組織資源是 Google Cloud資源階層的根節點，可讓您集中管理專案和資料夾。您可以設定組織資源，在雲端環境中維持可見度、控管存取權，以及強制執行組織政策。
Google Cloud 會自動為新客戶 (包括免費試用客戶) 建立組織資源，並強制執行一組預設組織政策。詳情請參閱「獨立組織」和「管理基準限制」。
事前準備
閱讀組織資源總覽。
取得組織資源
Google Workspace 和 Cloud Identity 客戶可使用組織資源：
- Google Workspace：申請 Google Workspace。
- Cloud Identity：申請 Cloud Identity。
建立 Google Workspace 或 Cloud Identity 帳戶，並與網域建立關聯後，組織資源就會自動建立。資源的佈建時間會因帳戶狀態而異：
- 如果您是 Google Cloud 的新手，尚未建立專案，系統會在您登入 Google Cloud 控制台並接受條款及細則時，為您建立組織資源。
-
如果您是現有的 Google Cloud 使用者，建立新專案或帳單帳戶時，系統會為您建立組織資源 (如果尚未建立)。您先前建立的專案會列在「無組織」下方，這是正常現象。組織資源就會顯示在畫面上，您建立的新專案也會自動連結至該資源。
您必須將在「無組織」下建立的所有專案，移至新組織資源。如要瞭解如何移動專案，請參閱「將專案遷移至組織資源」。
建立的組織資源會連結至您的 Google Workspace 或 Cloud Identity 帳戶，並將您建立的專案或帳單帳戶設為子項資源。在 Google Workspace 或 Cloud Identity 網域下建立的所有專案和帳單帳戶，都會成為此組織資源的子項。
- 如要瞭解如何遷移現有專案，請參閱「遷移現有專案」。
每個 Google Workspace 或 Cloud Identity 帳戶都只會與一項組織資源建立關聯。機構資源只會與一個網域建立關聯，該網域是在建立機構資源時設定。
注意：如果嘗試使用現有網域註冊組織，系統會顯示「這個網域已有人使用」錯誤訊息。如要解決這個問題，請按照「解決『這個網域已有人使用』問題」一文中的步驟操作。
如要主動採用組織資源，Google Workspace 或 Cloud Identity 超級管理員必須將組織管理員 (roles/resourcemanager.organizationAdmin) Identity and Access Management (IAM) 角色指派給使用者或群組。如需設定組織資源的步驟，請參閱「設定組織資源」。
- 建立組織資源後，網域中的所有使用者都會自動在組織資源層級獲得專案建立者 (
roles/resourcemanager.projectCreator) 和帳單帳戶建立者 (roles/billing.creator) IAM 角色。這樣一來，網域中的使用者就能繼續建立專案，不會中斷。 - 組織管理員會決定何時開始主動使用組織資源。然後視需要變更預設權限，並強制執行更嚴格的政策。
- 如果組織資源可用，但您沒有查看該資源的 IAM 權限，仍可建立專案和帳單帳戶。即使您看不到，這些資源也會在組織資源下自動建立。
Google Cloud 安全性基準
Google Cloud 安全性基準會透過一組組織政策，在建立組織資源時強制執行，解決不安全的資安態勢。建立組織時，系統會自動建立這些限制，並在組織中強制執行。如要瞭解如何查看及管理這些限制，請參閱「Google Cloud 安全性基準限制」。
取得組織資源 ID
組織資源 ID 是組織資源的專屬 ID，會在建立組織資源時自動建立。組織資源 ID 的格式為十進位數字，開頭不得為零。
您可以使用 Google Cloud 控制台、gcloud CLI 或 Cloud Resource Manager API 取得組織資源 ID。
主控台
如要使用 Google Cloud 控制台取得組織資源 ID，請按照下列步驟操作：
- 前往 Google Cloud 控制台
- 在頁面頂端的專案挑選器中，選取組織資源。
- 依序按一下右側的「更多」和「設定」。
「Settings」(設定) 頁面會顯示組織資源 ID。
gcloud
如要找出組織資源 ID，請執行下列指令：
gcloud organizations list
這個指令會列出您所屬的所有組織資源，以及對應的組織資源 ID。
API
如要使用 Cloud Resource Manager API 找出組織資源 ID，請使用 organizations.search() 方法，並加入網域查詢。例如：
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
回應中包含屬於 altostrat.com 的組織資源中繼資料，其中包含組織資源 ID。
設定機構資源
如果您是 Google Workspace 或 Cloud Identity 客戶，系統會自動為您提供組織資源。
Google Workspace 或 Cloud Identity 超級管理員是第一批可在建立後存取組織資源的使用者。所有其他使用者或群組都能像以前一樣使用 Google Cloud 。他們可以查看組織資源，但必須設定正確的權限才能修改。
