In diesem Leitfaden erfahren Sie, wie Sie eine eigenständige Organisation in Google Clouderhalten und verwalten.
Die Organisationsressource dient als Stammknoten Ihrer Google Cloud Ressourcenhierarchie. In den meisten Fällen müssen Sie ein Cloud Identity-Superadministrator sein und die Google Cloud Organisation mit einer DNS-Domain verknüpfen, um eine Organisation zu erstellen.
Bei eigenständigen Organisationen ist Cloud Identity nicht erforderlich. Wenn Sie sich für registrieren und eine Google-E-Mail-Adresse angeben, wird die eigenständige Organisation automatisch für Sie erstellt. Google Cloud Als Kontoinhaber erhalten Sie auch die Rolle „Organisation Owner“. Auf der Seite Organisationsdetails können Sie dann den Inhaberzugriff für andere Nutzer verwalten.
Eigenständige Organisationen bieten folgende Vorteile:
- Sie können Nutzer mit Föderationsidentitäten als Organisation Owner hinzufügen.
- Sie können mehrere Organisationen unterstützen, um verschiedene Funktionen zu testen.
- Sie können mehrere Organisation Owner unterstützen, um Single Points of Failure zu vermeiden, wenn ein Mitarbeiter das Unternehmen verlässt.
Hinweis
Bevor Sie beginnen, sollten Sie Folgendes beachten:
- Informationen zur Organisationsressource
- Informationen zum Festlegen einer Ressourcenhierarchie für Ihre Landing-Zone Google Cloud
Organisation identifizieren
Ihre eigenständige Organisation wird durch einen Organisationsnamen und eine Organisations-ID identifiziert.
Name der Organisation
Der Standardname der Organisation wird durch Kombinieren des Nutzernamens mit -org erstellt.
Alle Sonderzeichen im Nutzernamen werden durch einen Bindestrich ersetzt. Wenn der Nutzername beispielsweise lara_brown ist, lautet der Name der Organisation lara-brown-org.
Dieser Name wird von den Google APIs nicht verwendet. Sie können den Namen der Organisation jederzeit nach der Erstellung der Organisation bearbeiten.
Die Namen müssen die folgenden Kriterien erfüllen:
- Sie dürfen nur Buchstaben, Ziffern oder Bindestriche enthalten.
- Sie dürfen keinen Domainnamen enthalten. Domainnamen sind nur für Cloud Identity- und Google Workspace-Organisationen reserviert.
- Sie dürfen keine gängigen Wörter wie 'Google Cloud' enthalten.
Organisations-ID
Die Organisations-ID ist eine global eindeutige Kennung für Ihre Organisation. Die Google Cloud Console generiert diese Nummer, um Ihre Organisation von allen anderen in Google Cloudzu unterscheiden. Organisations-IDs werden als ganze Zahlen formatiert und dürfen keine führenden Nullen enthalten.
Der Name Ihrer Organisation oder andere Ressourcennamen dürfen keine vertraulichen Informationen wie personenidentifizierbare Informationen oder Sicherheitsdaten enthalten. Die Organisations-ID wird im Namen vieler anderer Google Cloud Ressourcen verwendet. Jeder Verweis auf die Organisation oder zugehörige Ressourcen macht die Organisations-ID und den Ressourcennamen öffentlich.
Eigenständige Organisationsressource abrufen
Eigenständige Organisationen sind für alle neuen Kunden mit kostenloser Testversion Google Cloud verfügbar. Nachdem Sie Ihr Google Cloud Konto erstellt haben, wird Ihre Organisationsressource automatisch erstellt. Dies geschieht, wenn Sie sich in der Google Cloud Console anmelden und die Nutzungsbedingungen akzeptieren. Eigenständige Organisationen sind für bestehende Google Cloud Konten nicht verfügbar.
Pro Nutzerkonto wird nur eine Organisation erstellt. Sie können jedoch einen einzelnen Nutzer einladen, Inhaber und Administrator mehrerer Organisationen zu sein.
