本文档介绍了 Resource Manager 中的管理边界和功能配置。管理边界在多个 Google Cloud 项目中建立基于标记的动态管理边界，从而允许从指定的管理项目进行集中治理和发现。
管理边界和中心辐射型模型
除了静态文件夹层次结构包含关系之外，Resource Manager 还支持动态、按标记分区的中心辐射型管理模型：
- 管理项目（中心）：一个集中式 Google Cloud 项目，用于托管控制平面、Management API、元数据以及在
CapabilityConfig中启用的服务的跨项目视图。 - 成员项目（spoke）： Google Cloud 文件夹或组织中包含工作负载、服务和资源的项目。当您附加匹配的资源标记时，项目会动态加入边界。
此模型将管理范围与物理文件夹层次结构分离，从而为分布式团队和多项目架构实现跨文件夹治理。
核心资源
您可以使用以下三种 Resource Manager 资源在组织或文件夹级层定义基于标记的管理边界：
- 边界配置 (
BoundaryConfig)：在组织或文件夹级定义。建立用于对成员项目进行分类的分区标记键（例如123456789012/env）。如果未配置标记键，则该父级下的边界会包含所有后代项目。 - 边界 (
Boundary)：组织或文件夹中的逻辑分区。具有匹配的有效标记值（例如env=prod）的项目，或在父级BoundaryConfig上未配置标记键时的所有后代项目，都会动态包含在边界中。 - 功能配置 (
CapabilityConfig)：在组织、文件夹或项目级层定义。在组织或文件夹级层，它会将一个或多个边界与指定的管理项目相关联，并指定在整个边界内启用的管理功能。在项目级层，它支持对单个独立项目进行无边界管理。
支持的功能
功能配置支持以下管理体验：
AGENT_MANAGEMENT（gcloud CLI：agent-management）：在 Agent Registry 中启用集中式发现、身份注册表和跨项目代理治理。
动态成员资格和标签继承
边界中的项目成员资格会根据标记和资源层次结构的变化动态更新：
- 标记绑定：将匹配的标记值绑定到项目后，该项目会立即加入边界。如果边界与
CapabilityConfig相关联，则在该CapabilityConfig中启用的服务会通过CapabilityConfig的管理项目发现和管理项目的资源。 - 标记继承：附加到父级文件夹或组织的标记会由子项目继承。子项目会继承边界成员资格，除非使用其他标记值明确覆盖。
- 移除或更新标记：当您解除绑定或更改项目的标记时，系统会从边界中移除该项目，而不会删除底层基础架构。
- 项目和文件夹生命周期变更：当项目被创建、取消删除或移入文件夹或组织（直接移入或作为文件夹移动的一部分）并符合边界条件（匹配标记过滤条件，或父级
BoundaryConfig上未配置标记键）时，系统会自动将其纳入边界。删除或移出项目后，该项目会自动从边界中移除。
在单个父级文件夹或组织中，边界是互斥的。由于父节点的 BoundaryConfig 使用单个标记键，并且每个项目只能有一个有效的标记值，因此每个父节点最多只能有一个边界。如果您在资源层次结构中的多个祖先节点（例如组织和子文件夹）上配置边界，则后代项目在每个祖先节点级别最多只能属于一个边界。