Gerenciar vários recursos da organização

Vários recursos da organização do Google Cloud permitem manter unidades de negócios ou departamentos como entidades isoladas sem administração central. Na maioria dos casos de uso, use pastas em um único recurso de organização na hierarquia de recursos doGoogle Cloud . Um recurso da organização estabelece a propriedade dos projetos e das pastas abaixo dele. Cada conta do Google Workspace ou do Cloud Identity é mapeada para um domínio principal, como example.com, e cria um recurso de organização. Para mais informações sobre as opções de domínio de identidade, consulte Adicionar um domínio de alias de usuário ou um domínio secundário e Alterar seu domínio principal do Google Workspace. Como alternativa, é possível usar organizações independentes, que operam de maneira independente e não exigem uma conta do Cloud Identity ou do Google Workspace.

Efeitos do uso de vários recursos da organização

Use vários recursos da organização quando não quiser que os usuários de uma conta do Google Cloud, do Google Workspace ou do Cloud Identity acessem recursos criados por usuários de outra conta. Separar recursos em vários recursos da organização causa o seguinte:

  • Por padrão, nenhum usuário tem visibilidade e controle centralizados sobre todos os recursos.

  • As políticas comuns entre as suborganizações precisam ser replicadas em cada recurso da organização.

  • Não é possível mover pastas de um recurso de organização para outro. Para mais informações, consulte Migrar projetos entre recursos da organização.

  • Cada recurso de organização do Cloud Identity requer uma conta do Google Workspace. Portanto, para operar vários recursos de organização do Cloud Identity, é necessário ter várias contas do Google Workspace e a capacidade de gerenciar identidades entre elas.

Como usar um único recurso de organização

A maioria das organizações que quer manter suborganizações separadas pode fazer isso usando um único recurso de organização e pastas. Se você tiver uma única conta do Google Workspace, ela será mapeada para o recurso de organização, e as suborganizações serão mapeadas para pastas.

Escolha um Administrador da Organização

Os usuários do Google Workspace e do Cloud Identity podem escolher um ou mais usuários para atuar como administrador da organização do IAM para o recurso da organização usando as instruções a seguir.

Para instruções sobre como configurar o IAM para organizações independentes, consulte Adicionar proprietário da organização.

Para adicionar um Administrador da organização, use o console do Google Cloud , a Google Cloud CLI ou a API Resource Manager.

Console

  1. Faça login no console do Google Cloud como superadministrador do Google Workspace ou do Cloud Identity e acesse a página IAM e administrador:

    Abrir a página IAM e administrador

  2. Selecione o recurso da organização que você quer editar:

    1. Clique na lista suspensa do projeto localizada no topo da página.

    2. Na caixa de diálogo Selecionar de, clique na lista suspensa da organização e selecione o recurso da organização ao qual você quer adicionar um Administrador da organização.

    3. Na lista que aparece, clique no recurso da organização para abrir a página Permissões do IAM.

  3. Clique em Adicionar e insira o endereço de e-mail de um ou mais usuários que você quer definir como administradores da organização.

  4. Na lista suspensa Selecionar um papel , selecione Resource Manager> Administrador da organização e clique em Salvar.

    O Administrador da Organização pode fazer o seguinte:

    • Assumir o controle total do recurso da organização. A separação de responsabilidades entre o superadministrador do Google Workspace ou do Cloud Identity e o administrador do Google Cloud é estabelecida.

    • Delegar a responsabilidade sobre papéis críticos com a atribuição dos papéis relevantes do IAM.

gcloud

Para adicionar um Administrador da Organização, execute o comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Substitua:

  • ORGANIZATION_ID: o ID exclusivo do recurso da organização.
  • EMAIL_ADDRESS: o endereço de e-mail do usuário que você quer adicionar como administrador da organização.

API

Para adicionar um administrador da organização, chame o método setIamPolicy no recurso da organização.

  1. Consiga a política do IAM atual para o recurso da organização:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Atualize a política retornada para adicionar o membro ao papel roles/resourcemanager.organizationAdmin.

  3. Defina a política atualizada:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Substitua:

    • ORGANIZATION_ID: o ID exclusivo do recurso da organização.
    • EMAIL_ADDRESS: o endereço de e-mail do usuário que você quer adicionar como administrador da organização.
    • ETAG_VALUE: o valor etag da política retornada na primeira etapa.

Criar pastas para suborganizações

Crie uma pasta no recurso da organização para cada suborganização.

Para criar pastas, você precisa ter o papel Administrador de pasta ou Criador de pastas no nível pai. Por exemplo, para criar pastas no nível da organização, você precisa ter um desses papéis no nível da organização.

