionali o di sovranità per le risorse Google Cloud. Se selezioni questa opzione, verrà visualizzata la pagina Assured Workloads per creare una cartella.
Nella casella Nome cartella, inserisci il nome della nuova cartella.
In Destinazione, fai clic su Sfoglia e seleziona la risorsa o la cartella dell'organizzazione in cui vuoi creare la nuova cartella.
- Fai clic su Crea.
gcloud
Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.
Per creare una cartella nella risorsa dell'organizzazione utilizzando lo strumento a riga di comando gcloud, esegui il seguente comando.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
Per creare una cartella la cui cartella principale è un'altra cartella:
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
Dove:
[DISPLAY_NAME]è il nome visualizzato della cartella. Nessuna delle due cartelle con lo stesso elemento principale può condividere un nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o un numero, può contenere lettere, cifre, spazi, trattini e trattini bassi e non può superare i 30 caratteri.[ORGANIZATION_ID]è l'ID della risorsa dell'organizzazione principale se la risorsa principale è una risorsa dell'organizzazione.[FOLDER_ID]è l'ID della cartella principale, se la cartella principale è una cartella.
API
Le cartelle possono essere create con una richiesta API.
Il JSON della richiesta:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
La richiesta curl Create Folder:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Dove:
[DISPLAY_NAME]è il nome visualizzato della nuova cartella, ad esempio "La mia fantastica cartella".[ORGANIZATION_NAME]è il nome della risorsa dell'organizzazione in cui stai creando la cartella, ad esempioorganizations/123.
La risposta Crea cartella:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
La richiesta curl Get Operation:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
La risposta all'operazione Get:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Concedi i ruoli di amministratore della cartella
Per ogni cartella creata, concedi a uno o più utenti il ruolo Amministratore cartelle. A questi utenti verrà delegato il controllo amministrativo sulla cartella e sulla suborganizzazione che rappresenta.
Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM delle cartelle o Amministratore delle cartelle a livello di cartella principale.
Console
Nella console Google Cloud, apri la pagina Gestisci risorse.
Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e poi seleziona la risorsa dell'organizzazione.
Seleziona la casella di controllo accanto al progetto per cui vuoi modificare le autorizzazioni.
Sul lato destro del riquadro Informazioni, in Autorizzazioni, inserisci gli indirizzi email dei membri che vuoi aggiungere.
Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo da concedere ai membri.
Fai clic su Aggiungi. Viene visualizzata una notifica per confermare l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.
gcloud
Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
In alternativa:
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
Dove:
[FOLDER_ID]è l'ID della nuova cartella.[POLICY_FILE]è il percorso di un file di criteri per la cartella.
API
Il metodo setIamPolicy imposta il criterio di controllo dell'accesso in una cartella,
sostituendo qualsiasi criterio esistente. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
La richiesta curl:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
Dove:
[FOLDER_NAME]è il nome della cartella di cui viene impostato il criterio IAM, ad esempio cartelle/123.
Ogni Amministratore cartelle può quindi assegnare agli utenti del dominio associato il ruolo Autore progetto.
Esempio
Il diagramma seguente illustra un'organizzazione con un dominio principale tenuto isolato da un dominio secondario acquisito. Ciascuno dei due domini ha i propri account Google Workspace, con hypothetical.com come risorsa principale dell'organizzazione.
