将 Cloud Identity 设置为 Google Cloud 管理员
本文档介绍如何设置 Cloud Identity 并成为可以管理用户和资源的 Google Cloud 管理员 Google Cloud 。创建资源层次结构时，设置 Cloud Identity 是首先要执行的步骤之一 Google Cloud 资源 层次结构。
如要详细了解这两版服务之间的区别，请参阅 Cloud Identity 功能和版本对比。
要求
- Cloud Identity 免费版：您需要贵公司的域名以及 域名注册商网站管理员的用户名和密码才能开始操作。
- Cloud Identity 专业版：您需要贵公司的域名才能 开始操作，或者在注册过程中购买一个域名。
- Cloud Identity 免费版和专业版提供身份管理功能，但不提供 Workspace Gmail 收件箱托管服务。如需接收系统通知 （例如 Google Cloud 项目迁移邀请），客户的域名 必须具有有效的外部电子邮件服务，或者为其管理员电子邮件地址配置了邮件转发 。
注册 Cloud Identity 免费版
如果您是 Google Workspace 客户
使用管理员账号登录 Google 管理控制台。
如果您使用的不是管理员账号，则无法访问管理控制台。
依次点击结算 > 购买或升级。
请确保您拥有 结算管理 管理员权限。
在类别 中，点击 Cloud Identity 。
在 Cloud Identity 免费版 中，点击 开始使用。
按照引导说明操作。
如果您不是 Google Workspace 客户
- 前往以下注册页面： https://workspace.google.com/gcpidentity/signup?sku=identitybasic
- 按照引导说明操作。
注册 Cloud Identity 专业版
如果您是 Google Workspace 客户
使用管理员账号登录 Google 管理控制台。
如果您使用的不是管理员账号，则无法访问管理控制台。
依次点击结算 > 购买或升级。
请确保您拥有 结算管理 管理员权限。
点击 Cloud Identity 。
点击 Cloud Identity 专业版旁边的开始免费试用。
按照引导说明操作。
如果您不是 Google Workspace 客户
- 前往以下注册页面： https://workspace.google.com/gcpidentity/signup?sku=identitypremium
- 按照引导说明操作。
创建 Cloud Identity 账号和首个管理员用户
如需使用设置向导创建 Cloud Identity 账号和首个管理员用户，请按以下步骤操作：
- 在关于您自己 部分中的姓名 字段中，输入您的名字和姓氏。
在您目前用于办公的电子邮件地址 字段中，输入您的电子邮件 地址。
此电子邮件地址会用作辅助地址，必须与您要用作 Cloud Identity 管理员账号（按如下步骤创建）的地址区别开来。
在关于您的企业 部分中的 公司或组织名称 字段中，输入公司名称。
在国家/地区 列表中，选择相应的国家或区域。
如需设置域名，请点击下一步 。
在您的 Cloud Identity 域名 窗口中，添加您已为公司购买的域名。您稍后需要验证对此域名的所有权。
在创建 Cloud Identity 账号 窗口中，输入用户名和密码。此账号是您的 Cloud Identity 管理员账号，必须与您在第 2 步中输入的电子邮件地址区别开来。根据最佳做法，我们建议您按照以下格式输入用户名：
admin@example.com
如需了解关于验证域名的更多详细信息和说明，请参阅验证用于 Cloud Identity 的 域名。
恭喜！您已成功启用 Cloud Identity 并创建了您的第一个用户。
完成设置
您创建 Cloud Identity 账号并验证域名后， 系统会将您返回到 Google Cloud 控制台。您需要代表贵组织接受《Cloud Identity 协议》，才能继续操作。然后，系统会将您定向到身份 页面。
现在，您已获得功能齐全的 Cloud Identity 账号。不过，您也可以选择在控制台中完成一些其他设置步骤，如本文档中所述。
注意：日后，您可能会想返回到 Google 管理控制台添加 更多用户和创建群组。如需了解相关说明，请参阅管理 用户。
关于您的 Cloud Identity 组织
完成 Cloud Identity 服务的注册和设置步骤后，您就创建了自己的 Cloud Identity 组织。这会将 Cloud Identity 账号从管理控制台映射到 Google Cloud，并 可用于将您的所有项目分组，以便进行结算和管理。举例来说，您可以通过 Cloud Identity 组织设置权限，仅允许 Cloud Identity 用户访问项目。
创建 Google Cloud 组织资源的超级管理员会被分配 组织管理员 角色，这让他们能够管理组织设置并在最高级别分配 政策。
迁移项目和结算账号并设置权限
重要提示：
- 请通过您的非管理员 Google Cloud 账号完成第 1 - 2 步。此账号一般是个人 Gmail 账号。
- 请通过您的 Cloud Identity 管理员账号完成第 3 - 6 步。
如需从以前的账号中迁移内容，请按以下步骤操作：
第 1 步：授予对结算账号的访问权限
