Ressourcenhierarchie

Die Google Cloud -Ressourcenhierarchie bietet eine strukturierte Möglichkeit, Ihre Cloud-Ressourcen zu organisieren. Alle Ressourcen mit Ausnahme der höchsten Ressource in einer Hierarchie haben genau ein übergeordnetes Element. Die Hierarchie besteht aus der Organisation (Stamm) an der Spitze, gefolgt von Ordnern (optional) für die Gruppierung und dann Projekten, die die eigentlichen Dienstressourcen wie virtuelle Compute Engine-Maschinen und Storage-Buckets enthalten.

Eine strukturierte Hierarchie bietet folgende Vorteile:

  • Inhaberschaft: Der Lebenszyklus einer Ressource wird an das unmittelbar übergeordnete Element gebunden. Projekte gehören der Organisation, nicht dem einzelnen Mitarbeiter, der sie erstellt hat. Wenn ein Mitarbeiter das Unternehmen verlässt, bleibt das Projekt aktiv und sicher.
  • Übernahme: Sie bietet Verbindungspunkte für Zugriffssteuerungs- und Organisationsrichtlinien, die in der Hierarchie nach unten weitergegeben werden. Sie können Rollen auf einer übergeordneten Ebene (z. B. Organisation oder Ordner) zuweisen. Diese Rollen werden von allen untergeordneten Ressourcen übernommen, sodass Berechtigungen nicht für jedes einzelne Projekt manuell konfiguriert werden müssen.

Das folgende Diagramm veranschaulicht die Google Cloud -Ressourcenhierarchie.

Google Cloud-Ressourcenhierarchie mit einer Organisation an der Spitze, die Ordner, Projekte und Dienstressourcen enthält

Die Organisationsressource

Die Ressource Organisation steht für eine Entität (z. B. ein Unternehmen) und dient als Stammknoten derGoogle Cloud -Ressourcenhierarchie. Sie bietet die folgenden Hauptfunktionen:

  • Die Organisation fungiert als übergeordnete Ressource für alle Ordner- und Projektressourcen.
  • Zugriffssteuerungsrichtlinien (z. B. Identity and Access Management (IAM)-Rollen) und Organisationsrichtlinien, die auf dieser Ebene angewendet werden, werden von jeder Ressource in der Organisation übernommen.
  • Eine Organisationsressource ist zwar nicht für alle Google Cloud -Nutzer zwingend erforderlich, aber für bestimmte Resource Manager-Funktionen.

Ein Google Workspace- oder Cloud Identity-Konto ist Voraussetzung für den Zugriff auf die Organisationsressource.

  • Ein Google Workspace- oder Cloud Identity-Konto kann genau einer Organisationsressource zugeordnet werden.
  • Wenn ein Nutzer mit einem Google Workspace- oder Cloud Identity-Konto eine Google Cloud -Projektressource erstellt, wird automatisch eine Organisationsressource für ihn bereitgestellt.

Die folgende Abbildung zeigt die Verknüpfung zwischen dem Google Workspace-Konto, Cloud Identity und der Ressourcenhierarchie von Google Cloud .

Beziehung zwischen einem Google Workspace- oder Cloud Identity-Konto und der Google Cloud -Ressourcenhierarchie

Der Super Admin von Google Workspace ist für die Bestätigung der Domaininhaberschaft zuständig und dient als Ansprechpartner bei Wiederherstellungen. Aus diesem Grund hat der Super Admin von Google Workspace die Möglichkeit, IAM-Rollen standardmäßig zuzuweisen. Die Hauptaufgabe des Google Workspace-Super Admins in Bezug auf Google Cloud besteht darin, die IAM-Rolle „Organization Administrator“ den entsprechenden Nutzern in der Domain zuzuweisen. Dadurch wird die Trennung zwischen Google Workspace- und Google Cloud-Verwaltungsaufgaben geschaffen, die Nutzer in der Regel wünschen.

Regeln für die Projekterstellung für verwaltete Nutzer

Sobald eine Organisationsressource für eine Domain vorhanden ist, gelten strenge Regeln für die Projekterstellung:

  • Verwaltete Nutzer (Mitglieder der Kontodomain) müssen Projekte innerhalb einer Organisation erstellen. Mit Konten, die mit einer Organisationsressource verknüpft sind, können keine Projektressourcen erstellt werden, die nicht mit einer Organisationsressource verknüpft sind.
  • Standardmäßig gehören neue Projekte zu der Organisation, die mit dem Nutzer verknüpft ist.
  • Wenn ein Nutzer die entsprechenden Berechtigungen hat, kann er beim Erstellen des Projekts eine andere Organisationsressource angeben. Andernfalls wird standardmäßig die eigene Organisation verwendet.