Google Workspace 或 Cloud Identity 超級管理員和Google Cloud 組織管理員，在設定過程中擔任關鍵角色，同時對組織資源和生命週期也至關重要。
根據預設，建立組織資源的 Google Workspace 或 Cloud Identity 超級管理員帳戶，會自動獲派組織管理員角色。不過，為維持分散權責，建議超級管理員將組織管理員角色委派給其他使用者或群組。
在 Google Cloud 機構資源設定方面，Google Workspace 或 Cloud Identity 超級管理員的職責如下：
- 將組織管理員角色指派給部分使用者
- 發生復原問題時的聯絡人
- 控管 Google Workspace 或 Cloud Identity 帳戶和組織資源的生命週期，詳情請參閱「刪除組織」一節
指派組織管理員後，該管理員可以將 Identity and Access Management 角色指派給其他使用者。組織管理員角色的責任包括：
- 定義允許和拒絕政策，並將角色授予其他使用者。
- 查看資源階層結構
為遵循最小權限原則，這個角色不包含執行其他動作的權限，例如建立資料夾或專案。如要取得這些權限，必須由組織管理員將其他角色指派給帳戶。
雖然同一位使用者可以同時擔任這兩個角色，但擁有兩個不同的角色可確保 Google Workspace 或 Cloud Identity 超級管理員與 Google Cloud 組織管理員之間的分散權責。這通常是必要條件，因為這兩項 Google 產品通常由客戶組織中的不同部門管理。
如要主動使用組織資源，請按照下列步驟新增組織管理員：
新增組織管理員
如要新增組織管理員，可以使用 Google Cloud 控制台、Google Cloud CLI 或 Resource Manager API。
控制台
以 Google Workspace 或 Cloud Identity 超級管理員身分登入 Google Cloud 控制台，然後前往「IAM & Admin」(IAM 與管理) 管理頁面：
選取要編輯的組織資源：
按一下頁面頂端的專案下拉式選單。
在「Select from」(可用的選項) 對話方塊中，按一下組織下拉式清單，然後選取要新增組織管理員的組織資源。
在顯示的清單中，按一下組織資源，開啟「IAM Permissions」(IAM 權限) 頁面。
按一下「Add」(新增)，然後輸入要設為組織管理員的一或多位使用者電子郵件地址。
在「Select a role」(請選擇角色) 下拉式選單中，依序選取「Resource Manager」>「Organization Administrator」(組織管理員)，然後按一下「Save」(儲存)。
組織管理員可以執行下列操作：
完全掌控組織資源。Google Workspace 或 Cloud Identity 超級管理員與 Google Cloud管理員之間的職責劃分已確立。
指派相關 IAM 角色，委派重要函式的責任。
gcloud
如要新增組織管理員，請執行 gcloud organizations add-iam-policy-binding 指令：
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member="user:EMAIL_ADDRESS" \
--role="roles/resourcemanager.organizationAdmin"
更改下列內容：
ORGANIZATION_ID：組織資源的專屬 ID。EMAIL_ADDRESS：要新增為組織管理員的使用者電子郵件地址。
API
如要新增組織管理員，請對組織資源呼叫 setIamPolicy 方法。
取得組織資源目前的 IAM 政策：
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy更新傳回的政策，將成員新增至
roles/resourcemanager.organizationAdmin角色。設定更新後的政策：
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy { "policy": { "bindings": [ { "role": "roles/resourcemanager.organizationAdmin", "members": [ "user:EMAIL_ADDRESS" ] } ], "etag": "ETAG_VALUE" } }更改下列內容：
ORGANIZATION_ID：組織資源的專屬 ID。EMAIL_ADDRESS：要新增為組織管理員的使用者電子郵件地址。ETAG_VALUE：第一步傳回的政策etag值。
如「取得機構資源」一文所述，建立機構資源後，網域中的所有使用者預設都會在機構資源層級獲得專案建立者和帳單帳戶建立者角色。這樣一來，建立組織資源時，就不會對 Google Cloud 使用者造成任何干擾。組織管理員接管後，可能會想移除這些組織層級權限，開始以更精細的精細度 (例如資料夾或專案層級) 鎖定存取權。請注意，由於允許和拒絕政策會沿著階層向下繼承，因此在組織資源層級將專案建立者角色指派給整個網域 (domain:mycompany.com)，代表網域中的每位使用者都可以在階層中的任何位置建立專案。