Configurar um recurso de organização do Google Cloud

O recurso da organização é o nó raiz na Google Cloud hierarquia de recursos e é o supernó hierárquico dos projetos. Esta página explica como adquirir e gerenciar um recurso da organização.

Antes de começar

Leia uma visão geral do recurso da organização.

Receber um recurso da organização

Um recurso da organização está disponível para clientes do Google Workspace e do Cloud Identity :

Depois de criar sua conta do Google Workspace ou Cloud Identity e associá-la a um domínio, o recurso da sua organização será criado automaticamente. O recurso será provisionado em momentos diferentes, dependendo do status da sua conta:

  • Se você é novo to Google Cloud e ainda não criou um projeto, o recurso da organização será criado para você quando você fizer login no Google Cloud console e aceitar os termos e condições.

  • Se você já é um Google Cloud usuário, o recurso da organização será criado quando você criar um novo projeto ou uma conta de faturamento. Todos os projetos criados anteriormente serão listados em "Nenhuma organização", e isso é normal. O recurso da organização será exibido e o novo projeto que você criou será vinculado automaticamente a ele.

    Você precisará mover todos os projetos criados em "Nenhuma organização" ao novo recurso da organização. Para instruções sobre como mover seus projetos, consulte Migrar projetos para um recurso da organização.

O recurso da organização criado será vinculado à sua conta do Google Workspace ou do Cloud Identity com o projeto ou a conta de faturamento que você definiu como recurso filho. Todos os projetos e contas de faturamento criadas no domínio do Google Workspace ou do Cloud Identity serão filhos desse recurso da organização.

Cada conta do Google Workspace ou do Cloud Identity está associada a apenas um recurso da organização. Um recurso da organização está associado a apenas um domínio, definido quando o recurso da organização é criado.

Para adotar ativamente o recurso da organização, os superadministradores do Google Workspace ou do Cloud Identity precisam atribuir o papel Administrador da organização (roles/resourcemanager.organizationAdmin) do Identity and Access Management (IAM) a um usuário ou grupo. Para saber os passos para configurar o recurso da organização, consulte Configurar o recurso da organização.

  • No momento de criação do recurso da organização, todos os usuários no domínio recebem automaticamente os papéis "Criador de projetos" (roles/resourcemanager.projectCreator) e "Criador da conta de faturamento" (roles/billing.creator) do IAM no nível do recurso da organização. Isso permite que os usuários no domínio continuem criando projetos sem interrupção.
  • O Administrador da organização decide quando quer começar a usar o recurso da organização ativamente. A partir de então, eles podem alterar as permissões padrão e aplicar políticas mais restritivas, se necessário.
  • Se o recurso da organização estiver disponível e você não tiver as permissões de IAM para vê-lo, ainda será possível criar projetos e contas de faturamento. Eles serão criados automaticamente no recurso da organização, mesmo que ele não fique visível.

Google Cloud Valor de referência de segurança

Google Cloud Ovalor de referência de segurança aborda posturas de segurança não seguras com um pacote de políticas da organização que são aplicadas quando um recurso da organização é criado. Essas restrições são criadas e aplicadas automaticamente à sua organização quando ela é criada. Para informações sobre como visualizar e gerenciar essas restrições, consulte Google Cloud Restrições de referência de segurança.

Receber o ID do recurso da organização

O ID do recurso da organização é um identificador exclusivo, gerado automaticamente a partir da criação dela. Os IDs de recursos de organizações são formatados como números decimais e não podem ter zeros à esquerda.

É possível conseguir o ID do recurso da organização usando o Google Cloud console, a CLI gcloud ou a API Cloud Resource Manager.

Console

Para conseguir o ID do recurso da organização usando o Google Cloud console, faça o seguinte:

  1. Acesse o Google Cloud console do:

    Acesse o Google Cloud console

  2. No seletor de projetos na parte de cima da página, selecione o recurso da organização.
  3. No lado direito, clique em Mais e em Configurações.

A página Configurações mostra o ID do recurso da organização.

gcloud

Para descobrir o ID do recurso da organização, execute o seguinte comando:

gcloud organizations list

Esse comando lista todos os recursos da organização aos quais você pertence e os IDs correspondentes.

API

Para encontrar o ID do recurso da organização usando a API Cloud Resource Manager, use o organizations.search() método, incluindo uma consulta para seu domínio. Exemplo:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

A resposta contém os metadados do recurso da organização que pertence a altostrat.com, incluindo o ID do recurso da organização.

Configurar o recurso da organização

Se você é um cliente do Google Workspace ou do Cloud Identity, um recurso da organização é fornecido automaticamente.

Os superadministradores do Google Workspace ou do Cloud Identity são os primeiros usuários que podem acessar o recurso da organização após a criação. Todos os outros usuários ou grupos podem usar o Google Cloud como antes. Eles podem ver o recurso da organização, mas só conseguem modificá-lo depois que as permissões corretas são definidas.

