Google Cloud-Organisationsressource einrichten

Eine Organisationsressource ist der Stammknoten der Google Cloud-Ressourcenhierarchie und ermöglicht die zentrale Verwaltung Ihrer Projekte und Ordner. Sie können eine Organisationsressource einrichten, um die Transparenz zu wahren, den Zugriff zu steuern und Organisationsrichtlinien in Ihrer Cloud-Umgebung durchzusetzen.

Google Cloud erstellt automatisch eine Organisationsressource für neue Kunden, einschließlich Kunden mit kostenloser Testversion, und erzwingt einen Standardsatz von Organisationsrichtlinien. Weitere Informationen finden Sie unter Eigenständige Organisationen und Baseline-Einschränkungen verwalten.

Hinweis

Übersicht über die Organisationsressource

Organisationsressource abrufen

Eine Organisationsressource ist für Google Workspace- und Cloud Identity-Kunden verfügbar:

• Google Workspace: Registrieren Sie sich für Google Workspace.
• Cloud Identity: Registrieren Sie sich für Cloud Identity.

Sobald Sie Ihr Google Workspace- oder Cloud Identity-Konto erstellt und einer Domain zugeordnet haben, wird automatisch die Organisationsressource für Sie erstellt. Die Ressource wird je nach Kontostatus zu unterschiedlichen Zeiten bereitgestellt:

• Wenn Sie neu bei Google Cloud sind und noch kein Projekt erstellt haben, wird die Organisationsressource für Sie erstellt, wenn Sie sich in der Google Cloud Console anmelden und die Nutzungsbedingungen akzeptieren.

• Wenn Sie bereits Google Cloud -Nutzer sind, wird die Organisationsressource für Sie erstellt, wenn Sie ein neues Projekt oder Rechnungskonto erstellen (falls noch keines vorhanden ist). Alle Projekte, die Sie zuvor erstellt haben, werden unter „Keine Organisation“ aufgeführt. Dies ist normal. Die Organisationsressource wird angezeigt und das neu erstellte Projekt wird automatisch mit ihr verknüpft.

  Sie müssen alle Projekte, die Sie unter „Keine Organisation“ erstellt haben, in die neue Organisationsressource verschieben. Eine Anleitung zum Verschieben Ihrer Projekte finden Sie unter Projekte in eine Organisationsressource migrieren.

Die erstellte Organisationsressource wird mit Ihrem Google Workspace- oder Cloud Identity-Konto verknüpft, wobei das von Ihnen erstellte Projekt oder Rechnungskonto als untergeordnete Ressource festgelegt wird. Alle Projekte und Rechnungskonten, die unter Ihrer Google Workspace- oder Cloud Identity-Domain erstellt wurden, sind untergeordnete Elemente dieser Organisationsressource.

• Weitere Informationen zum Migrieren bereits vorhandener Projekte finden Sie unter Vorhandene Projekte zu einer Organisation migrieren.

Jedes Google Workspace- oder Cloud Identity-Konto ist genau einer Organisationsressource zugeordnet. Eine Organisationsressource ist genau einer Domain zugeordnet, die beim Erstellen der Organisationsressource festgelegt wird.

Hinweis: Wenn Sie versuchen, eine Organisation mit einer bereits vorhandenen Domain zu registrieren, wird die Fehlermeldung „Diese Domain wird bereits verwendet“ angezeigt. Führen Sie die Schritte unter Fehler „Diese Domain wird bereits verwendet“ beheben aus, um dieses Problem zu beheben.

Wichtig: Wenn die Organisationsressource erstellt wird, informieren wir die Google Workspace- oder Cloud Identity-Super Admins über ihre Verfügbarkeit. Diese Super-Administratorkonten sollten mit Bedacht verwendet werden, da sie viel Kontrolle über Ihre Organisationsressource und alle darunter liegenden Ressourcen haben. Aus diesem Grund raten wir davon ab, Google Workspace- oder Cloud Identity-Super Admin-Konten für die tägliche Verwaltung Ihrer Organisationsressource zu verwenden. Weitere Informationen zur Verwendung von Google Workspace- oder Cloud Identity-Super-Administratorkonten in Google Cloudfinden Sie unter Best Practices für Super-Administratorkonten.

Damit die Organisationsressource aktiv übernommen wird, müssen die Super Admins von Google Workspace oder Cloud Identity einem Nutzer oder einer Gruppe die IAM-Rolle (Identity and Access Management) Organization Administrator (roles/resourcemanager.organizationAdmin) zuweisen. Eine Anleitung zum Einrichten Ihrer Organisationsressource finden Sie unter Organisationsressource einrichten.

• Wenn die Organisationsressource erstellt wird, erhalten alle Nutzer in Ihrer Domain automatisch die IAM-Rollen „Projektersteller“ (roles/resourcemanager.projectCreator) und „Rechnungskonto-Ersteller“ (roles/billing.creator) auf Ebene der Organisationsressource. Dadurch können Nutzer in Ihrer Domain weiterhin nahtlos Projekte erstellen.
• Der Organization Administrator entscheidet, wann die Organisationsressource aktiv verwendet werden soll. Er kann bei Bedarf die Standardberechtigungen ändern und restriktivere Richtlinien durchsetzen.
• Wenn die Organisationsressource verfügbar ist und Sie nicht die IAM-Berechtigungen haben, um sie aufzurufen, können Sie trotzdem Projekte und Rechnungskonten erstellen. Diese werden automatisch unter der Organisationsressource erstellt, auch wenn Sie sie nicht sehen können.