Wenn die Organisationsressource erstellt wird, weist das System dem Kontoinhaber die folgenden Rollen zu:
roles/cloudowner.admin(Organisation Owner)roles/resourcemanager.organizationAdmin(Organisationsadministrator)
Die Rolle „Organisation Owner“ wird außerhalb von IAM verwaltet und gewährt Berechtigungen zum Verwalten von Organisation Ownern und Administratoren auf der Seite Organisationsdetails. Informationen zum Hinzufügen weiterer Inhaber und Administratoren zu Ihrer Organisation, siehe Eigenständige Organisation einrichten.
Organisations-ID abrufen
Sie können die Organisations-ID Ihrer eigenständigen Organisation über die Google Cloud Console, die Google Cloud CLI oder die Resource Manager API abrufen.
Console
Rufen Sie in der Google Cloud Console die Seite Meine Organisationen auf.
In der Tabelle sind Ihre Organisationen und ihre Organisations-IDs aufgeführt.
gcloud
Führen Sie den folgenden Befehl aus, um die ID Ihrer Organisationsressource zu ermitteln:
gcloud organizations list
Dieser Befehl listet alle Organisationsressourcen auf, denen Sie angehören, sowie die entsprechenden IDs der Organisationsressourcen.
API
Wenn Sie die ID Ihrer Organisationsressource mit der Cloud Resource Manager API ermitteln möchten, verwenden Sie die
organizations.search() Methode und fügen Sie eine Abfrage für Ihre Domain ein. Beispiel:
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
Die Antwort enthält die Metadaten der Organisationsressource, die zu altostrat.com gehört, einschließlich der ID der Organisationsressource.
Eigenständige Organisation einrichten
Wenn Sie ein Google Cloud Konto erstellen, erhalten Sie automatisch eine eigenständige Organisationsressource. In diesem Abschnitt erfahren Sie mehr über die Ersteinrichtung, die wichtigsten Rollen und die Verwaltung dieser Berechtigungen in Ihrer Organisation.
Der Kontoinhaber ist der erste Nutzer mit Zugriff auf die Organisationsressource. Andere Nutzer in der Organisation können die Ressource ansehen, aber erst ändern, nachdem die entsprechenden Berechtigungen festgelegt wurden.
Die Rollen „Organisation Owner“ und „Organisationsadministrator“ sind entscheidend für die Einrichtung und Lebenszyklussteuerung der Organisationsressource. Diese beiden Rollen werden in der Regel verschiedenen Nutzern oder Gruppen zugewiesen, je nach Struktur und Anforderungen Ihrer Organisation.
Aufgaben des Organisation Owner
Mit der Rolle „Organisation Owner“ können Sie folgende Aktionen ausführen:
- Anderen Nutzern die Rolle „Organisationsadministrator“ zuweisen
- Ansprechpartner bei Problemen mit der Wiederherstellung sein
- Den Lebenszyklus der eigenständigen Organisationsressource steuern, wie unter Eigenständige Organisationen löschen, wiederherstellen und umbenennen beschrieben
Organisation Owner können Einzelpersonen oder Hauptkonten in einem Personalpool sein. Jede eigenständige Organisation muss immer mindestens ein aktives Google-Konto als Organisation Owner haben. Dienstkonten können nicht als Organisation Owner eingeladen werden.
Aufgaben des Organisationsadministrator
Mit der Rolle „Organisationsadministrator“ können Sie folgende Aktionen ausführen:
- Zulassungs- und Ablehnungsrichtlinien definieren
- Anderen Nutzern in Google CloudIAM-Rollen zuweisen
- Die Ressourcenhierarchie ansehen
Gemäß dem Prinzip der geringsten Berechtigung können Sie mit dieser Rolle keine anderen Aktionen ausführen, z. B. Ordner oder Projekte erstellen. Ein Organisationsadministrator muss Ihrem Konto weitere Rollen zuweisen, um diese Berechtigungen zu erhalten.
Einzelpersonen die Rolle „Organisation Owner“ zuweisen
- Melden Sie sich in der Google Cloud Console als Organisation Owner an.
Rufen Sie in der Google Cloud Console die Seite Organisationsdetails auf.
Klicken Sie unter Organisation Owner auf Organisation Owner hinzufügen.
