Gerarchia delle risorse

Questa pagina descrive la gerarchia delle risorse Google Cloud e e risorse che possono essere gestite tramite Resource Manager.

Lo scopo della gerarchia delle risorse di Google Cloud è duplice:

• Fornire una gerarchia di proprietà, che vincola il ciclo di vita di una risorsa al suo padre immediato nella gerarchia.
• Fornisci i punti di collegamento e l'ereditarietà per il controllo dell'accesso e l'organizzazione criteri.

Metaforicamente, la gerarchia delle risorse Google Cloud assomiglia alla del file system presente nei sistemi operativi tradizionali come modo di organizzare gestire le entità in modo gerarchico. In genere, ogni risorsa ha esattamente principale. Questa organizzazione gerarchica delle risorse consente di impostare controllare i criteri e le impostazioni di configurazione su una risorsa padre e i criteri e le impostazioni IAM (Identity and Access Management) vengono ereditate dall'organizzazione secondaria Google Cloud.

La gerarchia delle risorse Google Cloud nel dettaglio

Le risorse Google Cloud sono organizzate in modo gerarchico. Tutte le risorse tranne per la risorsa più alta in una gerarchia, hanno esattamente un solo elemento padre. Al livello più basso, le risorse di servizio sono i componenti fondamentali che compongono tutti i servizi Google Cloud. Esempi di risorse di servizio includono Macchine virtuali (VM) Compute Engine, argomenti Pub/Sub, Cloud Storage bucket, istanze App Engine. Tutte queste risorse di livello inferiore hanno risorse come le risorse padre, che rappresentano il primo raggruppamento meccanismo della gerarchia delle risorse di Google Cloud.

Tutti gli utenti, inclusi quelli di prova gratuita, quelli del livello gratuito e Google Workspace e I clienti di Cloud Identity possono creare risorse di progetto. Gli utenti del Programma gratuito di Google Cloud possono solo risorse di progetto e risorse di servizio all'interno dei progetti. Le risorse del progetto possono essere all'inizio della gerarchia, ma solo se creato da un utente di prova gratuita o livello di accesso. Clienti di Google Workspace e Cloud Identity hanno accesso a funzionalità aggiuntive della gerarchia delle risorse Google Cloud, ad esempio risorse di organizzazioni e cartelle. Scopri di più in la panoramica di Cloud Identity. Le risorse di progetto in cima alla gerarchia non hanno risorse padre di risorse, ma puoi eseguirne la migrazione in una risorsa dell'organizzazione una volta per il dominio. Per maggiori dettagli sulla migrazione delle risorse di progetto, consulta Migrazione delle risorse del progetto.

I clienti di Google Workspace e Cloud Identity possono creare un'organizzazione Google Cloud. Ogni account Google Workspace o Cloud Identity è associato con una sola risorsa dell'organizzazione. Quando esiste una risorsa dell'organizzazione, è l'inizio della gerarchia di risorse Google Cloud e tutte le risorse che appartengono a un'organizzazione sono raggruppati sotto la risorsa organizzazione. Questo fornisce visibilità e controllo centralizzati su ogni risorsa appartenente risorsa dell'organizzazione.

Le risorse della cartella sono un ulteriore meccanismo di raggruppamento facoltativo dell'organizzazione e delle risorse di progetto. Una risorsa organizzazione è come prerequisito per l'utilizzo delle cartelle. Risorse delle cartelle e relativo asset figlio le risorse di progetto sono mappate sotto la risorsa organizzazione.

La gerarchia delle risorse di Google Cloud, soprattutto nella sua forma più completa che include risorse e cartelle dell'organizzazione, consente alle aziende per mappare la risorsa dell'organizzazione su Google Cloud e fornire un collegamento logico per i criteri di gestione degli accessi (IAM) e Criteri dell'organizzazione. Sia IAM i criteri dell'organizzazione e quelli ereditati attraverso la gerarchia e Il criterio per ogni risorsa nella gerarchia è il risultato dei criteri applicata alla risorsa e ai criteri ereditati dai predecessori.