Como parte da criação de uma pasta, você precisa atribuir um nome a ela. Os nomes de pasta precisam atender aos seguintes requisitos:

  • O nome pode conter letras, dígitos, espaços, hifens e sublinhados.
  • O nome de exibição da pasta precisa começar e terminar com uma letra ou um dígito.
  • O nome precisa ter entre 3 e 30 caracteres.
  • O nome precisa ser distinto de todas as outras pastas que compartilhem o mesmo pai.

Para criar uma pasta, siga estas etapas:

Console

Para criar pastas, faça o seguinte:

  1. Acesse a página Gerenciar recursos no console do Google Cloud :

    Abrir a página "Gerenciar recursos"

  2. Clique em Criar pasta e selecione uma destas opções:

    • Pasta padrão do Google Cloud: um recurso de pasta padrão.
    • Pasta em conformidade: uma pasta do Assured Workloads, que oferece mais controles regulatórios, regionais ou soberanos para recursos do Google Cloud . Ao selecionar essa opção, você vai acessar o Assured Workloads para criar uma pasta.

  3. Na caixa Nome da pasta, insira o nome da nova pasta.

  4. Em Recurso pai, clique em Procurar e selecione o recurso ou a pasta da organização em que você quer criar a nova pasta.

    1. Clique em Criar.

gcloud

As pastas podem ser criadas de maneira programática usando a Google Cloud CLI.

Para criar uma pasta no recurso da organização usando a ferramenta de linha de comando gcloud, execute o comando a seguir.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Para criar uma pasta cujo pai é outra pasta:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Substitua:

  • DISPLAY_NAME: o nome de exibição da pasta. Pastas com o mesmo pai não podem ter o mesmo nome de exibição. O nome de exibição precisa começar e terminar com uma letra ou um dígito, pode conter letras, dígitos, espaços, hifens e sublinhados e não pode ter mais de 30 caracteres;
  • ORGANIZATION_ID: o ID do recurso da organização pai, se o pai for um recurso da organização.
  • FOLDER_ID: o ID da pasta pai, se o pai for uma pasta.

API

É possível criar pastas com uma solicitação de API.

A solicitação JSON:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

A solicitação curl Criar pasta:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Em que:

  • DISPLAY_NAME: o nome de exibição da nova pasta, por exemplo, "Minha pasta incrível".
  • ORGANIZATION_NAME: o nome do recurso da organização em que você está criando a pasta, por exemplo, organizations/123.

A resposta Criar pasta:

Se uma chamada registrar uma operação, o corpo da resposta vai conter uma instância de Operation.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

A solicitação curl Receber operação:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

A resposta Receber operação:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Atribuir papéis de administrador na pasta

Para cada pasta da suborganização que você cria, atribua o papel Administrador de pasta a um ou mais usuários. Esses usuários têm controle administrativo sobre o papel de Administrador de pastas. Esses usuários têm controle administrativo sobre a pasta e a suborganização que ela representa.

Para configurar o acesso às pastas, você precisa ter o papel Administrador de pastas do IAM ou Administrador de pasta no nível pai.

Console

  1. No console do Google Cloud , abra a página Gerenciar recursos.

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização no canto superior esquerdo e selecione o recurso da sua organização.

  3. Marque a caixa de seleção ao lado do projeto em que você quer alterar as permissões.

    1. No Painel de informações ao lado direito, em Permissões, insira os endereços de e-mail dos membros que você quer adicionar.

    2. Na lista suspensa Selecionar um papel, escolha o papel que você quer conceder a esses membros.

    3. Clique em Adicionar. Uma notificação é exibida para confirmar a adição ou atualização do novo papel dos membros.

gcloud

É possível configurar o acesso a pastas de maneira programática usando a Google Cloud CLI ou a API REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

Como alternativa:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Substitua:

  • FOLDER_ID: o ID da nova pasta
  • POLICY_FILE: o caminho para um arquivo de política da pasta.

API

O método setIamPolicy define a política de controle de acesso em uma pasta, substituindo qualquer política atual. O campo resource precisa ser o nome do recurso da pasta, por exemplo, folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

A solicitação curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Substitua FOLDER_ID pelo nome da pasta em que a política do IAM está sendo definida, por exemplo, folders/123.

Restringir funções de suborganização

Cada Administrador de pasta pode restringir o papel Criador do projeto aos membros da sua suborganização. Eles também podem remover o domínio do papel de Criador de projetos na política de permissão do recurso da organização.

Os superadministradores do Google Workspace têm privilégios irrevogáveis de administrador da organização. Esses superadmins normalmente gerenciam as identidades e as políticas de identidade, em vez de gerenciar os recursos do Google Cloud e as políticas de recursos.

Console

Para remover os papéis atribuídos aos usuários por padrão usando o console do Google Cloud :

  1. Acesse a página Gerenciar recursos no console do Google Cloud :

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização na parte de cima da página e selecione o recurso da sua organização.

