组织资源是 Google Cloud资源层次结构的根节点，可让您集中管理项目和文件夹。您可以设置组织资源，以在整个云环境中保持可见性、控制访问权限并强制执行组织政策。
Google Cloud 会自动为新客户（包括免费试用客户）创建组织资源，并对其强制执行一组默认的组织政策。如需了解详情，请参阅独立组织和管理基准限制条件。
准备工作
阅读组织资源概览。
获取组织资源
Google Workspace 和 Cloud Identity 客户可以使用组织资源：
- Google Workspace：注册 Google Workspace。
- Cloud Identity：注册 Cloud Identity。
创建 Google Workspace 或 Cloud Identity 账号并将其与网域关联后，系统将自动为您创建组织资源。资源将根据您的账号状态在不同的时间进行预配：
- 如果您是 Google Cloud 新用户，尚未创建任何项目，则在您登录 Google Cloud 控制台并接受条款及条件时，系统将为您创建组织资源。
-
如果您已是 Google Cloud 用户，则在您创建新项目或结算账号时，系统将为您自动创建组织资源（如果尚不存在）。您之前创建的所有项目都会列在“无组织”下，这属于正常现象。系统会显示组织资源，并且您创建的新项目会自动与该资源相关联。
您需要将之前在“无组织”下创建的所有项目移动到新组织资源中。如需了解项目迁移方法，请参阅将项目迁移到组织资源中。
创建的组织资源将与您创建的具有项目或结算账号的 Google Workspace 或 Cloud Identity 账号关联，这些项目和结算账号被设置为子资源。在您的 Google Workspace 或 Cloud Identity 网域下创建的所有项目和结算账号都将成为该组织资源的子级。
- 如需了解如何迁移现有项目，请参阅迁移现有项目。
每个 Google Workspace 或 Cloud Identity 账号只能与一个组织资源关联。一个组织资源只能与一个网域关联，该网域在创建组织资源时设置。
注意：尝试使用已存在的域名注册组织会导致“此域名已被使用”错误。如需解决此问题，请按照解决“此域名已被使用”问题中的步骤操作。
如需主动采用组织资源，Google Workspace 或 Cloud Identity 超级用户需要将 Organization Administrator (roles/resourcemanager.organizationAdmin) Identity and Access Management (IAM) 角色分配给用户或群组。如需了解设置组织资源的步骤，请参阅设置组织资源。
- 创建组织资源后，系统会自动在组织资源级层向您网域中的所有用户授予 Project Creator (
roles/resourcemanager.projectCreator) 和 Billing Account Creator (roles/billing.creator) IAM 角色。因此，您网域中的用户可以继续创建项目，没有任何中断。 - 组织管理员将决定何时开始主动使用组织资源。然后，他们可以根据需要更改默认权限并实施更严格的政策。
- 如果组织资源可用，但您没有查看该资源的 IAM 权限，您仍然可以创建项目和结算账号。这些资源是在组织资源下自动创建的，即使您看不到也是如此。
Google Cloud 安全基准
Google Cloud 安全基准通过在创建组织资源时强制执行的一系列组织政策来解决不安全的安全状况。这些限制条件会在您的组织创建时自动创建并强制执行。如需了解如何查看和管理这些限制条件，请参阅 Google Cloud 安全基准限制条件。
获取组织资源 ID
组织资源 ID 是组织资源的唯一标识符，在创建组织资源时自动创建。组织资源 ID 采用十进制数字的格式，不能以零开头。
您可以使用 Google Cloud 控制台、gcloud CLI 或 Cloud Resource Manager API 获取组织资源 ID。
控制台
如需使用 Google Cloud 控制台获取组织资源 ID，请执行以下操作：
- 前往 Google Cloud 控制台：
- 从页面顶部的项目选择器中，选择您的组织资源。
- 在右侧，依次点击更多和设置。
设置页面会显示您的组织资源 ID。
gcloud
如需查找组织资源 ID，请运行以下命令：
gcloud organizations list
此命令会列出您所属的所有组织资源及其对应的组织资源 ID。
API
如需使用 Cloud Resource Manager API 查找组织资源 ID，请使用 organizations.search() 方法，包括对网域的查询。例如：
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
响应包含属于 altostrat.com 的组织资源的元数据，其中包括组织资源 ID。
设置组织资源
如果您是 Google Workspace 或 Cloud Identity 客户，系统会自动为您提供组织资源。
Google Workspace 或 Cloud Identity 超级用户是第一批可以在组织资源创建后访问组织资源的用户。所有其他用户或群组将能够像以前一样使用 Google Cloud 。他们将能够看到组织资源，但只有在设置正确的权限后才能对其进行修改。
Google Workspace 或 Cloud Identity 超级用户和Google Cloud Organization Administrator 是设置过程中的关键角色，用于对组织资源进行生命周期控制。