Il diagramma seguente rappresenta un esempio di gerarchia delle risorse Google Cloud la sua forma completa:

La risorsa organizzazione

La risorsa organization (organizzazione) rappresenta un'organizzazione (ad esempio un'azienda) ed è il nodo radice Gerarchia delle risorse di Google Cloud, se presente. La risorsa organizzazione è il predecessore gerarchico delle risorse di cartelle e progetti. La Criteri di controllo dell'accesso IAM applicati alla risorsa dell'organizzazione si applicano in tutta la gerarchia a tutte le risorse dell'organizzazione.

Non è necessario che gli utenti Google Cloud dispongano di una risorsa organizzazione alcune funzionalità di Resource Manager non saranno utilizzabili senza una. L'organizzazione è strettamente associata a un Google Workspace o Cloud Identity . Quando un utente con un account Google Workspace o Cloud Identity crea una risorsa di progetto Google Cloud, una risorsa dell'organizzazione, automaticamente il provisioning.

Un account Google Workspace o Cloud Identity può averne solo uno risorsa dell'organizzazione di cui è stato eseguito il provisioning. Una volta che una risorsa organizzazione create per un dominio, tutte le nuove risorse Per impostazione predefinita, i membri del dominio dell'account apparterranno all'organizzazione risorsa. Quando un utente gestito crea una risorsa di progetto, il requisito è che deve trovarsi in una risorsa dell'organizzazione. Se un utente specifica dell'organizzazione e dispongono delle autorizzazioni giuste, il progetto assegnate a quell'organizzazione. In caso contrario, verrà usata l'organizzazione per impostazione predefinita. risorsa a cui è associato l'utente. Impossibile per gli account associati a una risorsa dell'organizzazione per creare risorse di progetto che non sono associate con una risorsa dell'organizzazione.

Eseguire il collegamento agli account Google Workspace o Cloud Identity

Per semplicità, faremo riferimento a Google Workspace, ovvero Utenti di Google Workspace e Cloud Identity.

L'account Google Workspace o Cloud Identity rappresenta un dell'azienda ed è un prerequisito per avere accesso alla risorsa dell'organizzazione. Nella contesto di Google Cloud, offre gestione delle identità, il meccanismo di attenzione, la proprietà e la gestione del ciclo di vita. L'immagine di seguito mostra il link tra l'account Google Workspace, Cloud Identity della gerarchia delle risorse Google Cloud.

Il super amministratore di Google Workspace è la persona responsabile del dominio verifica della proprietà e il contatto in caso di recupero. Per questo motivo, al super amministratore di Google Workspace viene concessa la possibilità di assegnare i ruoli IAM per impostazione predefinita. Il super amministratore di Google Workspace il compito principale di Google Cloud è assegnare Ruolo IAM Amministratore per gli utenti appropriati nel loro dominio. Questo creerà la separazione tra Google Workspace e Google Cloud e le responsabilità amministrative tipiche degli utenti.

Vantaggi della risorsa organizzazione

Con una risorsa dell'organizzazione, le risorse di progetto appartengono alla tua organizzazione anziché in base al dipendente che ha creato il progetto. Ciò significa che il progetto le risorse non vengono più eliminate quando un dipendente lascia l'azienda; invece e seguiranno il ciclo di vita delle risorse dell'organizzazione su Google Cloud.

Inoltre, gli amministratori dell'organizzazione hanno il controllo centrale di tutte le risorse. Possono visualizzare e gestire tutte le risorse di progetto della tua azienda. Questo e l'applicazione forzata non possono più esistere progetti shadow o amministratori non autorizzati.

Inoltre, puoi concedere ruoli a livello di organizzazione, che vengono ereditati da tutti della risorsa di progetto e cartella nella risorsa dell'organizzazione. Ad esempio, può concedere il ruolo Amministratore di rete al team di networking dell'organizzazione livello, consentendo di gestire tutte le reti di tutte le risorse di progetto all'azienda, invece di concedere il ruolo per tutte le risorse del progetto.

Una risorsa organizzazione esposta dall'API Cloud Resource Manager è composta da: seguenti:

• Un ID risorsa organizzazione, che è un identificatore univoco di un'organizzazione.
• Un nome visualizzato, generato dal nome di dominio principale in Google Workspace o Cloud Identity.
• L'ora di creazione della risorsa organizzazione.
• L'ora dell'ultima modifica della risorsa organizzazione.
• Il proprietario della risorsa organizzazione. Il proprietario viene specificato durante la creazione la risorsa dell'organizzazione. Una volta impostato, non può essere modificato. È la all'ID cliente di Google Workspace specificato API Directory.

