Resource Manager 總覽

本頁面說明 Google Cloud的 Resource Manager 運作方式，以及如何使用這項工具整理雲端資源、控管存取權，並在雲端環境中有效強制執行政策。

Resource Manager 是以階層結構管理 Google Cloud 資源的工具。換句話說，您可以控管資源的分組方式，以及政策的繼承來源。

資源階層：組織、資料夾和專案

Google Cloud 資源會以階層方式整理，類似檔案系統。這種階層結構可讓您從中央位置管理資源的常用層面，例如存取控管和配置設定。

階層包含下列層級：

  • 機構：階層結構的根節點。代表貴公司，並提供所有資源的集中檢視和控管功能。

  • 資料夾：組織內的分組機制。您可以使用資料夾，將法律或功能結構 (例如部門或團隊) 對應至雲端資源。

  • 專案：資源的基礎層級容器。每項資源 (例如 Compute Engine 虛擬機器執行個體或 Cloud Storage bucket) 都只屬於一個專案。

  • 資源： Google Cloud的基本元件，例如虛擬機器、資料庫和儲存空間 bucket。

管理 Google Cloud 資源的主要功能

Resource Manager 提供下列功能，協助您管理雲端環境：

  • 透過組織資源集中控管：組織資源代表您的組織 (例如公司)。可讓您將所有 Google Cloud 專案歸入單一實體。這可讓您集中掌握資源的能見度、擁有權和控管權。有了組織資源，專案就會屬於組織，而非個別員工，即使員工離職，也能確保資源持續運作。

  • 使用資料夾分組：使用資料夾將專案整理成邏輯群組。例如，您可以為不同部門、環境 (例如實際工作環境和測試環境) 或團隊建立資料夾。資料夾可讓您一次為一組專案套用政策和存取控管，不必個別管理。

  • 專案管理：專案是 Google Cloud中的核心組織實體。您可以使用專案啟用 API、管理帳單，以及與團隊成員協作。Resource Manager 可讓您透過程式或控制台建立、更新及刪除專案。

  • 管理界線和功能設定：除了階層式容器，Resource Manager 也支援動態、以標記為基礎的管理界線 (BoundaryConfig、Boundary和CapabilityConfig)。這些界線可讓您從集中管理專案，跨專案管理及探索代理程式註冊資料庫等服務。

  • 存取控管和政策繼承：Resource Manager 與 Identity and Access Management (IAM) 整合，可讓您定義哪些人有權存取資源。您可以在組織、資料夾和專案設定允許和拒絕政策。您也可以為部分服務資源設定允許政策。階層中較低的資源會沿用父項容器的政策。舉例來說，如果您授予使用者某個資料夾的「資料夾管理員」角色，他們會自動擁有該資料夾中所有專案的該角色。如果變更資源階層，允許和拒絕政策階層也會隨之變更。舉例來說，將專案移至組織資源，該專案的允許和拒絕政策即會更新，轉而繼承組織資源的政策。

您可以使用 Google Cloud 控制台、Google Cloud CLI 和 Resource Manager API 與 Resource Manager 互動。

與其他 Google Cloud 服務整合，以便管理資源

Resource Manager 是管理 Google Cloud 資源的核心，提供結構和基礎功能，讓您有效使用及管理其他重要服務，例如組織政策、標記和重要聯絡人：

  • 標記：Resource Manager 支援標記，可讓您將任意鍵/值組合附加至資源。標記可用於多種用途，例如資源分類、政策執行、成本分配和動態管理邊界成員資格。標記管理是 Resource Manager 階層中，資源組織和管理方式不可或缺的一環。

  • 組織政策服務：組織政策可讓您透過程式輔助，集中控管組織的雲端資源。IAM 著重於「誰」可以執行操作，而組織政策則著重於「可以執行什麼操作」。舉例來說，您可以定義政策，限制可建立資源的實體位置，或禁止建立公開 IP 位址。

    Resource Manager 提供階層結構 (組織、資料夾和專案)，組織政策會依據這個結構強制執行規則。Resource Manager 定義資源所在範圍，組織政策則定義這些資源的設定限制。

  • 重要聯絡人：Essential Contacts 與 Resource Manager 整合後，您可以在資源階層中，為帳單、安全性警示和法律聲明等領域，指定自訂的重大通知聯絡窗口。重要聯絡人會使用 Resource Manager 階層，將通知設定層層套用至子項資源。請遵循建議的最佳做法，例如在組織或資料夾層級設定群組電子郵件別名，確保重要通知能迅速送達負責團隊，不必依賴預設的 IAM 備用角色。

後續步驟