Ringkasan batas pengelolaan

Dokumen ini memperkenalkan batas pengelolaan dan konfigurasi kemampuan di Resource Manager. Batas pengelolaan menetapkan perimeter administratif dinamis berbasis tag di beberapa project Google Cloud , sehingga memungkinkan tata kelola dan penemuan terpusat dari project pengelolaan yang ditetapkan.

Batas pengelolaan dan model hub dan spoke

Selain penampungan hierarki folder statis, Resource Manager mendukung model pengelolaan hub-and-spoke dinamis yang dipartisi tag:

  • Project pengelolaan (Hub): Project Google Cloud terpusat yang menghosting bidang kontrol, API pengelolaan, metadata, dan tampilan lintas project untuk layanan yang diaktifkan di CapabilityConfig.
  • Project anggota (Spoke): Google Cloud project di seluruh folder atau organisasi yang berisi workload, layanan, dan resource. Project bergabung dengan batas secara dinamis saat Anda melampirkan tag resource yang cocok.

Model ini memisahkan cakupan pengelolaan administratif dari hierarki folder fisik, sehingga memungkinkan tata kelola lintas folder untuk tim terdistribusi dan arsitektur multi-project.

Referensi inti

Batas pengelolaan berbasis tag dapat ditentukan di tingkat organisasi atau folder menggunakan tiga resource Resource Manager:

  • Konfigurasi batas (BoundaryConfig): Ditentukan di tingkat organisasi atau folder. Menetapkan kunci tag partisi (misalnya, 123456789012/env) yang digunakan untuk mengklasifikasikan project anggota. Jika tidak ada kunci tag yang dikonfigurasi, batas di bawah induk tersebut akan mencakup semua project turunan.
  • Batas (Boundary): Partisi logis dalam organisasi atau folder. Project dengan nilai tag efektif yang cocok (misalnya, env=prod), atau semua project turunan jika tidak ada kunci tag yang dikonfigurasi pada BoundaryConfig induk, akan disertakan secara dinamis dalam batasan.
  • Konfigurasi kemampuan (CapabilityConfig): Ditentukan di tingkat organisasi, folder, atau project. Di tingkat organisasi atau folder, resource ini mengaitkan satu atau beberapa batasan dengan project pengelolaan yang ditetapkan dan menentukan kemampuan pengelolaan yang diaktifkan di seluruh perimeter. Di level project, kebijakan ini memungkinkan kemampuan pengelolaan untuk satu project mandiri tanpa batasan.

Kemampuan yang didukung

Konfigurasi kemampuan mendukung pengalaman pengelolaan berikut:

  • AGENT_MANAGEMENT (gcloud CLI: agent-management): Mengaktifkan penemuan terpusat, registry identitas, dan tata kelola agen lintas project di Agent Registry.

Keanggotaan dinamis dan pewarisan tag

Keanggotaan project dalam batasan diperbarui secara dinamis sebagai respons terhadap perubahan tag dan hierarki resource:

  1. Binding tag: Saat Anda mengikat nilai tag yang cocok ke project, project tersebut akan segera bergabung dengan batas. Jika batas dikaitkan dengan CapabilityConfig, layanan yang diaktifkan di CapabilityConfig tersebut akan menemukan dan mengelola resource project melalui project pengelolaan CapabilityConfig.
  2. Pewarisan tag: Tag yang dilampirkan ke folder atau organisasi induk diwarisi oleh project turunan. Project turunan mewarisi keanggotaan batas kecuali jika diganti secara eksplisit dengan nilai tag yang berbeda.
  3. Penghapusan atau pembaruan tag: Saat Anda membatalkan pengikatan atau mengubah tag project, project akan dihapus dari batas tanpa menghapus infrastruktur yang mendasarinya.
  4. Perubahan siklus proses project dan folder: Saat project dibuat, dibatalkan penghapusannya, atau dipindahkan ke folder atau organisasi (secara langsung atau sebagai bagian dari pemindahan folder) dan cocok dengan kriteria batas (filter tag yang cocok, atau tidak ada kunci tag yang dikonfigurasi pada BoundaryConfig induk), project tersebut otomatis disertakan dalam batas. Saat project dihapus atau dipindahkan, project tersebut akan otomatis dihapus dari batas.

Dalam satu folder atau organisasi induk, batas bersifat eksklusif. Karena BoundaryConfig node induk menggunakan satu kunci tag dan project hanya dapat memiliki satu nilai tag efektif per kunci tag, project dapat menjadi bagian dari maksimal satu batas per node induk. Jika Anda mengonfigurasi batasan pada beberapa node ancestor dalam hierarki resource (misalnya, pada organisasi dan folder turunan), project turunan dapat menjadi bagian dari maksimal satu batasan di setiap level ancestor.

Langkah berikutnya