Il seguente snippet di codice mostra la struttura di una risorsa dell'organizzazione:

{
  "creationTime": "2020-01-07T21:59:43.314Z",
  "displayName": "my-organization",
  "lifecycleState": "ACTIVE",
  "name": "organizations/34739118321",
  "owner": {
    "directoryCustomerId": "C012ba234"
  }
}

Il criterio IAM iniziale per una risorsa organizzazione appena creata assegna i ruoli Autore progetto e Creatore account di fatturazione all'intero dominio Google Workspace. Ciò significa che gli utenti potranno continuare creando risorse di progetto e account di fatturazione come della risorsa dell'organizzazione. Non vengono create altre risorse quando della risorsa dell'organizzazione.

La risorsa cartella

Le risorse della cartella facoltativamente forniscono un meccanismo di raggruppamento aggiuntivo e l'isolamento tra i progetti. Possono essere viste come organizzazioni secondarie all'interno della risorsa dell'organizzazione. Le risorse della cartella possono essere utilizzate persone giuridiche, reparti, e team diversi all'interno di un'azienda. Ad esempio: un primo livello di risorse delle cartelle potrebbe essere utilizzato per rappresentare reparti della tua organizzazione. Poiché le risorse della cartella possono contenere e altre cartelle, ogni risorsa della cartella potrebbe includere e altre sottocartelle per rappresentare team diversi. Ogni cartella del team può contenere in altre sottocartelle per rappresentare applicazioni diverse. Per maggiori dettagli sull'utilizzo delle risorse delle cartelle, vedi Creazione e gestione delle risorse delle cartelle.

Se nella risorsa dell'organizzazione esistono risorse di cartelle e disponi di autorizzazioni di visualizzazione, puoi visualizzarle nella console Google Cloud. Per maggiori informazioni istruzioni dettagliate, vedi Visualizzazione o elenco delle risorse di cartelle e progetti.

Le risorse delle cartelle consentono la delega dei diritti di amministrazione. Ad esempio, ogni a capo di un reparto può ottenere la proprietà completa di tutti e le risorse che appartengono ai rispettivi reparti. Analogamente, l'accesso alle risorse essere limitata dalla risorsa cartella, in modo che gli utenti di un reparto possano accedere e le risorse Google Cloud all'interno della risorsa della cartella.

Il seguente snippet di codice mostra la struttura di una risorsa cartella:

{
  "createTime": "2030-01-07T21:59:43.314Z",
  "displayName": "Engineering",
  "lifecycleState": "ACTIVE",
  "name": "folders/634792535758",
  "parent": "organizations/34739118321"
}

Al pari delle risorse dell'organizzazione e dei progetti, le risorse delle cartelle fungono da criterio punto di ereditarietà per i criteri IAM e dell'organizzazione. I ruoli IAM concessi per una risorsa cartella vengono automaticamente ereditati da tutte le risorse di progetto e cartelle incluse in quella cartella.

La risorsa del progetto

La risorsa del progetto è l'entità organizzativa di livello base. Organizzazione e delle risorse della cartella può contenere più progetti. La risorsa di progetto è obbligatoria Google Cloud e costituisce la base per creare, abilitare e utilizzare tutte i servizi Google Cloud, gestione delle API, abilitazione della fatturazione, aggiunta e rimuovere collaboratori e gestire le autorizzazioni.

Tutte le risorse del progetto sono costituite da quanto segue:

• Due identificatori:
  1. ID risorsa del progetto, che è un identificatore univoco del progetto risorsa.
  2. Numero di risorsa del progetto, che viene assegnato automaticamente quando crei del progetto. È di sola lettura.
• Un nome visualizzato modificabile.
• lo stato del ciclo di vita della risorsa del progetto; ad esempio ATTIVO o DELETE_REQUESTED.
• Una raccolta di etichette che possono essere utilizzate per filtrare i progetti.
• L'ora in cui è stata creata la risorsa del progetto.