请按照以下步骤从您的 Cloud Identity 组织以外的账号中，将项目和结算账号迁移到新的 Cloud Identity 组织。我们建议您在单独的标签页中打开此页面 以便在完成这些步骤时用作参考。
- 登录其中有您要关联的现有 结算账号的 Google Cloud 账号。
- 授权您的 Cloud Identity 组织管理员访问此结算账号。
- 转到左侧的导航菜单，打开结算 。
- 转到您要关联的结算账号。
- 将您的 Cloud Identity 的组织管理员添加为 “结算管理员”。
第 2 步：授予对项目的访问权限
您可以逐个授予项目访问权限，也可以通过批量 授权界面来授予权限。按照第 1 步可逐个授予权限，而 按照第 2 步则可以批量授权。
- 向组织管理员授予项目“Owner”的访问权限。
转到您要迁移的项目的 IAM 和管理 页面，将组织管理员的账号添加为 Owner。 - 设置批量权限（可选）。
转到 IAM 和管理 部分，点击 左侧导航菜单中的 管理资源 或 所有项目 。在“管理资源”视图中，选择要迁移的所有 项目，然后使用 Identity and Access Management (IAM) 面板将您的新账号添加为这些 项目的 Owner。
第 3 步：登录您的 Cloud Identity 账号， 并接受项目邀请
登录您的 Cloud Identity 账号，并查看您的 电子邮件。
对于您要迁移的项目，您必须接受系统通过电子邮件向您的新账号发送的项目 邀请。请务必针对您要迁移的每一个项目，点击各电子邮件中的链接 。
第 4 步：转到 Google Cloud，使用您的 Cloud Identity 账号登录，并移除访问权限
- 移除对结算账号的访问权限。
转到您通过旧账号关联的结算账号，并移除您公司网域以外的任何用户账号（包括您的“@gmail.com”账号）的访问权限。 - 移除对项目的访问权限。
- 转到 IAM 和管理 页面，点击 管理资源。
- 在管理资源页面中，从过滤器控件旁边的下拉列表中选择无组织。
- 来自您的旧账号的项目会显示黄色 警告图标。请选择这些项目，并使用“IAM” 面板移除您公司网域以外的任何账号（包括您的“@gmail.com”账号）的访问权限。
第 5 步：迁移项目
- 转到 IAM 和管理 部分，点击 管理资源。
- 在“管理资源”页面中，从 过滤器控件旁边的下拉列表中选择无组织。来自您的旧 账号的项目会显示黄色警告图标。
- 选择来自您的旧账号的这些项目，然后点击顶部栏中的迁移 ，或点击各个项目所显示的图标。
迁移完毕后，您的项目会移到您的 贵公司的组织。您必须将无组织 下拉列表切换为您公司的组织，然后才能查看项目。
第 6 步：设置权限
- 转到 IAM 和管理 部分，从顶部栏中的下拉列表中选择您的 组织。这样一来，您就可以针对组织中的所有项目设置 IAM 权限。
- 在“IAM”页面添加您的管理员用户，并为其分配适当的角色
如需了解详情，您也可以参阅 在配置权限 Google Cloud。
激活 Cloud Billing 帐号
免费试用用户：设置 Cloud Identity 后，请查看您的可结算 状态，以验证您是否还有剩余的免费试用额度。免费试用优惠结束后，您可以激活完整的付费 Cloud Billing 账号 以便继续使用 Google Cloud 需要 Cloud Billing 帐号的资源。如需详细了解免费试用，请参阅免费 云功能和试用优惠。
问题排查步骤
使用域名注册 Cloud Identity 时，您可能会遇到以下某条错误消息。请根据您收到的消息，尝试采用相应的解决方案。
“此域名已被使用。”
如果您在尝试注册 Cloud Identity 时收到此消息，可能是因为：
- 您已拥有采用此域名的 Google Workspace 账号，并尝试通过营销页面或第三方注册 Cloud Identity 专业版。请改为在 Google 管理控制台的“结算”部分使用相应域名注册 Cloud Identity 专业版。了解详情。
- 您已经通过使用相应域名注册 Cloud Identity 免费版账号，并尝试通过营销页面或第三方注册 Cloud Identity 专业版。 Google Cloud 请改为在 Google 管理控制台的“结算”部分使用相应域名注册 Cloud Identity 专业版。了解详情。
- 您最近从其他 Google 账号中移除了相应域名，因此可能需要等待 24 小时（如果您是通过第三方购买的账号，则可能需要等待 7 天）才能用其注册新账号。
- 您自己或者您组织中的某个人已经使用您的域名创建了 Cloud Identity 或 Google Workspace 账号。请尝试重置管理员密码。之后，我们会向您注册时提供的辅助电子邮件地址发送一封电子邮件，详细说明如何访问该账号。
- 您拥有的其他 Cloud Identity 账号正在使用此域名。如果是这种情况，请从其他账号中移除此域名。
“此域名已经注册，目前正处于所有权验证阶段。”
“此域名尚不存在。”
您之所以收到这条错误消息，是因为此域名尚未通过域名托管服务商进行注册。
如果您已经通过域名托管服务商注册您的域名，请检查您输入的域名是否与注册的名称一致。请注意，WHOIS 目录最多可能需要 72 小时才能更新域名所有权信息。
“Cloud Identity 目前不支持此域名。”
Cloud Identity 政策不支持您在尝试注册时使用的域名。请使用其他域名注册。