הגדרת ארגונים עצמאיים

במדריך הזה מוסבר איך מקבלים ארגון עצמאי ב- Google Cloudואיך מנהלים אותו.

משאב הארגון משמש כצומת הבסיסי (root) בהיררכיית המשאבים ב- Google Cloud. ברוב המקרים, כדי ליצור ארגון צריך להיות סופר-אדמין ב-Cloud Identity ולקשר את הארגון לדומיין DNS. Google Cloud

בארגונים עצמאיים, לא נדרש Cloud Identity. כשנרשמים ל- Google Cloud ומזינים כתובת אימייל ב-Google, הארגון העצמאי נוצר בשבילכם באופן אוטומטי. בתור הבעלים של החשבון, תקבלו גם את התפקיד 'בעלים של הארגון'. אחר כך תוכלו להשתמש בדף פרטי הארגון כדי לנהל את גישת הבעלים של משתמשים אחרים.

ארגונים עצמאיים מציעים את היתרונות הבאים:

  • הוספנו את האפשרות להוסיף משתמשים עם זהויות מאוחדות כבעלי ארגון.
  • אפשרות לתמוך בכמה ארגונים כדי לבדוק תכונות שונות.
  • אפשרות לתמוך בכמה בעלים של הארגון כדי למנוע נקודות כשל בודדות אם עובד עוזב.

לפני שמתחילים

לפני שמתחילים, חשוב לעיין במידע הבא:

זיהוי הארגון

הארגון העצמאי שלכם מזוהה באמצעות שם הארגון ומזהה הארגון.

שם הארגון

שם הארגון שמוגדר כברירת מחדל נוצר משילוב של שם המשתמש עם -org. כל התווים המיוחדים בשם המשתמש מוחלפים במקף. לדוגמה, אם שם המשתמש הוא lara_brown, שם הארגון יהיה lara-brown-org. אף Google API לא משתמש בשם הזה. אפשר לערוך את שם הארגון בכל שלב אחרי יצירת הארגון.

חשוב לוודא שהשמות עומדים בקריטריונים הבאים:

  • הוא יכול לכלול רק אותיות, מספרים או מקפים.
  • לא להשתמש בשם דומיין. שמות דומיינים שמורים רק לארגונים ב-Cloud Identity וב-Google Workspace.
  • לא מכילות מילים נפוצות כמו 'Google Cloud'.

מזהה הארגון

מזהה הארגון הוא מזהה ייחודי גלובלי של הארגון. המספר הזה נוצר על ידי מסוףGoogle Cloud כדי להבדיל בין הארגון שלכם לבין כל הארגונים האחרים ב- Google Cloud. מזהי ארגונים הם מספרים שלמים ולא יכולים להתחיל באפסים.

אל תכללו בשם הארגון או בשמות של משאבים אחרים מידע רגיש כמו פרטים אישיים מזהים (PII) או נתוני אבטחה. מזהה הארגון משמש בשם של הרבה משאבים אחרים. Google Cloud כל הפניה לארגון או למשאבים שקשורים אליו חושפת את מזהה הארגון ואת שם המשאב.

קבלת משאב ארגון עצמאי

ארגונים עצמאיים זמינים לכל הלקוחות החדשים של תקופת הניסיון בחינם Google Cloud . אחרי שיוצרים את חשבון Google Cloud , משאב הארגון נוצר באופן אוטומטי. הפעולה הזו מתבצעת כשנכנסים למסוף Google Cloud ומאשרים את התנאים. ארגונים עצמאיים לא זמינים לחשבונות קיימים שלGoogle Cloud .

אפשר ליצור רק ארגון אחד לכל חשבון משתמש. עם זאת, אפשר להזמין משתמש יחיד להיות בעלים של כמה ארגונים ולנהל אותם.

