Visão geral dos limites de gerenciamento

Neste documento, apresentamos os limites de gerenciamento e as configurações de capacidade no Resource Manager. Os limites de gerenciamento estabelecem perímetros administrativos dinâmicos baseados em tags em vários projetos do Google Cloud , permitindo governança e descoberta centralizadas em um projeto de gerenciamento designado.

Limites de gerenciamento e o modelo hub e spoke

Além da contenção de hierarquia de pastas estáticas, o Resource Manager oferece suporte a um modelo de gerenciamento hub-and-spoke dinâmico e particionado por tags:

  • Projeto de gerenciamento (hub): um projeto do Google Cloud centralizado que hospeda o plano de controle, as APIs de gerenciamento, os metadados e as visualizações entre projetos para serviços ativados em um CapabilityConfig.
  • Projetos membros (Spokes): Google Cloud projetos em pastas ou na organização que contêm cargas de trabalho, serviços e recursos. Os projetos entram em um limite dinamicamente quando você anexa tags de recursos correspondentes.

Esse modelo separa os escopos de gerenciamento administrativo da hierarquia de pastas físicas, permitindo a governança entre pastas para equipes distribuídas e arquiteturas de vários projetos.

Recursos principais

Os limites de gerenciamento baseados em tags podem ser definidos no nível da organização ou da pasta usando três recursos do Resource Manager:

  • Configuração de limite (BoundaryConfig): definida no nível da organização ou da pasta. Estabelece a chave de tag de particionamento (por exemplo, 123456789012/env) usada para classificar os projetos membros. Se nenhuma chave de tag estiver configurada, um limite sob esse pai incluirá todos os projetos descendentes.
  • Limite (Boundary): uma partição lógica em uma organização ou pasta. Os projetos com valores de tag efetivos correspondentes (por exemplo, env=prod) ou todos os projetos descendentes quando nenhuma chave de tag está configurada no BoundaryConfig pai são incluídos dinamicamente no limite.
  • Configuração de recurso (CapabilityConfig): definida no nível da organização, da pasta ou do projeto. No nível da organização ou da pasta, ele associa um ou mais limites a um projeto de gerenciamento designado e especifica os recursos de gerenciamento ativados em todo o perímetro. No nível do projeto, ele permite recursos de gerenciamento para um único projeto independente sem limites.

Recursos compatíveis

As configurações de recursos são compatíveis com as seguintes experiências de gerenciamento:

  • AGENT_MANAGEMENT (CLI gcloud: agent-management): permite a descoberta centralizada, o registro de identidade e a governança de agentes entre projetos no Agent Registry.

Associação dinâmica e herança de tags

A associação do projeto em um limite é atualizada dinamicamente em resposta a mudanças na tag e na hierarquia de recursos:

  1. Vinculação de tag: quando você vincula um valor de tag correspondente a um projeto, ele entra imediatamente no limite. Se o limite estiver associado a um CapabilityConfig, os serviços ativados nesse CapabilityConfig vão descobrir e gerenciar os recursos do projeto pelo projeto de gerenciamento do CapabilityConfig.
  2. Herança de tags: as tags anexadas a pastas ou organizações pai são herdadas por projetos filhos. Os projetos filhos herdam a associação de limite, a menos que sejam explicitamente substituídos por um valor de tag diferente.
  3. Remoção ou atualização de tags: quando você desvincula ou muda a tag de um projeto, ele é removido do limite sem excluir a infraestrutura subjacente.
  4. Mudanças no ciclo de vida do projeto e da pasta: quando um projeto é criado, tem a exclusão cancelada ou é movido para a pasta ou organização (diretamente ou como parte da movimentação de uma pasta) e corresponde aos critérios de limite (filtro de tag correspondente ou nenhuma chave de tag configurada no BoundaryConfig pai), ele é incluído automaticamente no limite. Quando um projeto é excluído ou movido, ele é removido automaticamente do limite.

Em uma única pasta ou organização pai, os limites são mutuamente exclusivos. Como o BoundaryConfig de um nó pai usa uma única chave de tag e um projeto pode ter apenas um valor de tag efetivo por chave de tag, um projeto pode pertencer a no máximo um limite por nó pai. Se você configurar limites em vários nós ancestrais na hierarquia de recursos (por exemplo, em uma organização e uma pasta filha), um projeto descendente poderá pertencer a no máximo um limite em cada nível ancestral.

A seguir