  3. Marque a caixa de seleção do recurso da organização em que você quer alterar as permissões. Se você não tiver um recurso de pasta, o recurso de organização não ficará visível. Para continuar, veja as instruções para revogar papéis por meio da página do IAM.

  4. No Painel de informações do lado direito, em Permissões, clique para expandir o papel de que você quer remover usuários.

  5. Na lista expandida de papéis, clique em Remover ao lado do membro que você quer remover do papel.Captura de tela da IU

  6. Na caixa de diálogo Remover principal? que aparece, clique em Remover para confirmar a remoção do papel do principal especificado.

  7. Repita as duas etapas acima para cada papel que você quer remover.

Exemplo

O diagrama a seguir ilustra uma organização que usou pastas para separar dois departamentos. Os chefes dos departamentos de engenharia e de finanças têm controle administrativo, e outros usuários não podem criar projetos.

Diagrama da hierarquia

Gerenciar várias organizações em um recurso de organização principal

Se a organização tiver várias contas do Google Workspace, você terá vários recursos de organização por padrão. Para manter a visibilidade e o controle centralizados, escolha um recurso de organização para ser o principal. Os superadministradores da conta do Google Workspace associada ao recurso principal da organização têm controle administrativo sobre todos os recursos dessa organização. Eles não têm controle automático sobre os recursos de outras organizações. Os usuários de outras contas do Google Workspace podem receber acesso a uma pasta no recurso de organização principal, em que podem criar projetos.

Escolha um Administrador da Organização

Escolha um ou mais usuários para atuar como administrador da organização do IAM no recurso da organização.

Para adicionar um Administrador da organização, use o console do Google Cloud , a Google Cloud CLI ou a API Resource Manager.

Console

  1. Faça login no console do Google Cloud como superadministrador do Google Workspace ou do Cloud Identity e acesse a página IAM e administrador:

    Abrir a página IAM e administrador

  2. Selecione o recurso da organização que você quer editar:

    1. Clique na lista suspensa do projeto localizada no topo da página.

    2. Na caixa de diálogo Selecionar de, clique na lista suspensa da organização e selecione o recurso da organização ao qual você quer adicionar um Administrador da organização.

    3. Na lista que aparece, clique no recurso da organização para abrir a página Permissões do IAM.

  3. Clique em Adicionar e insira o endereço de e-mail de um ou mais usuários que você quer definir como administradores da organização.

  4. Na lista suspensa Selecionar um papel , selecione Resource Manager> Administrador da organização e clique em Salvar.

    O Administrador da Organização pode fazer o seguinte:

    • Assumir o controle total do recurso da organização. A separação de responsabilidades entre o superadministrador do Google Workspace ou do Cloud Identity e o administrador do Google Cloud é estabelecida.

    • Delegar a responsabilidade sobre papéis críticos com a atribuição dos papéis relevantes do IAM.

gcloud

Para adicionar um Administrador da Organização, execute o comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Substitua:

  • ORGANIZATION_ID: o ID exclusivo do recurso da organização.
  • EMAIL_ADDRESS: o endereço de e-mail do usuário que você quer adicionar como administrador da organização.

API

Para adicionar um administrador da organização, chame o método setIamPolicy no recurso da organização.

  1. Consiga a política do IAM atual para o recurso da organização:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Atualize a política retornada para adicionar o membro ao papel roles/resourcemanager.organizationAdmin.

  3. Defina a política atualizada:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Substitua:

    • ORGANIZATION_ID: o ID exclusivo do recurso da organização.
    • EMAIL_ADDRESS: o endereço de e-mail do usuário que você quer adicionar como administrador da organização.
    • ETAG_VALUE: o valor etag da política retornada na primeira etapa.

Remover o papel Criador do projeto

Remova o papel de Criador de projetos do recurso da organização para garantir que os recursos não sejam criados em outros recursos da organização.

Console

Para remover os papéis atribuídos aos usuários por padrão usando o console do Google Cloud :

  1. Acesse a página Gerenciar recursos no console do Google Cloud :

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização na parte de cima da página e selecione o recurso da sua organização.

  3. Marque a caixa de seleção do recurso da organização em que você quer alterar as permissões. Se você não tiver um recurso de pasta, o recurso de organização não ficará visível. Para continuar, veja as instruções para revogar papéis por meio da página do IAM.

  4. No Painel de informações do lado direito, em Permissões, clique para expandir o papel de que você quer remover usuários.

  5. Na lista expandida de papéis, clique em Remover ao lado do membro que você quer remover do papel.Captura de tela da IU

  6. Na caixa de diálogo Remover principal? que aparece, clique em Remover para confirmar a remoção do papel do principal especificado.

  7. Repita as duas etapas acima para cada papel que você quer remover.

Criar pastas para contas do Google Workspace

Crie uma pasta no recurso da organização para cada conta do Google Workspace.