Il seguente snippet di codice mostra la struttura di una risorsa di progetto:

{
  "createTime": "2020-01-07T21:59:43.314Z",
  "lifecycleState": "ACTIVE",
  "name": "my-project",
  "parent": {
    "id": "634792535758",
    "type": "folder"
  },
  "projectId": "my-project",
  "labels": {
     "my-label": "prod"
  },
  "projectNumber": "464036093014"
}

Per interagire con la maggior parte delle risorse Google Cloud, devi fornire le informazioni identificative sulle risorse del progetto per ogni richiesta. Puoi identificare di una risorsa di progetto in due modi: tramite un ID risorsa del progetto o numero di risorsa (projectId e projectNumber nello snippet di codice).

L'ID risorsa del progetto è il nome personalizzato che hai scelto al momento della creazione risorsa di progetto. Se attivi un'API che richiede una risorsa di progetto, ti verrà chiesto di creare una risorsa di progetto o di selezionarne una utilizzando e l'ID risorsa del progetto. Tieni presente che la stringa name, visualizzata nei tag UI, non corrisponde all'ID risorsa del progetto).

Una risorsa di progetto viene generato automaticamente da Google Cloud. Sia il progetto e il numero di risorse del progetto sono disponibili nella dashboard di progetto nella console Google Cloud. Per informazioni su come ottenere identificatori e altre attività di gestione per le risorse di progetto, vedi Creazione e gestione delle risorse di progetto.

Il criterio IAM iniziale per la risorsa di progetto appena creata concede il ruolo di proprietario all'autore del progetto.

Eredità dei criteri IAM

Google Cloud offre IAM, che consente di assegnare un accesso granulare a specifiche risorse Google Cloud ed evitare ad altre risorse. IAM consente di controllare chi (utenti) ha quale accesso (ruoli) a quali risorse impostando IAM i criteri sulle risorse.

Puoi impostare un criterio IAM a livello di organizzazione, a livello di cartella, a livello di progetto o (in alcuni casi) a livello di risorsa. Le risorse figlio ereditano i criteri della risorsa padre. Se imposti un criterio su a livello di organizzazione, viene ereditato da tutte le cartelle secondarie e dal progetto risorse e, se imposti un criterio a livello di progetto, viene ereditato da tutte e delle relative risorse figlio.

Il criterio effettivo per una risorsa è l'unione del criterio impostato nella risorsa e il criterio ereditato dai relativi predecessori. Questa ereditarietà è transitiva. In altre parole, le risorse ereditano i criteri dal progetto, ereditare i criteri dalla risorsa dell'organizzazione. Pertanto, i criteri a livello di risorsa organizzazione si applicano anche a livello di risorsa.

Ad esempio, nel diagramma della gerarchia delle risorse riportato sopra, se imposti un criterio su cartella "Reparto Y" che concede il ruolo di Editor di progetto a [email protected], Roberto avrà il ruolo di editor nei progetti "Progetto di sviluppo", "Test project" (Progetto di test) e "Progetto di produzione". Al contrario, se assegni [email protected] il Ruolo Amministratore istanza per il progetto "Progetto di test", potrà eseguire solo e gestire le istanze di Compute Engine nel progetto.

I ruoli vengono sempre ereditati e non è possibile rimuovere esplicitamente un per una risorsa di livello inferiore, concessa a un livello superiore nella gerarchia delle risorse. Dato l'esempio precedente, anche se rimuovessi il il ruolo Editor di progetto di Roberto nel "Progetto di test" che erediterà comunque. il ruolo del "reparto Y" cartella, quindi avrebbe ancora le autorizzazioni per quel ruolo in "Progetto di test".

La gerarchia dei criteri IAM segue lo stesso percorso della della gerarchia delle risorse Google Cloud. Se modifichi la gerarchia delle risorse, modifiche alla gerarchia dei criteri. Ad esempio, quando sposti un progetto risorsa organizzazione aggiornerà il criterio IAM del progetto in eredita dal criterio IAM della risorsa dell'organizzazione. Analogamente, il trasferimento di una risorsa di progetto da una risorsa cartella a un'altra influirà autorizzazioni ereditate. Autorizzazioni ereditate dalla risorsa di progetto della risorsa padre originale andrà persa quando la risorsa di progetto spostati in una nuova risorsa cartella. Autorizzazioni impostate nella cartella di destinazione verrà ereditata dalla risorsa del progetto al momento del trasferimento.