Hinweis: Es gibt eine zweite Möglichkeit, eine Organisationsressource zu erhalten: Eine eigenständige Organisation wird automatisch für Nutzer erstellt, wenn sie sich für ein Google-Konto registrieren. Weitere Informationen finden Sie in der Dokumentation zu eigenständigen Organisationen.

Google Cloud -Sicherheitsgrundlage

DieGoogle Cloud -Sicherheitsgrundlage behebt unsichere Sicherheitsstatus mit einem Bündel von Organisationsrichtlinien, die erzwungen werden, wenn eine Organisationsressource erstellt wird. Diese Einschränkungen werden automatisch erstellt und bei der Erstellung Ihrer Organisation erzwungen. Informationen zum Aufrufen und Verwalten dieser Einschränkungen finden Sie unter Sicherheits-Baseline-Einschränkungen fürGoogle Cloud .

ID der Organisationsressource abrufen

Die Organisationsressourcen-ID ist eine eindeutige Kennung für eine Organisationsressource und wird automatisch erstellt, wenn Ihre Organisationsressource erstellt wird. Organisationsressourcen-IDs werden als Dezimalzahlen formatiert und dürfen keine führenden Nullen enthalten.

Sie können die ID Ihrer Organisationsressource über die Google Cloud Console, die gcloud CLI oder die Cloud Resource Manager API abrufen.

Console

So rufen Sie die ID Ihrer Organisationsressource über die Google Cloud Console ab:

1. Rufen Sie die Google Cloud Console auf:

   Rufen Sie die Google Cloud Console auf.

2. Wählen Sie oben auf der Seite in der Projektauswahl Ihre Organisationsressource aus.
3. Klicken Sie rechts auf das Dreipunkt-Menü und dann auf Einstellungen.
   

Auf der Seite Einstellungen wird die ID Ihrer Organisationsressource angezeigt.

gcloud

Führen Sie den folgenden Befehl aus, um die ID Ihrer Organisationsressource zu ermitteln:

gcloud organizations list

Mit diesem Befehl werden alle Organisationsressourcen, zu denen Sie gehören, und die entsprechenden Organisationsressourcen-IDs aufgelistet.

API

Wenn Sie die Ressourcen-ID Ihrer Organisation mit der Cloud Resource Manager API ermitteln möchten, verwenden Sie die Methode organizations.search(), einschließlich einer Abfrage für Ihre Domain. Beispiel:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

Die Antwort enthält die Metadaten der Organisationsressource, die zu altostrat.com gehört, einschließlich der ID der Organisationsressource.

Organisationsressource einrichten

Wenn Sie Google Workspace- oder Cloud Identity-Kunde sind, wird Ihnen automatisch eine Organisationsressource bereitgestellt.

Die Google Workspace- oder Cloud Identity-Super Admins sind die ersten Nutzer, die nach der Erstellung auf die Organisationsressource zugreifen können. Alle anderen Nutzer oder Gruppen können Google Cloud wie gewohnt verwenden. Sie können die Organisationsressource sehen, aber erst ändern, wenn die richtigen Berechtigungen festgelegt sind.

Die Super Admins von Google Workspace oder Cloud Identity und derGoogle Cloud Organization Administrator spielen eine wichtige Rolle beim Einrichten und der Lebenszyklussteuerung der Organisationsressource.

Standardmäßig wird dem Google Workspace- oder Cloud Identity-Super Admin-Konto, das die Organisationsressource erstellt, automatisch die Rolle Organization Administrator zugewiesen. Um die Aufgabentrennung aufrechtzuerhalten, empfehlen wir jedoch, dass der Super Admin die Rolle Organization Administrator an einen anderen Nutzer oder eine andere Gruppe delegiert.

Die Aufgaben von Google Workspace- oder Cloud Identity-Super Admins im Rahmen der Einrichtung von Google Cloud -Organisationsressourcen sind:

• Einigen Nutzern die Rolle Organization Administrator zuweisen
• Er ist Ansprechpartner bei Problemen mit der Wiederherstellung.
• Steuerung des Lebenszyklus des Google Workspace- oder Cloud Identity-Kontos und der Organisationsressource, wie unter Organisation löschen erläutert

Sobald der Administrator der Organisation zugewiesen wurde, kann er anderen Nutzern Rollen für die Identitäts- und Zugriffsverwaltung zuweisen. Der Administrator der Organisation ist für Folgendes verantwortlich:

• Zulassungs- und Ablehnungsrichtlinien definieren und anderen Nutzern Rollen zuweisen.
• Struktur der Ressourcenhierarchie

Diese Rolle enthält gemäß dem Prinzip der geringsten Berechtigung keine Berechtigung zum Ausführen anderer Aktionen wie des Erstellens von Ordnern oder Projekten. Ein Administrator der Organisation muss dem Konto weitere Rollen zuweisen, um diese Berechtigungen zu erhalten.