Os superadministradores do Google Workspace ou do Cloud Identity e o Google Cloud Administrador da organização são os principais papéis durante o processo de configuração e para o controle do ciclo de vida do recurso da organização.

Por padrão, a conta de superadministrador do Google Workspace ou do Cloud Identity que cria o recurso da organização recebe automaticamente o papel Administrador da organização. No entanto, para manter a separação de funções, recomendamos que o superadministrador delegue o papel Administrador da organização a um usuário ou grupo diferente.

Veja a seguir as responsabilidades dos superadministradores do Google Workspace ou do Cloud Identity em relação à Google Cloud configuração do recurso da organização:

  • Atribuir o papel de Administrador da Organização a alguns usuários.
  • Ser um ponto de contato em caso de problemas de recuperação.
  • Controlar o ciclo de vida da conta do Google Workspace ou do Cloud Identity e do recurso da organização, conforme explicado em Excluir uma organização.

Depois de atribuído, o Administrador da Organização pode atribuir papéis Identity and Access Management a outros usuários. As responsabilidades do papel Administrador da Organização são:

  • Definir políticas de permissão e negação e conceder papéis a outros usuários.
  • Determinar a estrutura da hierarquia de recursos.

Seguindo o princípio de privilégio mínimo, esse papel não inclui a permissão para executar outras ações, como criar pastas ou projetos. Para ter essas permissões, um administrador da Organização precisa atribuir papéis adicionais à conta deles.

Embora o mesmo usuário possa ter os dois papéis, ter dois papéis distintos garante a separação de funções entre os superadministradores do Google Workspace ou do Cloud Identity e o Administrador da Organização. Google Cloud Isso geralmente é obrigatório, já que os dois produtos do Google costumam ser gerenciados por departamentos diferentes na organização do cliente.

Para usar ativamente o recurso da organização, siga estas etapas para adicionar um Administrador da Organização:

Adicionar um administrador da organização

Para adicionar um administrador da organização, é possível usar o Google Cloud console, a Google Cloud CLI ou a API Resource Manager.

Console

  1. Faça login no Google Cloud console como um superadministrador do Google Workspace ou do Cloud Identity e navegue até a página IAM e administrador:

    Abrir a página IAM e administrador

  2. Selecione o recurso da organização que você quer editar:

    1. Clique na lista suspensa do projeto localizada no topo da página.

    2. Na caixa de diálogo Selecionar de , clique na lista suspensa da organização e selecione o recurso da organização ao qual você quer adicionar um Administrador da organização.

    3. Na lista que aparece, clique no recurso da organização para abrir a página Permissões do IAM.

  3. Clique em Adicionar e insira o endereço de e-mail de um ou mais usuários que você quer definir como administradores da organização.

  4. Na lista suspensa Selecionar um papel, selecione Resource Manager > Administrador da organização e clique em Salvar.

    O administrador da organização tem as seguintes opções:

    • Assumir o controle total do recurso da organização. É estabelecida uma separação de responsabilidades entre o superadministrador do Google Workspace ou do Cloud Identity e o Google Cloud administrador.

    • Delegar a responsabilidade sobre papéis críticos com a atribuição dos papéis relevantes do IAM.

gcloud

Para adicionar um administrador da organização, execute o gcloud organizations add-iam-policy-binding comando:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Substitua:

  • ORGANIZATION_ID: o ID exclusivo do recurso da organização.
  • EMAIL_ADDRESS: o endereço de e-mail do usuário que você quer adicionar como administrador da organização.

API

Para adicionar um administrador da organização, chame o setIamPolicy método no recurso da organização.

  1. Receba a política atual do IAM para o recurso da organização:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Atualize a política retornada para adicionar o membro ao papel roles/resourcemanager.organizationAdmin.

  3. Defina a política atualizada:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Substitua:

    • ORGANIZATION_ID: o ID exclusivo do recurso da organização.
    • EMAIL_ADDRESS: o endereço de e-mail do usuário que você quer adicionar como administrador da organização.
    • ETAG_VALUE: o valor etag da política retornada na primeira etapa.

Conforme explicado em Como receber um recurso da organização, após a criação, todos os usuários no domínio recebem os papéis de Criador de projetos e Criador da conta de faturamento no nível do recurso da organização por padrão. Isso garante que nenhuma interrupção atinja os usuários quando o recurso da organização é criado. Google Cloud Após assumir o controle, o Administrador da Organização pode remover essas permissões no nível da organização para começar a bloquear o acesso em uma granularidade mais fina (por exemplo, na pasta ou para envolvidos no projeto). Como as políticas de permissão e negação são herdadas pela hierarquia, atribuir o papel "Criador de projetos" a todo o domínio (domain:mycompany.com) no nível do recurso da organização significa que todos os usuários no domínio poderão criar projetos em qualquer lugar da hierarquia.

A seguir