כשיוצרים את משאב הארגון, המערכת מקצה לבעלים של החשבון את התפקידים הבאים:

  • roles/cloudowner.admin (בעלים של הארגון)
  • roles/resourcemanager.organizationAdmin (אדמין ארגוני)

התפקיד Organization Owner מנוהל מחוץ ל-IAM, ומעניק הרשאות לניהול בעלי הארגון ואדמינים מתוך הדף פרטי הארגון. מידע על הוספת בעלים ואדמינים נוספים לארגון זמין במאמר בנושא הגדרת ארגון עצמאי.

איך מוצאים את מזהה הארגון

כדי לקבל את מזהה הארגון של הארגון העצמאי שלכם, אתם יכולים להשתמש במסוף Google Cloud , ב-Google Cloud CLI או ב-Resource Manager API.

המסוף

gcloud

כדי למצוא את מזהה משאב הארגון, מריצים את הפקודה הבאה:

gcloud organizations list

הפקודה הזו מציגה רשימה של כל המשאבים בארגון שאתם שייכים אליו, ומזהי המשאבים התואמים בארגון.

API

כדי למצוא את מזהה משאב הארגון באמצעות Cloud Resource Manager API, משתמשים ב-method‏ organizations.search(), כולל שאילתה לגבי הדומיין. לדוגמה:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

התשובה תכיל את המטא-נתונים של משאב הארגון ששייך ל-altostrat.com, כולל מזהה משאב הארגון.

הגדרת ארגון עצמאי

כשיוצרים Google Cloud חשבון, מקבלים באופן אוטומטי משאב ארגון עצמאי. בקטע הזה נסביר על ההגדרה הראשונית, על התפקידים החיוניים ועל אופן ניהול ההרשאות האלה בארגון.

יוצר החשבון הוא המשתמש הראשון שיש לו גישה למשאב הארגון. משתמשים אחרים בארגון יכולים לראות את המשאב, אבל הם יכולים לשנות אותו רק אחרי שמוגדרות הרשאות מתאימות.

התפקידים 'בעלים של הארגון' ו'אדמין ארגוני' הם תפקידים חשובים להגדרה ולשליטה במחזור החיים של המשאב הארגוני. בדרך כלל שני התפקידים האלה מוקצים למשתמשים או לקבוצות שונים, בהתאם למבנה ולצרכים של הארגון.

האחריות של בעלי הארגון

התפקיד 'בעלים של הארגון' מאפשר לבצע את הפעולות הבאות:

בעלי ארגון יכולים להיות אנשים פרטיים או חשבונות משתמשים במאגר כוח האדם. לכל ארגון עצמאי צריך להיות תמיד לפחות חשבון Google פעיל אחד כבעלים של הארגון. אי אפשר להזמין חשבונות שירות להיות בעלים של הארגון.

האחריות של אדמין ארגוני

התפקיד 'אדמין ארגוני' מאפשר לבצע את הפעולות הבאות:

  • הגדרת כללי מדיניות הרשאה וכללי מדיניות דחייה.
  • הענקת תפקידים בניהול הזהויות והרשאות הגישה למשתמשים אחרים ב- Google Cloud.
  • צפייה בהיררכיית המשאבים.

בהתאם לעיקרון של הרשאות מינימליות, התפקיד הזה מונע מכם לבצע פעולות אחרות, כמו יצירת תיקיות או פרויקטים. כדי לקבל את ההרשאות האלה, אדמין ארגוני צריך להקצות לחשבון שלכם תפקידים נוספים.

הקצאת התפקיד 'בעלים של הארגון' לאנשים פרטיים

  1. נכנסים למסוף Google Cloud כבעלים של הארגון.

  2. נכנסים לדף Organization details במסוף Google Cloud .

    מעבר לפרטי הארגון

  3. בקטע בעלים של הארגון, לוחצים על הוספת בעלים של הארגון.

  4. מזינים את כתובת האימייל של חשבון המשתמש שרוצים להוסיף כבעלים. המערכת שולחת לחשבון המשתמש אימייל עם הזמנה להפוך לבעלים של הארגון. הגורם העיקרי צריך לאשר את ההזמנה תוך 30 ימים כדי להפוך לבעלים של הארגון.