Ein und derselbe Nutzer kann zwar beide Rollen innehaben, aber durch die Verwendung von zwei unterschiedlichen Rollen wird eine Aufgabentrennung zwischen den Super Admins von Google Workspace oder Cloud Identity und dem Google Cloud Organization Administrator gewährleistet. Dies ist oft erforderlich, da die beiden Google-Produkte in der Regel von verschiedenen Abteilungen in der Organisation des Kunden verwaltet werden.

Wenn Sie die Organisationsressource aktiv verwenden möchten, fügen Sie einen Organization Administrator hinzu:

Organisationsadministrator hinzufügen

Sie können einen Organisationsadministrator über die Google Cloud Console, die Google Cloud CLI oder die Resource Manager API hinzufügen.

Console

1. Melden Sie sich in der Google Cloud -Konsole als Google Workspace- oder Cloud Identity-Super Admin an und rufen Sie die Seite IAM und Verwaltung auf:

   Zur Seite "IAM & Verwaltung"

2. Wählen Sie die Organisationsressource aus, die Sie bearbeiten möchten:

   1. Klicken Sie oben auf der Seite auf die Projekt-Drop-down-Liste.

   2. Klicken Sie im Dialogfeld Auswählen aus auf die Drop-down-Liste „Organisation“ und wählen Sie die Organisationsressource aus, der Sie einen Organisationsadministrator hinzufügen möchten.

   3. Klicken Sie in der angezeigten Liste auf die Organisationsressource, um die Seite IAM-Berechtigungen zu öffnen.

3. Klicken Sie auf Hinzufügen und geben Sie die E‑Mail-Adresse eines oder mehrerer Nutzer ein, die Sie als Organization Administrators festlegen möchten.

4. Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Resource Manager > Organization Administrator aus und klicken Sie dann auf Speichern.

   Der Organization Administrator kann Folgendes tun:

   • Vollständige Kontrolle über die Organisationsressource übernehmen. Die Aufgaben zwischen dem Super Admin von Google Workspace oder Cloud Identity und dem Google Cloud-Administrator sind getrennt.

   • Delegieren Sie Verantwortung für wichtige Funktionen, indem Sie die entsprechenden IAM-Rollen zuweisen.

gcloud

Führen Sie den Befehl gcloud organizations add-iam-policy-binding aus, um einen Organisationsadministrator hinzuzufügen:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Ersetzen Sie Folgendes:

• ORGANIZATION_ID: die eindeutige ID Ihrer Organisationsressource.
• EMAIL_ADDRESS: die E-Mail-Adresse des Nutzers, den Sie als Organisationsadministrator hinzufügen möchten.

API

Wenn Sie einen Organisationsadministrator hinzufügen möchten, rufen Sie die Methode setIamPolicy für die Organisationsressource auf.

1. Rufen Sie die aktuelle IAM-Richtlinie für die Organisationsressource ab:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy
   

2. Aktualisieren Sie die zurückgegebene Richtlinie, um das Mitglied der Rolle roles/resourcemanager.organizationAdmin hinzuzufügen.

3. Legen Sie die aktualisierte Richtlinie fest:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
   {
     "policy": {
       "bindings": [
         {
           "role": "roles/resourcemanager.organizationAdmin",
           "members": [
             "user:EMAIL_ADDRESS"
           ]
         }
       ],
       "etag": "ETAG_VALUE"
     }
   }
   

   Ersetzen Sie Folgendes:

   • ORGANIZATION_ID: die eindeutige ID Ihrer Organisationsressource.
   • EMAIL_ADDRESS: die E-Mail-Adresse des Nutzers, den Sie als Organisationsadministrator hinzufügen möchten.
   • ETAG_VALUE: der etag-Wert aus der Richtlinie, die im ersten Schritt zurückgegeben wurde.

Wie unter Organisationsressource abrufen erläutert, werden allen Nutzern in der Domain beim Erstellen standardmäßig die Rollen „Projektersteller“ und „Rechnungskonto-Ersteller“ auf Ebene der Organisationsressource zugewiesen. So wird sichergestellt, dass die Erstellung der Organisationsressource für die Nutzer von Google Cloud keine Unterbrechung verursacht. Wenn der Organization Administrator die Kontrolle übernimmt, möchte er diese Berechtigungen auf Organisationsebene möglicherweise entfernen, um den Zugriff auf einer feineren Granularitätsebene (z. B. auf Ordner- oder Projektebene) einzuschränken. Da Zulassungs- und Ablehnungsrichtlinien in der Hierarchie nach unten vererbt werden, bedeutet die Zuweisung der Rolle „Projektersteller“ für die gesamte Domain (domain:mycompany.com) auf Ebene der Organisationsressource, dass jeder Nutzer in der Domain Projekte an einer beliebigen Stelle in der Hierarchie erstellen kann.

Nächste Schritte

• Projekte und Abrechnung in Ihrer Organisation verwalten