Para criar pastas, você precisa ter o papel Administrador de pasta ou Criador de pastas no nível pai. Por exemplo, para criar pastas no nível da organização, você precisa ter um desses papéis no nível da organização.

Como parte da criação de uma pasta, você precisa atribuir um nome a ela. Os nomes de pasta precisam atender aos seguintes requisitos:

  • O nome pode conter letras, dígitos, espaços, hifens e sublinhados.
  • O nome de exibição da pasta precisa começar e terminar com uma letra ou um dígito.
  • O nome precisa ter entre 3 e 30 caracteres.
  • O nome precisa ser distinto de todas as outras pastas que compartilhem o mesmo pai.

Para criar uma pasta, siga estas etapas:

Console

Para criar pastas, faça o seguinte:

  1. Acesse a página Gerenciar recursos no console do Google Cloud :

    Abrir a página "Gerenciar recursos"

  2. Clique em Criar pasta e selecione uma destas opções:

    • Pasta padrão do Google Cloud: um recurso de pasta padrão.
    • Pasta em conformidade: uma pasta do Assured Workloads, que oferece mais controles regulatórios, regionais ou soberanos para recursos do Google Cloud . Ao selecionar essa opção, você vai acessar o Assured Workloads para criar uma pasta.

  3. Na caixa Nome da pasta, insira o nome da nova pasta.

  4. Em Recurso pai, clique em Procurar e selecione o recurso ou a pasta da organização em que você quer criar a nova pasta.

    1. Clique em Criar.

gcloud

As pastas podem ser criadas de maneira programática usando a Google Cloud CLI.

Para criar uma pasta no recurso da organização usando a ferramenta de linha de comando gcloud, execute o comando a seguir.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Para criar uma pasta cujo pai é outra pasta:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Substitua:

  • DISPLAY_NAME: o nome de exibição da pasta. Pastas com o mesmo pai não podem ter o mesmo nome de exibição. O nome de exibição precisa começar e terminar com uma letra ou um dígito, pode conter letras, dígitos, espaços, hifens e sublinhados e não pode ter mais de 30 caracteres;
  • ORGANIZATION_ID: o ID do recurso da organização pai, se o pai for um recurso da organização.
  • FOLDER_ID: o ID da pasta pai, se o pai for uma pasta.

API

É possível criar pastas com uma solicitação de API.

A solicitação JSON:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

A solicitação curl Criar pasta:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Em que:

  • DISPLAY_NAME: o nome de exibição da nova pasta, por exemplo, "Minha pasta incrível".
  • ORGANIZATION_NAME: o nome do recurso da organização em que você está criando a pasta, por exemplo, organizations/123.

A resposta Criar pasta:

Se uma chamada registrar uma operação, o corpo da resposta vai conter uma instância de Operation.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

A solicitação curl Receber operação:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

A resposta Receber operação:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Atribuir papéis de administrador na pasta

Para cada uma das pastas criadas, atribua o papel Administrador de pasta a um ou mais usuários. Esses usuários recebem controle administrativo delegado sobre a pasta e a suborganização que ela representa.

Para configurar o acesso às pastas, você precisa ter o papel Administrador de pastas do IAM ou Administrador de pasta no nível pai.

Console

  1. No console do Google Cloud , abra a página Gerenciar recursos.

    Abrir a página "Gerenciar recursos"

  2. Clique na lista suspensa Organização no canto superior esquerdo e selecione o recurso da sua organização.

  3. Marque a caixa de seleção ao lado do projeto em que você quer alterar as permissões.

    1. No Painel de informações ao lado direito, em Permissões, insira os endereços de e-mail dos membros que você quer adicionar.

    2. Na lista suspensa Selecionar um papel, escolha o papel que você quer conceder a esses membros.

    3. Clique em Adicionar. Uma notificação é exibida para confirmar a adição ou atualização do novo papel dos membros.

gcloud

É possível configurar o acesso a pastas de maneira programática usando a Google Cloud CLI ou a API REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

Como alternativa:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Substitua:

  • FOLDER_ID: o ID da nova pasta
  • POLICY_FILE: o caminho para um arquivo de política da pasta.

API

O método setIamPolicy define a política de controle de acesso em uma pasta, substituindo qualquer política atual. O campo resource precisa ser o nome do recurso da pasta, por exemplo, folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

A solicitação curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Substitua FOLDER_ID pelo nome da pasta em que a política do IAM está sendo definida, por exemplo, folders/123.

Cada Administrador de pasta poderá atribuir o papel Criador do projeto aos usuários do domínio associado.

Exemplo

O diagrama a seguir ilustra uma organização com um domínio principal que é mantido isolado de um domínio secundário adquirido. Cada um dos dois domínios tem as próprias contas do Google Workspace, sendo hypothetical.com o recurso principal da organização.

Diagrama da hierarquia