Panoramica dei confini di gestione

Questo documento presenta i limiti di gestione e le configurazioni delle funzionalità in Resource Manager. I confini di gestione stabiliscono perimetri amministrativi dinamici basati su tag in più progetti Google Cloud , consentendo la governance e il rilevamento centralizzati da un progetto di gestione designato.

Limiti di gestione e modello hub and spoke

Oltre al contenimento statico della gerarchia delle cartelle, Resource Manager supporta un modello di gestione hub and spoke dinamico e partizionato per tag:

  • Progetto di gestione (hub): un progetto Google Cloud centralizzato che ospita il control plane, le API di gestione, i metadati e le visualizzazioni tra progetti per i servizi abilitati in un CapabilityConfig.
  • Progetti membri (spoke): Google Cloud progetti in cartelle o nell'organizzazione che contengono workload, servizi e risorse. I progetti si uniscono a un confine in modo dinamico quando colleghi i tag delle risorse corrispondenti.

Questo modello disaccoppia gli ambiti di gestione amministrativa dalla gerarchia delle cartelle fisiche, consentendo la governance tra cartelle per team distribuiti e architetture multiprogetto.

Risorse principali

I confini di gestione basati su tag possono essere definiti a livello di organizzazione o di cartella utilizzando tre risorse di Resource Manager:

  • Configurazione del perimetro (BoundaryConfig): definita a livello di organizzazione o cartella. Stabilisce la chiave tag di partizionamento (ad esempio, 123456789012/env) utilizzata per classificare i progetti membri. Se non è configurata alcuna chiave tag, un confine sotto l'elemento padre include tutti i progetti discendenti.
  • Confine (Boundary): una partizione logica all'interno di un'organizzazione o di una cartella. I progetti con valori dei tag effettivi corrispondenti (ad esempio, env=prod) o tutti i progetti discendenti quando non è configurata alcuna chiave tag sul BoundaryConfig padre vengono inclusi dinamicamente nel confine.
  • Configurazione delle funzionalità (CapabilityConfig): definita a livello di organizzazione, cartella o progetto. A livello di organizzazione o cartella, associa uno o più confini a un progetto di gestione designato e specifica le funzionalità di gestione abilitate nel perimetro. A livello di progetto, consente funzionalità di gestione per un singolo progetto autonomo senza confini.

Funzionalità supportate

Le configurazioni delle funzionalità supportano le seguenti esperienze di gestione:

  • AGENT_MANAGEMENT (gcloud CLI: agent-management): consente il discovery centralizzato, il registro delle identità e la Agent Governance tra progetti in Agent Registry.

Iscrizione dinamica ed ereditarietà dei tag

L'appartenenza di un progetto a un confine viene aggiornata dinamicamente in risposta alle modifiche dei tag e della gerarchia delle risorse:

  1. Associazione dei tag: quando associ un valore del tag corrispondente a un progetto, il progetto viene immediatamente aggiunto al perimetro. Se il confine è associato a un CapabilityConfig, i servizi abilitati in quel CapabilityConfig rilevano e gestiscono le risorse del progetto tramite il progetto di gestione del CapabilityConfig.
  2. Ereditarietà dei tag: i tag collegati alle cartelle o alle organizzazioni principali vengono ereditati dai progetti secondari. I progetti figlio ereditano l'appartenenza al confine, a meno che non venga eseguito l'override esplicito con un valore di tag diverso.
  3. Rimozione o aggiornamento dei tag: quando scolleghi o modifichi il tag di un progetto, il progetto viene rimosso dal confine senza eliminare l'infrastruttura sottostante.
  4. Modifiche al ciclo di vita di progetti e cartelle: quando un progetto viene creato, ne viene annullata l'eliminazione o viene spostato nella cartella o nell'organizzazione (direttamente o come parte di uno spostamento di cartelle) e corrisponde ai criteri del confine (filtro dei tag corrispondente o nessuna chiave tag configurata nell'elemento principale BoundaryConfig), viene incluso automaticamente nel confine. Quando un progetto viene eliminato o spostato, viene rimosso automaticamente dal perimetro.

All'interno di una singola cartella o organizzazione principale, i confini si escludono a vicenda. Poiché il BoundaryConfig di un nodo padre utilizza una singola chiave di tag e un progetto può avere un solo valore di tag effettivo per chiave di tag, un progetto può appartenere al massimo a un confine per nodo padre. Se configuri i confini su più nodi antenati nella gerarchia delle risorse (ad esempio, su un'organizzazione e una cartella secondaria), un progetto discendente può appartenere al massimo a un confine per ogni livello antenato.

Passaggi successivi