默认情况下，系统会自动向创建组织资源的 Google Workspace 或 Cloud Identity 超级用户账号分配 Organization Administrator 角色。但是，为了保持职责分离，我们建议超级用户将 Organization Administrator 角色委托给其他用户或群组。
在 Google Cloud 组织资源设置的上下文中，Google Workspace 或 Cloud Identity 超级用户的职责包括：
- 向部分用户分配 Organization Administrator 角色
- 担任恢复问题的联系人
- 控制 Google Workspace 或 Cloud Identity 账号和组织资源的生命周期，如删除组织中所述
分配的 Organization Administrator 可以为其他用户分配 Identity and Access Management 角色。Organization Administrator 角色的责任包括：
- 定义允许和拒绝政策，并向其他用户授予角色。
- 查看资源层次结构的结构
该角色遵循最小权限原则，不包括执行其他操作的权限，如创建文件夹或项目。如需获得这些权限，Organization Administrator 必须为其账号分配其他角色。
虽然同一用户可以同时担任这两个角色，但拥有两个不同的角色可确保 Google Workspace 或 Cloud Identity 超级用户与 Google Cloud Organization Administrator 之间职责分离。这通常是一项要求，因为这两个 Google 产品通常由客户组织中的不同部门管理。
如需主动使用组织资源，请按照以下步骤添加组织管理员：
添加 Organization Administrator
如需添加 Organization Administrator，您可以使用 Google Cloud 控制台、Google Cloud CLI 或 Resource Manager API。
控制台
以 Google Workspace 或 Cloud Identity 超级用户身份登录 Google Cloud 控制台，然后前往 IAM 和管理页面：
选择要修改的组织资源：
点击页面顶部的项目下拉列表。
在从下项选择对话框中，点击组织下拉列表，然后选择要向其添加 Organization Administrator 的组织资源。
在随即显示的列表中，点击组织资源以打开其 IAM 权限页面。
点击添加，然后输入要设置为 Organization Administrator 的一个或多个用户的电子邮件地址。
在选择角色下拉列表中，选择 Resource Manager > Organization Administrator，然后点击保存。
Organization Administrator 可以执行以下操作：
完全控制组织资源。Google Workspace 或 Cloud Identity 超级用户与 Google Cloud管理员之间的职责分离已建立。
分配相关 IAM 角色以委派对关键职能的责任。
gcloud
如需添加 Organization Administrator，请运行 gcloud organizations add-iam-policy-binding 命令：
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member="user:EMAIL_ADDRESS" \
--role="roles/resourcemanager.organizationAdmin"
替换以下内容：
ORGANIZATION_ID：组织资源的唯一 ID。EMAIL_ADDRESS：您要添加为 Organization Administrator 的用户的邮箱。
API
如需添加 Organization Administrator，请对组织资源调用 setIamPolicy 方法。
获取组织资源的当前 IAM 政策：
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy更新返回的政策，将成员添加到
roles/resourcemanager.organizationAdmin角色。设置更新后的政策：
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy { "policy": { "bindings": [ { "role": "roles/resourcemanager.organizationAdmin", "members": [ "user:EMAIL_ADDRESS" ] } ], "etag": "ETAG_VALUE" } }替换以下内容：
ORGANIZATION_ID：组织资源的唯一 ID。EMAIL_ADDRESS：您要添加为 Organization Administrator 的用户的邮箱。ETAG_VALUE：第一步中返回的政策中的etag值。
如获取组织资源中所述，创建组织资源后，系统会默认为网域中的所有用户授予组织资源级层的 Project Creator 和 Billing Account Creator 角色。这样可以确保在创建组织资源时不会对 Google Cloud 用户造成任何干扰。当组织管理员接管控制权后，他们可能希望移除这些组织级权限，以便开始以更精细的粒度（例如，在文件夹或项目级）锁定访问权限。请注意，由于允许和拒绝政策会沿层次结构向下继承，因此在组织资源级层向整个网域 (domain:mycompany.com) 分配 Project Creator 角色意味着网域中的每个用户都可以在层次结构中的任何位置创建项目。