Questa guida fornisce informazioni su come ottenere e gestire un'organizzazione autonoma all'interno di Google Cloud.
La risorsa organizzazione funge da nodo radice della gerarchia delle risorse Google Cloud. Nella maggior parte dei casi, per creare un'organizzazione devi essere un super amministratore di Cloud Identity e collegare l' Google Cloud organizzazione a un dominio DNS.
Con le organizzazioni autonome non è necessario Cloud Identity. Quando ti registri per e fornisci un indirizzo email Google, l'organizzazione autonoma viene creata automaticamente. Google Cloud In qualità di proprietario dell'account, acquisisci anche il ruolo di proprietario dell'organizzazione. Puoi quindi utilizzare la pagina Dettagli dell'organizzazione per gestire l'accesso alla proprietà per altri utenti.
Le organizzazioni autonome offrono i seguenti vantaggi:
- Possibilità di aggiungere utenti con identità federate come proprietari dell'organizzazione.
- Possibilità di supportare più organizzazioni per testare diverse funzionalità.
- Possibilità di supportare più proprietari dell'organizzazione per evitare singoli punti di errore se un dipendente lascia l'azienda.
Prima di iniziare
Prima di iniziare, esamina quanto segue:
- Comprendi la risorsa organizzazione.
- Scopri come decidere una gerarchia delle risorse per la tua Google Cloud landing zone.
Identificare l'organizzazione
La tua organizzazione autonoma è identificata da un nome e un ID organizzazione.
Nome organizzazione
Il nome dell'organizzazione predefinito viene creato combinando il nome utente con -org.
I caratteri speciali nel nome utente vengono sostituiti con un trattino. Ad esempio, se il nome utente è lara_brown, il nome dell'organizzazione sarà lara-brown-org.
Questo nome non viene utilizzato da nessuna API di Google. Puoi modificare il nome dell'organizzazione in qualsiasi momento dopo la creazione dell'organizzazione.
Assicurati che i nomi soddisfino i seguenti criteri:
- Contengono solo lettere, numeri o trattini.
- Non utilizzare un nome di dominio. I nomi di dominio sono riservati solo alle organizzazioni Cloud Identity e Google Workspace.
- Non contengono parole comuni come 'Google Cloud'.
ID organizzazione
L'ID organizzazione è un identificatore univoco a livello globale per la tua organizzazione. La Google Cloud console genera questo numero per distinguere la tua organizzazione da tutte le altre in Google Cloud. Gli ID organizzazione sono formattati come numeri interi e non possono avere zeri iniziali.
Non includere informazioni sensibili come informazioni che consentono l'identificazione personale (PII) oppure dati di sicurezza nel nome dell'organizzazione o in altri nomi di risorse. L' ID organizzazione viene utilizzato nel nome di molte altre Google Cloud risorse. Qualsiasi riferimento all'organizzazione o alle risorse correlate espone l'ID organizzazione e il nome della risorsa.
Recuperare una risorsa organizzazione autonoma
Le organizzazioni autonome sono disponibili per tutti i nuovi clienti della prova senza costi Google Cloud . Dopo aver creato l' Google Cloud account, la risorsa organizzazione viene creata automaticamente. Ciò si verifica quando accedi alla Google Cloud console e accetti i termini. Le organizzazioni autonome non sono disponibili per gli account esistenti Google Cloud
Viene creata una sola organizzazione per account utente. Tuttavia, puoi invitare un singolo utente a possedere e amministrare più organizzazioni.
Quando viene creata la risorsa organizzazione, il sistema assegna i seguenti ruoli al proprietario dell'account:
roles/cloudowner.admin(proprietario dell'organizzazione)roles/resourcemanager.organizationAdmin(Amministratore organizzazione)
Il ruolo di proprietario dell'organizzazione viene gestito al di fuori di IAM e concede le autorizzazioni per gestire i proprietari e gli amministratori dell'organizzazione dalla pagina Dettagli dell'organizzazione. Per informazioni su come aggiungere altri proprietari e amministratori alla tua organizzazione, vedi Configurare l'organizzazione autonoma.
Recuperare l'ID organizzazione
Per recuperare l'ID organizzazione della tua organizzazione autonoma, puoi utilizzare la Google Cloud console, Google Cloud CLI o l'API Resource Manager.
Console
Nella Google Cloud console, vai alla pagina Le mie organizzazioni.
La tabella elenca le tue organizzazioni e i relativi ID organizzazione.
gcloud
Per trovare l'ID risorsa dell'organizzazione, esegui il seguente comando:
gcloud organizations list
Questo comando elenca tutte le risorse organizzazione di cui fai parte e i relativi ID risorsa organizzazione.
API
Per trovare l'ID risorsa dell'organizzazione utilizzando l'API Cloud Resource Manager, utilizza il
organizations.search() metodo, includendo una query per il tuo dominio. Ad esempio:
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
La risposta contiene i metadati della risorsa organizzazione appartenente a altostrat.com, incluso l'ID risorsa organizzazione.
Configurare l'organizzazione autonoma
Quando crei un Google Cloud account, ottieni automaticamente una risorsa organizzazione autonoma. In questa sezione scoprirai la configurazione iniziale, i ruoli essenziali e come gestire queste autorizzazioni all'interno della tua organizzazione.
Il creatore dell'account è il primo utente con accesso alla risorsa organizzazione. Gli altri utenti dell'organizzazione possono visualizzare la risorsa, ma possono modificarla solo dopo aver impostato le autorizzazioni appropriate.