Vorteile der Organisationsressource

Mit einer Organisationsressource gehören Ihre Projektressourcen Ihrer Organisation und nicht dem Mitarbeiter, der sie erstellt hat. Das bedeutet, dass Ihre Organisation Projektressourcen behält, wenn ein Mitarbeiter das Unternehmen verlässt. Die Projektressourcen folgen dem Lebenszyklus der Organisationsressource auf Google Cloud.

Außerdem verwalten Organisationsadministratoren alle Ressourcen zentral. Sie können alle Projektressourcen in Ihrem Unternehmen ansehen und verwalten. So werden Schattenprojekte oder nicht autorisierte Administratoren verhindert.

Sie können Rollen auch auf Organisationsebene zuweisen. Diese werden von allen Projekt- und Ordnerressourcen unter der Organisationsressource übernommen. Sie können beispielsweise Ihrem Netzwerkteam auf Organisationsebene die Rolle Netzwerkadministrator zuweisen, damit es alle Netzwerke in allen Projektressourcen in Ihrem Unternehmen verwalten kann, anstatt die Rolle für jede einzelne Projektressource zuzuweisen.

Eine Organisationsressource wird durch die folgenden Attribute definiert:

  • Eine Organisationsressourcen-ID, die eine eindeutige Kennung für eine Organisation ist.
  • Ein Anzeigename, der aus dem primären Domainnamen in Google Workspace oder Cloud Identity generiert wird.
  • Der Erstellungszeitpunkt der Organisationsressource.
  • Der Zeitpunkt der letzten Änderung der Organisationsressource.
  • Der Inhaber der Organisationsressource, d. h. die Google Workspace-Kundennummer aus der Directory API. Sie geben den Inhaber beim Erstellen der Organisationsressource an und können ihn nicht mehr ändern.

Das folgende Code-Snippet veranschaulicht die Struktur einer Organisationsressource:

{
  "creationTime": "2020-01-07T21:59:43.314Z",
  "displayName": "my-organization",
  "lifecycleState": "ACTIVE",
  "name": "organizations/34739118321",
  "owner": {
    "directoryCustomerId": "C012ba234"
  }
}

Die anfängliche „allow”-Richtlinie für eine neue Organisationsressource gewährt der gesamten Google Workspace-Domain die Rollen „Projektersteller“ und „Rechnungskonto-Ersteller“. Das bedeutet, dass Nutzer weiterhin Projektressourcen und Rechnungskonten erstellen können, wie sie es vor der Existenz der Organisationsressource getan haben. Beim Erstellen einer Organisationsressource werden keine anderen Ressourcen erstellt. Zulassungs-, Ablehnungs- und Organisationsrichtlinien werden innerhalb der Hierarchie übernommen. Die für jede Ressource in der Hierarchie geltende Richtlinie ergibt sich aus Richtlinien, die direkt auf die Ressource angewendet werden, und Richtlinien, die von ihren Ancestors übernommen werden.

Die Ordnerressource

Ordnerressourcen sind ein optionaler Gruppierungsmechanismus zwischen Organisations- und Projektressourcen. Für die Verwendung von Ordnern ist eine Organisationsressource erforderlich. Ordnerressourcen und die ihnen untergeordneten Projektressourcen befinden sich unter der Organisationsressource.

Ordnerressourcen können Isolationsgrenzen zwischen Projekten bieten. Sie fungieren als Unterorganisationen innerhalb der Organisationsressource. Ordnerressourcen können verschiedene Rechtssubjekte, Abteilungen und Teams innerhalb eines Unternehmens modellieren. So kann beispielsweise eine erste Ordnerebene die Hauptabteilungen Ihrer Organisation darstellen. Da Ordner Projekte und andere Ordner enthalten können, kann jeder Ordner Unterordner für verschiedene Teams enthalten. Jeder Teamordner kann weitere Unterordner für verschiedene Anwendungen enthalten. Weitere Informationen zur Verwendung von Ordnerressourcen finden Sie unter Ordner erstellen.

Wenn Ihre Organisationsressource Ordnerressourcen enthält und Sie die entsprechenden Leseberechtigungen haben, können Sie sie in der Google Cloud Console aufrufen. Eine ausführliche Anleitung finden Sie unter Ordner ansehen, aktualisieren und löschen.

Mit Ordnerressourcen können Sie Administrationsrechte delegieren. Sie können beispielsweise jedem Abteilungsleiter die volle Inhaberschaft für alle Google Cloud -Ressourcen in seiner Abteilung gewähren. Ebenso können Ordnerressourcen den Zugriff auf Ressourcen einschränken. Das bedeutet, dass Nutzer in einer Abteilung nur auf Google Cloud-Ressourcen innerhalb dieser Ordnerressource zugreifen und diese erstellen können.

