Descripción general de los límites de administración

En este documento, se presentan los límites de administración y las configuraciones de capacidades en Resource Manager. Los límites de administración establecen perímetros administrativos dinámicos basados en etiquetas en varios proyectos de Google Cloud , lo que permite la administración y el descubrimiento centralizados desde un proyecto de administración designado.

Límites de administración y el modelo de concentrador y radio

Además de la contención estática de la jerarquía de carpetas, Resource Manager admite un modelo de administración dinámico de concentrador y radio particionado por etiquetas:

  • Proyecto de administración (concentrador): Es un proyecto centralizado de Google Cloud que aloja el plano de control, las API de Management, los metadatos y las vistas entre proyectos para los servicios habilitados en un CapabilityConfig.
  • Proyectos miembros (radios): Son proyectos de Google Cloud en las carpetas o la organización que contienen cargas de trabajo, servicios y recursos. Los proyectos se unen a un límite de forma dinámica cuando adjuntas etiquetas de recursos que coinciden.

Este modelo separa los permisos de administración de la jerarquía de carpetas física, lo que permite la administración entre carpetas para equipos distribuidos y arquitecturas de varios proyectos.

Recursos principales

Los límites de administración basados en etiquetas se pueden definir a nivel de la organización o de la carpeta con tres recursos de Resource Manager:

  • Configuración de límites (BoundaryConfig): Se define a nivel de la organización o de la carpeta. Establece la clave de etiqueta de partición (por ejemplo, 123456789012/env) que se usa para clasificar los proyectos miembros. Si no se configura ninguna clave de etiqueta, un límite en ese elemento superior incluye todos los proyectos descendientes.
  • Límite (Boundary): Es una partición lógica dentro de una organización o carpeta. Los proyectos con valores de etiqueta efectivos que coincidan (por ejemplo, env=prod) o todos los proyectos descendientes cuando no se configura ninguna clave de etiqueta en el BoundaryConfig superior se incluyen de forma dinámica en el límite.
  • Configuración de la capacidad (CapabilityConfig): Se define a nivel de la organización, la carpeta o el proyecto. A nivel de organización o de carpeta, asocia uno o más límites con un proyecto de administración designado y especifica las capacidades de administración habilitadas en todo el perímetro. A nivel de proyecto, habilita las capacidades de administración para un solo proyecto independiente sin límites.

Funciones compatibles

Los parámetros de configuración de las capacidades admiten las siguientes experiencias de administración:

  • AGENT_MANAGEMENT (gcloud CLI: agent-management): Habilita el descubrimiento centralizado, el registro de identidades y la administración de agentes entre proyectos en el Registro de agentes.

Membresía dinámica y herencia de etiquetas

La pertenencia de un proyecto a un límite se actualiza de forma dinámica en respuesta a los cambios en la jerarquía de etiquetas y recursos:

  1. Vinculación de etiquetas: Cuando vinculas un valor de etiqueta coincidente a un proyecto, este se une de inmediato al límite. Si el límite está asociado con un CapabilityConfig, los servicios habilitados en ese CapabilityConfig descubren y administran los recursos del proyecto a través del proyecto de administración del CapabilityConfig.
  2. Herencia de etiquetas: Los proyectos secundarios heredan las etiquetas adjuntas a las carpetas o las organizaciones superiores. Los proyectos secundarios heredan la membresía de límite, a menos que se anule de forma explícita con un valor de etiqueta diferente.
  3. Eliminación o actualización de etiquetas: Cuando desvinculas o cambias la etiqueta de un proyecto, este se quita del límite sin borrar la infraestructura subyacente.
  4. Cambios en el ciclo de vida de los proyectos y las carpetas: Cuando se crea, recupera o mueve un proyecto a la carpeta o la organización (directamente o como parte del traslado de una carpeta) y cumple con los criterios de límite (filtro de etiquetas coincidente o sin clave de etiqueta configurada en el BoundaryConfig superior), se incluye automáticamente en el límite. Cuando se borra o se mueve un proyecto, se quita automáticamente del límite.

Dentro de una sola organización o carpeta superior, los límites son mutuamente excluyentes. Debido a que el BoundaryConfig de un nodo superior usa una sola clave de etiqueta y un proyecto puede tener solo un valor de etiqueta efectivo por clave de etiqueta, un proyecto puede pertenecer como máximo a un límite por nodo superior. Si configuras límites en varios nodos principales en la jerarquía de recursos (por ejemplo, en una organización y una carpeta secundaria), un proyecto descendiente puede pertenecer, como máximo, a un límite en cada nivel principal.

¿Qué sigue?