Configura un recurso de organización de Google Cloud

Un recurso de organización es el nodo raíz de la jerarquía de recursos deGoogle Cloud y te permite administrar tus proyectos y carpetas de forma centralizada. Puedes configurar un recurso de organización para mantener la visibilidad, controlar el acceso y aplicar políticas de la organización en todo tu entorno de nube.

Google Cloud crea automáticamente un recurso de organización para los clientes nuevos, incluidos los clientes de la prueba gratuita, y aplica un conjunto predeterminado de políticas de la organización en él. Para obtener más información, consulta Organizaciones independientes y Administra restricciones de referencia.

Antes de comenzar

Lee una descripción general del recurso de organización.

Obtén un recurso de organización

Hay un recurso de organización disponible para los clientes de Google Workspace y Cloud Identity:

Una vez que hayas creado tu cuenta de Google Workspace o Cloud Identity y la asocies con un dominio, el recurso de tu organización se creará automáticamente. El recurso se aprovisionará en diferentes momentos según el estado de tu cuenta:

  • Si eres nuevo en Google Cloud y aún no creaste un proyecto, se creará el recurso de organización cuando accedas a la consola de Google Cloud y aceptes los Términos y Condiciones.

  • Si ya eres usuario de Google Cloud , se creará el recurso de organización cuando crees un proyecto o una cuenta de facturación nuevos (si aún no existe uno). Todos los proyectos que hayas creado anteriormente aparecerán en "Sin organización", lo que es normal. Aparecerá el recurso de organización y el proyecto nuevo que creaste se vinculará a él automáticamente.

    Deberás trasladar cualquier proyecto que hayas creado en "Sin organización" a tu recurso nuevo de organización. Para obtener instrucciones sobre cómo trasladar tus proyectos, consulta Migra proyectos a un recurso de organización.

El recurso de organización que se cree se vinculará a tu cuenta de Google Workspace o Cloud Identity con el proyecto o la cuenta de facturación que creaste configurada como recurso secundario. Todos los proyectos y cuentas de facturación creados en tu dominio de Google Workspace o Cloud Identity serán recursos secundarios de este recurso de organización.

Cada cuenta de Google Workspace o Cloud Identity se asocia con un solo recurso de organización. Un recurso de organización se asocia con exactamente un dominio, que se establece cuando se crea el recurso de organización.

Nota: Si intentas registrar una organización con un dominio que ya existe, se producirá el error "Este dominio ya está en uso". Para resolver este problema, sigue los pasos que se indican en Cómo resolver el error "Este dominio ya está en uso".

Para adoptar de forma activa el recurso de organización, los administradores avanzados de Google Workspace o Cloud Identity deben asignar el rol de Identity and Access Management (IAM) de administrador de la organización (roles/resourcemanager.organizationAdmin) a un usuario o grupo. Para conocer los pasos para configurar tu recurso de organización, consulta Configura tu recurso de organización.

  • Cuando se crea el recurso de organización, a todos los usuarios de tu dominio se les otorgan automáticamente los roles de IAM de Creador de proyectos (roles/resourcemanager.projectCreator) y Creador de cuentas de facturación (roles/billing.creator) a nivel del recurso de organización. Esto permite que los usuarios de tu dominio sigan creando proyectos sin interrupciones.
  • El administrador de la organización decidirá cuándo quiere comenzar a usar de forma activa el recurso de organización. Luego, pueden cambiar los permisos predeterminados y aplicar políticas más restrictivas según sea necesario.
  • Si el recurso de organización está disponible y no tienes los permisos de IAM para verlo, puedes crear proyectos y cuentas de facturación. Estos se crean automáticamente en el recurso de organización, incluso si no puedes verlo.

Modelo de referencia de seguridad deGoogle Cloud

La referencia de seguridad deGoogle Cloud aborda las posturas de seguridad no seguras con un paquete de políticas de la organización que se aplican cuando se crea un recurso de la organización. Estas restricciones se crean y aplican automáticamente en tu organización cuando se crea. Para obtener información sobre cómo ver y administrar estas restricciones, consulta Restricciones de referencia de seguridad deGoogle Cloud .

Obtén el ID de tu recurso de organización

El ID del recurso de organización es un identificador único para un recurso de organización y se genera automáticamente cuando se crea el recurso de organización. Los IDs de los recursos de la organización tienen el formato de números decimales y no pueden tener ceros a la izquierda.

Puedes obtener el ID del recurso de tu organización con la consola de Google Cloud , gcloud CLI o la API de Cloud Resource Manager.

Console

Para obtener el ID del recurso de tu organización con la consola de Google Cloud , haz lo siguiente:

  1. Ve a la consola de Google Cloud :

    Ir a la consola de Google Cloud

  2. En el selector de proyectos que se encuentra en la parte superior de la página, selecciona el recurso de tu organización.
  3. En el lado derecho, haz clic en Más y, luego, en Configuración.

En la página Configuración, se muestra el ID del recurso de tu organización.

gcloud

Para encontrar el ID del recurso de tu organización, ejecuta el siguiente comando:

gcloud organizations list

Este comando enumera todos los recursos de la organización a la que perteneces y sus IDs de recursos de organización correspondientes.

API

Para encontrar el ID del recurso de organización con la API de Cloud Resource Manager, usa el método organizations.search(), que incluye una consulta para tu dominio. Por ejemplo:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

La respuesta contiene los metadatos del recurso de organización que pertenece a altostrat.com, que incluye el ID del recurso de organización.

