Présentation des limites de gestion

Ce document présente les limites de gestion et les configurations de fonctionnalités dans Resource Manager. Les limites de gestion établissent des périmètres d'administration dynamiques basés sur des tags dans plusieurs projets Google Cloud , ce qui permet une gouvernance et une découverte centralisées à partir d'un projet de gestion désigné.

Limites de gestion et modèle hub-and-spoke

En plus du confinement statique de la hiérarchie des dossiers, Resource Manager est compatible avec un modèle de gestion hub-and-spoke dynamique partitionné par tag :

  • Projet de gestion (hub) : projet Google Cloud centralisé qui héberge le plan de contrôle, les API de gestion, les métadonnées et les vues multiprojets pour les services activés dans unCapabilityConfig.
  • Projets membres (spokes) : Google Cloud projets répartis dans des dossiers ou dans l'organisation qui contiennent des charges de travail, des services et des ressources. Les projets rejoignent une limite de manière dynamique lorsque vous associez des tags de ressources correspondants.

Ce modèle dissocie les champs d'application de la gestion administrative de la hiérarchie physique des dossiers, ce qui permet une gouvernance entre les dossiers pour les équipes distribuées et les architectures multiprojets.

Ressources principales

Les limites de gestion basées sur les tags peuvent être définies au niveau de l'organisation ou du dossier à l'aide de trois ressources Resource Manager :

  • Configuration de la limite (BoundaryConfig) : définie au niveau de l'organisation ou du dossier. Établit la clé de tag de partitionnement (par exemple, 123456789012/env) utilisée pour classer les projets membres. Si aucune clé de tag n'est configurée, une limite sous ce parent inclut tous les projets descendants.
  • Limite (Boundary) : partition logique au sein d'une organisation ou d'un dossier. Les projets dont les valeurs de tag effectives correspondent (par exemple, env=prod) ou tous les projets descendants lorsqu'aucune clé de tag n'est configurée sur le BoundaryConfig parent sont inclus de manière dynamique dans la limite.
  • Configuration des fonctionnalités (CapabilityConfig) : définie au niveau de l'organisation, du dossier ou du projet. Au niveau de l'organisation ou du dossier, elle associe une ou plusieurs limites à un projet de gestion désigné et spécifie les fonctionnalités de gestion activées dans le périmètre. Au niveau du projet, il permet de gérer un seul projet autonome sans limites.

Fonctionnalités proposées

Les configurations de fonctionnalités sont compatibles avec les expériences de gestion suivantes :

  • AGENT_MANAGEMENT (gcloud CLI : agent-management) : active la découverte centralisée, le registre d'identités et la gouvernance des agents multiprojets dans le registre d'agents.

Appartenance dynamique et héritage des tags

L'appartenance d'un projet à une limite est mise à jour de manière dynamique en réponse aux modifications apportées aux tags et à la hiérarchie des ressources :

  1. Liaison de tag : lorsque vous associez une valeur de tag correspondante à un projet, celui-ci rejoint immédiatement la limite. Si la limite est associée à un CapabilityConfig, les services activés dans ce CapabilityConfig découvrent et gèrent les ressources du projet via le projet de gestion du CapabilityConfig.
  2. Héritage des tags : les tags associés aux dossiers ou organisations parents sont hérités par les projets enfants. Les projets enfants héritent de l'appartenance à la limite, sauf s'ils sont explicitement remplacés par une valeur de tag différente.
  3. Suppression ou mise à jour d'un tag : lorsque vous dissociez ou modifiez le tag d'un projet, le projet est supprimé de la limite sans que l'infrastructure sous-jacente ne soit supprimée.
  4. Modifications du cycle de vie des projets et des dossiers : lorsqu'un projet est créé, restauré ou déplacé dans le dossier ou l'organisation (directement ou dans le cadre d'un déplacement de dossier) et qu'il correspond aux critères de limite (filtre de tag correspondant ou aucune clé de tag configurée sur le BoundaryConfig parent), il est automatiquement inclus dans la limite. Lorsqu'un projet est supprimé ou déplacé, il est automatiquement supprimé de la limite.

Dans un même dossier ou une même organisation parent, les limites s'excluent mutuellement. Étant donné que le BoundaryConfig d'un nœud parent utilise une seule clé de tag et qu'un projet ne peut avoir qu'une seule valeur de tag effective par clé de tag, un projet peut appartenir à une limite au maximum par nœud parent. Si vous configurez des limites sur plusieurs nœuds ancêtres dans la hiérarchie des ressources (par exemple, sur une organisation et un dossier enfant), un projet descendant peut appartenir à une limite au maximum à chaque niveau d'ancêtre.

Étapes suivantes