Verwaltungsgrenzen – Übersicht

In diesem Dokument werden Verwaltungsgrenzen und Funktionskonfigurationen in Resource Manager vorgestellt. Verwaltungsgrenzen legen dynamische, tagbasierte administrative Perimeter für mehrere Google Cloud -Projekte fest. So können Sie die Governance und Erkennung von einem bestimmten Verwaltungsprojekt aus zentral steuern.

Verwaltungsgrenzen und das Hub-and-Spoke-Modell

Zusätzlich zur statischen Ordnerhierarchie unterstützt Resource Manager ein dynamisches, nach Tags partitioniertes Hub-and-Spoke-Verwaltungsmodell:

  • Verwaltungsprojekt (Hub): Ein zentrales Google Cloud -Projekt, das die Steuerungsebene, Verwaltungs-APIs, Metadaten und projektübergreifende Ansichten für Dienste hostet, die in einem CapabilityConfig aktiviert sind.
  • Mitgliedsprojekte (Spokes): Google Cloud Projekte in Ordnern oder der Organisation, die Arbeitslasten, Dienste und Ressourcen enthalten. Projekte werden einer Grenze dynamisch hinzugefügt, wenn Sie übereinstimmende Ressourcen-Tags anhängen.

Bei diesem Modell werden administrative Verwaltungsbereiche von der physischen Ordnerhierarchie entkoppelt, was eine ordnerübergreifende Governance für verteilte Teams und Multi-Projekt-Architekturen ermöglicht.

Wichtige Ressourcen

Tag-basierte Verwaltungsgrenzen können entweder auf Organisations- oder Ordnerebene mit drei Resource Manager-Ressourcen definiert werden:

  • Grenzkonfiguration (BoundaryConfig): Wird auf Organisations- oder Ordnerebene definiert. Legt den Partitionierungs-Tag-Schlüssel (z. B. 123456789012/env) fest, der zum Klassifizieren von Mitgliedsprojekten verwendet wird. Wenn kein Tag-Schlüssel konfiguriert ist, umfasst eine Grenze unter diesem übergeordneten Element alle untergeordneten Projekte.
  • Grenze (Boundary): Eine logische Partition innerhalb einer Organisation oder eines Ordners. Projekte mit übereinstimmenden effektiven Tag-Werten (z. B. env=prod) oder alle untergeordneten Projekte, wenn kein Tag-Schlüssel für das übergeordnete BoundaryConfig konfiguriert ist, werden dynamisch in die Grenze einbezogen.
  • Funktionskonfiguration (CapabilityConfig): Wird auf Organisations-, Ordner- oder Projektebene definiert. Auf Organisations- oder Ordnerebene werden eine oder mehrere Grenzen mit einem bestimmten Verwaltungsprojekt verknüpft und die im Perimeter aktivierten Verwaltungsfunktionen angegeben. Auf Projektebene ermöglicht sie die Verwaltung eines einzelnen eigenständigen Projekts ohne Einschränkungen.

Unterstützte Funktionen

Funktionskonfigurationen unterstützen die folgenden Verwaltungsoptionen:

  • AGENT_MANAGEMENT (gcloud CLI: agent-management): Ermöglicht die zentrale Erkennung, Identitätsregistrierung und projektübergreifende Agent-Governance in der Agent Registry.

Dynamische Mitgliedschaft und Tag-Übernahme

Die Projektmitgliedschaft in einer Grenze wird dynamisch aktualisiert, wenn sich Tags und die Ressourcenhierarchie ändern:

  1. Tag-Bindung: Wenn Sie einen übereinstimmenden Tag-Wert an ein Projekt binden, wird das Projekt sofort in die Grenze aufgenommen. Wenn die Grenze mit einem CapabilityConfig verknüpft ist, werden die in diesem CapabilityConfig aktivierten Dienste die Ressourcen des Projekts über das Verwaltungsprojekt des CapabilityConfig erkennen und verwalten.
  2. Tag-Übernahme: Tags, die an übergeordnete Ordner oder Organisationen angehängt sind, werden von untergeordneten Projekten übernommen. Untergeordnete Projekte übernehmen die Mitgliedschaft in der Begrenzung, sofern sie nicht explizit mit einem anderen Tag-Wert überschrieben wird.
  3. Tag-Entfernung oder -Aktualisierung: Wenn Sie die Bindung eines Projekt-Tags aufheben oder das Tag ändern, wird das Projekt aus der Begrenzung entfernt, ohne dass die zugrunde liegende Infrastruktur gelöscht wird.
  4. Änderungen am Lebenszyklus von Projekten und Ordnern: Wenn ein Projekt erstellt, wiederhergestellt oder in den Ordner oder die Organisation verschoben wird (direkt oder im Rahmen einer Ordnerverschiebung) und die Kriterien der Grenze erfüllt (übereinstimmender Tag-Filter oder kein Tag-Schlüssel für das übergeordnete BoundaryConfig konfiguriert), wird es automatisch in die Grenze aufgenommen. Wenn ein Projekt gelöscht oder verschoben wird, wird es automatisch aus der Grenze entfernt.

Innerhalb eines einzelnen übergeordneten Ordners oder einer einzelnen übergeordneten Organisation schließen sich Grenzen gegenseitig aus. Da die BoundaryConfig eines übergeordneten Knotens einen einzelnen Tag-Schlüssel verwendet und ein Projekt nur einen effektiven Tag-Wert pro Tag-Schlüssel haben kann, kann ein Projekt höchstens zu einer Grenze pro übergeordnetem Knoten gehören. Wenn Sie Grenzen für mehrere übergeordnete Knoten in der Ressourcenhierarchie konfigurieren (z. B. für eine Organisation und einen untergeordneten Ordner), kann ein untergeordnetes Projekt auf jeder übergeordneten Ebene höchstens zu einer Grenze gehören.

Nächste Schritte