Geben Sie die E-Mail-Adresse des Hauptkontos ein, das Sie als Inhaber hinzufügen möchten. Das System sendet eine E-Mail an das Hauptkonto, in der es eingeladen wird, Inhaber der Organisation zu werden. Das Hauptkonto muss die Einladung innerhalb von 30 Tagen annehmen, um Organisation Owner zu werden.
Nutzern in einem Workforce Identity-Pool die Rolle „Organisation Owner“ zuweisen
Bei diesem Schritt wird davon ausgegangen, dass Sie die Mitarbeiteridentitätsföderation bereits für Ihre Organisation konfiguriert haben. Außerdem müssen wichtige Kontakte in Ihrem Konto konfiguriert sein.
- Melden Sie sich in der Google Cloud Console als Organisation Owner an.
Rufen Sie in der Google Cloud Console die Seite Organisationsdetails auf.
Klicken Sie unter Organisation Owner auf Organisation Owner hinzufügen.
Geben Sie die Hauptkonto-ID des Nutzers im Format
principal://iam.googleapis.com/locations/LOCATION/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUEein.Klicken Sie auf Weiter.
Geben Sie die E-Mail-Adresse ein, an die der Link zur Einladung des Inhabers gesendet werden soll. Google Cloud sendet eine E-Mail an den Nutzer, in der er eingeladen wird, Inhaber der Organisation zu werden. Um Organisation Owner zu werden, muss der Nutzer die Einladung innerhalb von 30 Tagen annehmen. Wenn der Nutzer die Einladung annimmt, wird ihm automatisch die Rolle „Organisationsadministrator“ zugewiesen.
Rolle „Organisationsadministrator“ zuweisen
Der Organisation Owner kann anderen Nutzern auf der Seite Organisationsdetails die Rolle „Organisationsadministrator“ zuweisen. Das ist nützlich, wenn Sie versehentlich die Berechtigungen des Organisationsadministrator für alle Nutzer entfernt haben, die IAM-Richtlinien für die Organisation festlegen können, und den Zugriff wiederherstellen müssen.
So weisen Sie Nutzern die Rolle „Organisationsadministrator“ zu:
- Melden Sie sich in der Google Cloud Console als Organisation Owner an.
Rufen Sie in der Google Cloud Console die Seite Organisationsdetails auf.
Sehen Sie sich die Liste der Organisation Owner in der Tabelle Organisation Owner an.
Wählen Sie den Prinzipal aus, dem Sie die Rolle Organisationsadministrator“ zuweisen möchten.
Klicken Sie in der letzten Spalte der Tabelle unter Aktionen neben dem Hauptkonto auf Weitere Aktionen.
Klicken Sie auf Rolle „Organisationsadministrator“ zuweisen. Dem Hauptkonto wird die Rolle „Organisationsadministrator“ (
roles/resourcemanager.organizationAdmin) für die Organisationsressource zugewiesen.
Organisation Owner entfernen
So entfernen Sie Nutzer mit der Rolle „Organisation Owner“:
- Melden Sie sich in der Google Cloud Console als Organisation Owner an.
Rufen Sie in der Google Cloud Console die Seite Organisationsdetails auf.
Wählen Sie unter Organisation Owner das Hauptkonto aus, das Sie entfernen möchten.
Klicken Sie in der letzten Spalte der Tabelle unter Aktionen neben dem Hauptkonto auf Weitere Aktionen.
Klicken Sie im angezeigten Dialogfeld auf Entfernen.
Organisationsadministrator entfernen
So entfernen Sie Nutzer mit der Rolle „Organisationsadministrator“:
Rufen Sie in der Google Cloud Console die Seite IAM auf.
Klicken Sie unter IAM-Zulassung auf Nach Hauptkonten ansehen.
Suchen Sie die Zeile mit dem Hauptkonto, dem Sie Rollen zugewiesen haben, und klicken Sie Hauptkonto bearbeiten in dieser Zeile.
Klicken Sie im Bereich Berechtigungen bearbeiten auf das Löschen-Symbol neben der Rolle „Organisationsadministrator“.
Klicken Sie auf Speichern.