Resource Manager 概览

本页面介绍了 Google Cloud的 Resource Manager 的工作原理，以及如何使用它来整理云资源、控制访问权限，并在整个云环境中有效执行政策。

Resource Manager 是一款用于以分层方式整理 Google Cloud 资源的工具。换言之，您可以用它控制资源的分组方式以及政策的继承来源。

资源层次结构：组织、文件夹和项目

Google Cloud 资源以分层方式进行整理，类似于文件系统。这种层次结构让您能够从中心点管理资源的常见方面，例如访问权限控制和配置设置。

该层次结构包含以下级别：

  • 组织：层次结构的根节点。它代表您的公司，可让您集中查看和控制所有资源。

  • 文件夹：组织内的分组机制。您可以使用文件夹将法律或职能结构（例如部门或团队）映射到云资源。

  • 项目：资源的基础级层容器。每个资源（例如 Compute Engine 虚拟机实例或 Cloud Storage 存储桶）都只能归属于一个项目。

  • 资源： Google Cloud的基本组件，例如虚拟机、数据库和存储桶。

管理 Google Cloud 资源的关键功能

Resource Manager 提供以下功能来帮助您治理云环境：

  • 通过组织资源进行集中控制：组织资源代表您的组织（例如您的公司）。它可让您将所有 Google Cloud 项目归入一个实体下。这样，您就可以集中查看、拥有和控制资源。有了组织资源，项目将归属于组织，而不是个别员工，这样即使员工离职，也能确保资源连续性。

  • 使用文件夹进行分组：使用文件夹将项目整理到逻辑分组中。 例如，您可以为不同的部门、环境（如生产和预演）或团队创建文件夹。通过文件夹，您可以一次性对一组项目应用政策和访问权限控制，而无需单独管理每个项目。

  • 项目管理：项目是 Google Cloud中的核心组织实体。您可以使用项目来启用 API、管理结算以及与团队成员协作。借助 Resource Manager，您可以通过编程方式或控制台创建、更新和删除项目。

  • 管理边界和功能配置：除了分层包含之外，Resource Manager 还支持基于标记的动态管理边界（BoundaryConfig、Boundary和 CapabilityConfig）。这些边界支持从集中式管理项目对 Agent Registry 等服务进行跨项目管理和发现。

  • 访问权限控制和政策继承：Resource Manager 与 Identity and Access Management (IAM) 集成，可让您定义谁有权访问您的资源。您可以在组织、文件夹和项目上设置允许和拒绝政策。您也可以在某些服务资源上设置允许政策。层次结构中较低级别的资源会继承其父级容器的政策。例如，如果您向用户授予某个文件夹的 Folder Admin 角色，则该用户会自动拥有该文件夹中所有项目的该角色。如果您更改资源层次结构，则允许和拒绝政策层次结构也会更改。例如，将项目移到组织资源中会更新其允许和拒绝政策，以继承组织资源的政策。

您可以使用 Google Cloud 控制台、Google Cloud CLI 和 Resource Manager API 与 Resource Manager 进行交互。

与其他 Google Cloud 服务集成，用于资源管理

Resource Manager 是管理 Google Cloud 资源的核心，它提供了结构和基础功能，可让您有效使用和管理其他关键服务，例如组织政策、标记和重要联系人：

  • 标记：Resource Manager 可与标记搭配使用，让您能够将任意键值对附加到资源。标记可用于各种用途，例如资源分类、政策执行、费用分配和动态管理边界成员资格。标记管理是 Resource Manager 层次结构中资源组织和管理方式不可或缺的一部分。

  • Organization Policy Service：借助组织政策，您可以通过程序化方式对组织的云资源进行集中控制。与 IAM 侧重于谁可以执行操作不同，组织政策侧重于可以执行哪些操作。例如，您可以定义一项政策，限制可以创建资源的物理位置，或阻止创建公共 IP 地址。

    Resource Manager 提供组织政策赖以强制执行规则的分层结构（组织、文件夹和项目）。Resource Manager 定义了资源所在位置的范围，而组织政策则定义了这些资源的配置方式限制。

  • 重要联系人：重要联系人与 Resource Manager 的集成使您可以在资源层次结构中为结算、安全提醒和法律声明等领域的重要通知指定自定义联系人。Essential Contacts 使用 Resource Manager 层次结构将通知设置级联到子资源。通过遵循推荐的最佳实践（例如在组织或文件夹级别配置群组邮箱别名），您可以确保重要通知及时送达负责团队，而无需依赖默认的 IAM 后备角色。

后续步骤