Configura el recurso de tu organización

Si eres cliente de Google Workspace o Cloud Identity, se te proporciona un recurso de organización automáticamente.

Los administradores avanzados de Google Workspace o Cloud Identity son los primeros usuarios que pueden acceder al recurso de organización después de su creación. Todos los demás usuarios o grupos podrán usar Google Cloud como antes. Podrán ver el recurso de organización, pero solo podrán modificarlo después de que se establezcan los permisos correctos.

Los administradores avanzados de Google Workspace o Cloud Identity y el Google Cloud administrador de la organización son roles clave durante el proceso de configuración y para controlar el ciclo de vida del recurso de organización.

De forma predeterminada, a la cuenta de administrador avanzado de Google Workspace o Cloud Identity que crea el recurso de organización se le asigna automáticamente el rol de administrador de la organización. Sin embargo, para mantener la separación de funciones, recomendamos que el administrador avanzado delegue el rol de administrador de la organización a un usuario o grupo diferente.

Las responsabilidades del administrador avanzado de Google Workspace o Cloud Identity, en el contexto de la configuración del recurso de organización de Google Cloud , son las siguientes:

  • Asignar el rol de administrador de la organización a algunos usuarios
  • Ser un punto de contacto en caso de problemas de recuperación.
  • Controlar el ciclo de vida de la cuenta de Google Workspace o Cloud Identity y del recurso de organización, como se explica en Borra una organización

Una vez asignado, el administrador de la organización puede asignar roles de Identity and Access Management a otros usuarios. Las responsabilidades del rol de administrador de la organización son las siguientes:

  • Definir políticas de permiso y denegación, y otorgar roles a otros usuarios
  • Ver la estructura de la jerarquía de recursos

De acuerdo con el principio de privilegio mínimo, este rol no incluye el permiso para realizar otras acciones, como crear carpetas o proyectos. Para obtener estos permisos, un administrador de la organización debe asignarle roles adicionales a su cuenta.

Si bien el mismo usuario puede tener ambos roles, tener dos roles distintos garantiza la separación de funciones entre los administradores avanzados de Google Workspace o Cloud Identity y el administrador de la organización de Google Cloud . A menudo, esto es un requisito, ya que los dos productos de Google suelen ser administrados por diferentes departamentos en la organización del cliente.

Para usar de forma activa el recurso de organización, sigue estos pasos y agrega un administrador de la organización:

Agrega un administrador de la organización

Para agregar un administrador de la organización, puedes usar la consola de Google Cloud , Google Cloud CLI o la API de Resource Manager.

Console

  1. Accede a la consola de Google Cloud como un administrador avanzado de Google Workspace o Cloud Identity y ve a la página IAM y administración:

    Abrir la página IAM y administración

  2. Selecciona el recurso de organización que deseas editar:

    1. Haz clic en la lista desplegable de proyectos en la parte superior de la página.

    2. En el cuadro de diálogo Seleccionar de, haz clic en la lista desplegable de la organización y selecciona el recurso de organización al que deseas agregar un administrador de la organización.

    3. En la lista que aparece, haz clic en el recurso de la organización para abrir su página Permisos de IAM.

  3. Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de uno o más usuarios que quieras establecer como administradores de la organización.

  4. En la lista desplegable Seleccionar una función, selecciona Administrador de recursos > Administrador de la organización y, luego, haz clic en Guardar.

    El administrador de la organización puede hacer lo siguiente:

    • Toma el control total del recurso de organización. Se establece la separación de responsabilidades entre el administrador avanzado de Google Workspace o Cloud Identity y el administrador de Google Cloud.

    • Puedes delegar la responsabilidad sobre las funciones esenciales mediante la asignación de las funciones relevantes de IAM.

gcloud

Para agregar un administrador de la organización, ejecuta el comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Reemplaza lo siguiente:

  • ORGANIZATION_ID: Es el ID único de tu recurso de organización.
  • EMAIL_ADDRESS: Es la dirección de correo electrónico del usuario que deseas agregar como administrador de la organización.

API

Para agregar un administrador de la organización, llama al método setIamPolicy en el recurso de la organización.

  1. Obtén la política de IAM actual para el recurso de la organización:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Actualiza la política que se muestra para agregar el miembro al rol roles/resourcemanager.organizationAdmin.

  3. Establece la política actualizada:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Reemplaza lo siguiente:

    • ORGANIZATION_ID: Es el ID único de tu recurso de organización.
    • EMAIL_ADDRESS: Es la dirección de correo electrónico del usuario que deseas agregar como administrador de la organización.
    • ETAG_VALUE: Es el valor etag de la política que se devolvió en el primer paso.

Como se explica en Obtén un recurso de organización, cuando se crea, a todos los usuarios del dominio se les otorgan los roles de creador de proyectos y creador de cuentas de facturación a nivel del recurso de organización de forma predeterminada. Esto garantiza que no se produzcan interrupciones para los usuarios de Google Cloud cuando se cree el recurso de organización. A medida que el administrador de la organización toma el control, es posible que quiera quitar estos permisos a nivel de la organización para comenzar a bloquear el acceso con mayor nivel de detalle (por ejemplo, a nivel de la carpeta o del proyecto). Ten en cuenta que, debido a que las políticas de permiso y denegación se heredan en la jerarquía, tener el rol de creador de proyectos asignado a todo el dominio (domain:mycompany.com) a nivel del recurso de organización implica que cada usuario del dominio puede crear proyectos en cualquier lugar de la jerarquía.

¿Qué sigue?