Il proprietario dell'organizzazione e Amministratore organizzazione sono ruoli chiave per la configurazione e il controllo del ciclo di vita della risorsa organizzazione. Questi due ruoli vengono in genere assegnati a utenti o gruppi diversi, a seconda della struttura e delle esigenze dell'organizzazione.
Responsabilità del proprietario dell'organizzazione
Il ruolo di proprietario dell'organizzazione ti consente di eseguire le seguenti azioni:
- Assegnare il ruolo di Amministratore organizzazione ad altri utenti.
- Agire da punto di contatto in caso di problemi di ripristino.
- Controllare il ciclo di vita della risorsa organizzazione autonoma, come spiegato in Eliminare, ripristinare e rinominare le organizzazioni autonome.
I proprietari dell'organizzazione possono essere persone o entità all'interno di un pool di forza lavoro. Ogni organizzazione autonoma deve sempre avere almeno un Account Google attivo come proprietario dell'organizzazione. I service account non possono essere invitati a diventare proprietari dell'organizzazione.
Responsabilità dell'Amministratore organizzazione
Il ruolo di amministratore dell'organizzazione ti consente di eseguire le seguenti azioni:
- Definire policy di autorizzazione e di negazione.
- Concedere ruoli Identity and Access Management ad altri utenti in Google Cloud.
- Visualizzare la gerarchia delle risorse.
Secondo il principio del privilegio minimo, questo ruolo ti impedisce di eseguire altre azioni, come la creazione di cartelle o progetti. Per ottenere queste autorizzazioni, è necessario che un Amministratore organizzazione assegni ruoli aggiuntivi al tuo account.
Concedere il ruolo di proprietario dell'organizzazione a persone
- Accedi alla Google Cloud console come proprietario dell'organizzazione.
Nella Google Cloud console, vai alla pagina Dettagli dell'organizzazione.
In Proprietario dell'organizzazione, fai clic su Aggiungi proprietario dell'organizzazione.
Inserisci l'indirizzo email dell'entità che vuoi aggiungere come proprietario. Il sistema invia un'email all'entità invitandola a diventare proprietaria dell'organizzazione. L'entità deve accettare l'invito entro 30 giorni per diventare proprietaria dell'organizzazione.
Concedere il ruolo di proprietario dell'organizzazione agli utenti in un pool di identità per la forza lavoro
Questo passaggio presuppone che tu abbia già configurato la federazione delle identità per la forza lavoro per la tua organizzazione. Inoltre, assicurati che i contatti fondamentali siano configurati nel tuo account.
- Accedi alla Google Cloud console come proprietario dell'organizzazione.
Nella Google Cloud console, vai alla pagina Dettagli dell'organizzazione.
In Proprietario dell'organizzazione, fai clic su Aggiungi proprietario dell'organizzazione.
Inserisci l'identificatore dell'entità dell'utente nel formato
principal://iam.googleapis.com/locations/LOCATION/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE.Fai clic su Avanti.
Inserisci l'indirizzo email a cui inviare il link di invito del proprietario. Google Cloud invia un'email all'utente invitandolo a diventare proprietario dell'organizzazione. Per diventare proprietario dell'organizzazione, l'utente deve accettare l'invito entro 30 giorni. Quando l'utente accetta l'invito, gli viene concesso automaticamente il ruolo di amministratore dell'organizzazione.
Concedere il ruolo di Amministratore organizzazione
Il proprietario dell'organizzazione può concedere il ruolo di Amministratore organizzazione ad altri utenti dalla pagina Dettagli dell'organizzazione. Questa opzione è utile se hai rimosso inavvertitamente le autorizzazioni di Amministratore organizzazione da tutti gli utenti che possono impostare policy IAM nell'organizzazione e devi ripristinare l'accesso.
Per concedere agli utenti il ruolo di Amministratore organizzazione:
- Accedi alla Google Cloud console come proprietario dell'organizzazione.
Nella Google Cloud console, vai alla pagina Dettagli dell'organizzazione.
Visualizza l'elenco dei proprietari dell'organizzazione nella tabella Proprietari dell'organizzazione.
Seleziona l'entità a cui vuoi assegnare il ruolo di Amministratore organizzazione.
Nell'ultima colonna della tabella, in Azioni, fai clic su Altre azioni accanto all'entità.
Fai clic su Concedi il ruolo di amministratore dell'organizzazione. All'entità viene concesso il ruolo di Amministratore organizzazione (
roles/resourcemanager.organizationAdmin) nella risorsa organizzazione.
Rimuovere un proprietario dell'organizzazione
Per rimuovere gli utenti con il ruolo di proprietario dell'organizzazione:
- Accedi alla Google Cloud console come proprietario dell'organizzazione.
Nella Google Cloud console, vai alla pagina Dettagli dell'organizzazione.
In Proprietari dell'organizzazione, seleziona l'entità che vuoi rimuovere.
Nell'ultima colonna della tabella, in Azioni, fai clic su Altre azioni accanto all'entità.
Nella finestra di dialogo visualizzata, fai clic su Rimuovi.
Rimuovere un amministratore dell'organizzazione
Per rimuovere gli utenti con il ruolo di Amministratore organizzazione:
Nella Google Cloud console, vai alla pagina IAM.
In Consenti IAM, vai a Visualizza per entità.
Individua la riga contenente l'entità a cui hai concesso ruoli e fai clic su Modifica entità in quella riga.
Nel riquadro Modifica autorizzazioni, fai clic sull'icona Elimina accanto al ruolo di Amministratore organizzazione.
Fai clic su Salva.