הקצאת התפקיד 'בעלי הארגון' למשתמשים במאגר זהויות של כוח עבודה

בשלב הזה אנחנו מניחים שכבר הגדרתם איחוד שירותי אימות הזהות של כוח העבודה בארגון שלכם. בנוסף, חשוב לוודא שהגדרתם אנשי קשר חיוניים בחשבון.

  1. נכנסים למסוף Google Cloud כבעלים של הארגון.

  2. נכנסים לדף Organization details במסוף Google Cloud .

    מעבר לפרטי הארגון

  3. בקטע בעלים של הארגון, לוחצים על הוספת בעלים של הארגון.

  4. מזינים את מזהה חשבון המשתמש של המשתמש בפורמט principal://iam.googleapis.com/locations/LOCATION/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE.

  5. לוחצים על הבא.

  6. מזינים את כתובת האימייל שאליה רוצים לשלוח את הקישור להזמנת הבעלים. Google Cloud שולח אימייל למשתמש ומזמין אותו להיות בעלים של הארגון. כדי להפוך לבעלים של הארגון, המשתמש צריך לאשר את ההזמנה תוך 30 ימים. כשהמשתמש מאשר את ההזמנה, הוא מקבל באופן אוטומטי את התפקיד 'אדמין של הארגון'.

איך נותנים את התפקיד "אדמין ארגוני"

בעלי הארגון יכולים לתת את התפקיד "אדמין ארגוני" למשתמשים אחרים בדף פרטי הארגון. האפשרות הזו שימושית אם הסרתם בטעות את ההרשאות של מנהל הארגון מכל המשתמשים שיכולים להגדיר מדיניות IAM בארגון, ואתם צריכים לשחזר את הגישה.

כדי להעניק למשתמשים את התפקיד 'אדמין של הארגון', פועלים לפי השלבים הבאים:

  1. נכנסים למסוף Google Cloud כבעלים של הארגון.

  2. נכנסים לדף Organization details במסוף Google Cloud .

    מעבר לפרטי הארגון

  3. מעיינים ברשימה של בעלי הארגון בטבלה בעלי הארגון.

  4. בוחרים את החשבון הראשי שרוצים להקצות לו את התפקיד 'אדמין ארגוני'.

  5. בעמודה האחרונה בטבלה, בקטע פעולות, לוחצים על פעולות נוספות לצד הגורם המורשה.

  6. לוחצים על הענקת התפקיד 'אדמין ארגוני'. לחשבון המשתמש מוקצה התפקיד 'אדמין ארגוני' (roles/resourcemanager.organizationAdmin) במשאב הארגון.

הסרה של בעלים של ארגון

כדי להסיר משתמשים עם התפקיד 'בעלים של הארגון', פועלים לפי השלבים הבאים:

  1. נכנסים למסוף Google Cloud כבעלים של הארגון.

  2. נכנסים לדף Organization details במסוף Google Cloud .

    מעבר לפרטי הארגון

  3. בקטע בעלי הארגון, בוחרים את הגורם העיקרי שרוצים להסיר.

  4. בעמודה האחרונה בטבלה, בקטע פעולות, לוחצים על פעולות נוספות לצד הגורם המורשה.

  5. בתיבת הדו-שיח שמופיעה, לוחצים על הסרה.

הסרה של אדמין בארגון

כדי להסיר משתמשים עם תפקיד אדמין בארגון:

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. בקטע IAM Allow, עוברים אל View by principals.

  3. מוצאים את השורה של חשבון המשתמש שנתתם לו את התפקידים ולוחצים על Edit principal‏ בשורה הזו.

  4. בחלונית Edit permissions לוחצים על סמל המחיקה ליד התפקיד Organization Administrator.

  5. לוחצים על Save.

המאמרים הבאים