Das folgende Code-Snippet zeigt die Struktur einer Ordnerressource:

{
  "createTime": "2030-01-07T21:59:43.314Z",
  "displayName": "Engineering",
  "lifecycleState": "ACTIVE",
  "name": "folders/634792535758",
  "parent": "organizations/34739118321"
}

Wie Organisations- und Projektressourcen dienen Ordnerressourcen als Richtlinienübernahmepunkt für Zulassungs-, Ablehnungs- und Organisationsrichtlinien. IAM-Rollen, die für eine Ordnerressource gewährt werden, werden von allen Projekt- und Ordnerressourcen in diesem Ordner übernommen.

Die Projektressource

Die Projektressource ist die grundlegende Organisationseinheit. Organisations- und Ordnerressourcen können mehrere Projekte enthalten. Sie benötigen eine Projektressource, um Google Cloudzu verwenden. Es ist für das Erstellen, Aktivieren und Verwenden allerGoogle Cloud -Dienste, das Verwalten von APIs, das Aktivieren der Abrechnung, das Hinzufügen und Entfernen von Mitbearbeitern sowie das Verwalten von Berechtigungen erforderlich.

Alle Projektressourcen bestehen aus Folgendem:

  • Zwei Kennungen:
    1. Projektressourcen-ID, die eine eindeutige Kennung für die Projektressource ist.
    2. Projektressourcennummer, die beim Erstellen des Projekts automatisch zugewiesen wird. Diese ist schreibgeschützt.
  • Einen änderbaren Anzeigenamen
  • Der Lebenszyklusstatus der Projektressource, z. B. ACTIVE oder DELETE_REQUESTED.
  • Eine Reihe von Labels, die zum Filtern von Projekten verwendet werden können
  • Der Zeitpunkt, zu dem die Projektressource erstellt wurde.

Das folgende Code-Snippet zeigt die Struktur einer Projektressource:

{
  "createTime": "2020-01-07T21:59:43.314Z",
  "lifecycleState": "ACTIVE",
  "name": "my-project",
  "parent": {
    "id": "634792535758",
    "type": "folder"
  },
  "projectId": "my-project",
  "labels": {
     "my-label": "prod"
  },
  "projectNumber": "464036093014"
}

Wenn Sie mit den meisten Google Cloud -Ressourcen interagieren möchten, müssen Sie in jeder Anfrage die entsprechenden Projektressourcen-IDs angeben. Sie können eine Projektressource auf zwei Arten identifizieren: über ihre Projektressourcen-ID oder ihre Projektressourcennummer. Im Code-Snippet sind dies projectId und projectNumber.

Die Projektressourcen-ID ist der benutzerdefinierte Name, den Sie beim Erstellen eines Projekts auswählen. Wenn Sie eine API aktivieren, die ein Projekt voraussetzt, können Sie ein neues Projekt erstellen oder ein vorhandenes Projekt anhand seiner Projektressourcen-ID auswählen. Der String name, der in der Benutzeroberfläche angezeigt wird, ist nicht mit der Projektressourcen-ID identisch.

Google Cloud generiert automatisch eine Projektressourcennummer. Sie finden die Projektressourcen-ID und die Projektnummer im Dashboard des Projekts in derGoogle Cloud Console. Informationen zum Abrufen von Projektkennungen sowie zu weiteren Verwaltungsaufgaben für Projektressourcen finden Sie unter Projekte erstellen.

Die anfängliche IAM-Richtlinie einer neu erstellten Projektressource weist dem Ersteller des Projekts die Inhaberrolle zu.

Alle Nutzer, einschließlich Nutzer der kostenlosen Testversion, Nutzer der kostenlosen Stufe sowie Google Workspace- und Cloud Identity-Kunden, können Projektressourcen erstellen. Nutzer des Google Cloud -Programms können nur Projektressourcen und Dienstressourcen innerhalb von Projekten erstellen. Projektressourcen können die oberste Ebene ihrer Hierarchie sein, aber nur, wenn sie von einem Nutzer des kostenlosen Testzeitraums oder der kostenlosen Stufe erstellt wurden. Google Workspace- und Cloud Identity-Kunden haben Zugriff auf zusätzliche Funktionen der Google Cloud -Ressourcenhierarchie, z. B. Organisations- und Ordnerressourcen. Weitere Informationen finden Sie in der Übersicht zu Cloud Identity. Projektressourcen an der Spitze ihrer Hierarchie haben keine übergeordneten Ressourcen, können aber in eine Organisationsressource migriert werden, sobald diese für die Domain erstellt wurde. Weitere Informationen zum Migrieren von Projektressourcen finden Sie unter Projekte zwischen Organisationsressourcen migrieren.

Nächste Schritte