הגדרת משאב ארגון ב-Google Cloud

משאב הארגון הוא צומת הבסיס של היררכיית המשאבים ב-Google Cloud, והוא מאפשר לנהל את הפרויקטים והתיקיות באופן מרוכז. אתם יכולים להגדיר משאב ארגון כדי לשמור על הרשאות הגישה, לשלוט בגישה ולאכוף את מדיניות הארגון בסביבת הענן.

‫Google Cloud יוצר באופן אוטומטי משאב ארגון ללקוחות חדשים, כולל לקוחות בתקופת ניסיון בחינם, ומחיל עליו קבוצת ברירת מחדל של כללי מדיניות של הארגון. למידע נוסף, קראו את המאמרים ארגונים עצמאיים וניהול אילוצים בסיסיים.

לפני שמתחילים

סקירה כללית על משאב הארגון.

איך מקבלים משאב מסוג "ארגון"

משאב ארגון זמין ללקוחות Google Workspace ו-Cloud Identity :

• ‫Google Workspace: נרשמים ל-Google Workspace.
• ‫Cloud Identity: נרשמים ל-Cloud Identity.

אחרי שיוצרים חשבון Google Workspace או Cloud Identity ומשייכים אותו לדומיין, משאב הארגון נוצר באופן אוטומטי. המשאב יוקצה בזמנים שונים בהתאם לסטטוס החשבון:

• אם אתם משתמשים חדשים ב- Google Cloud ועדיין לא יצרתם פרויקט, משאב הארגון ייווצר בשבילכם כשתתחברו למסוף Google Cloud ותאשרו את התנאים וההגבלות.

• אם אתם משתמשים קיימים ב- Google Cloud , משאב הארגון ייווצר בשבילכם כשתצרו פרויקט חדש או חשבון חדש לחיוב (אם עדיין אין לכם אחד כזה). כל הפרויקטים שיצרתם בעבר יופיעו בקטע No organization, וזה תקין. יופיע משאב הארגון, והפרויקט החדש שיצרתם יקושר אליו באופן אוטומטי.

  תצטרכו להעביר את כל הפרויקטים שיצרתם בקטגוריה "ללא ארגון" למשאב הארגון החדש. במאמר העברת פרויקטים למשאב ארגוני מוסבר איך להעביר את הפרויקטים.

משאב הארגון שנוצר יקושר לחשבון Google Workspace או Cloud Identity, והפרויקט או החשבון לחיוב שיצרתם יוגדרו כמשאב צאצא. כל הפרויקטים וחשבונות החיוב שנוצרו בדומיין של Google Workspace או Cloud Identity יהיו צאצאים של משאב הארגון הזה.

• במאמר העברת פרויקטים קיימים מוסבר איך מעבירים פרויקטים קיימים.

כל חשבון Google Workspace או Cloud Identity משויך למשאב ארגון אחד בלבד. משאב הארגון משויך לדומיין אחד בדיוק, שמוגדר כשיוצרים את משאב הארגון.

הערה: אם תנסו לרשום ארגון עם דומיין שכבר קיים, תופיע הודעת השגיאה "הדומיין הזה כבר בשימוש". כדי לפתור את הבעיה, פועלים לפי השלבים שמפורטים במאמר פתרון השגיאה "הדומיין כבר בשימוש".

חשוב: כשמשאב הארגון נוצר, אנחנו מודיעים על הזמינות שלו לסופר-אדמינים ב-Google Workspace או ב-Cloud Identity. חשוב להשתמש בזהירות בחשבונות הסופר-אדמין האלה, כי יש להם שליטה רבה במשאב הארגון ובכל המשאבים שמתחתיו. לכן, אנחנו ממליצים לא להשתמש בחשבונות סופר-אדמין ב-Google Workspace או ב-Cloud Identity לניהול היומיומי של משאב הארגון. למידע נוסף על השימוש בחשבונות סופר-אדמין של Google Workspace או Cloud Identity ב- Google Cloud, קראו את השיטות המומלצות לגבי חשבון סופר-אדמין.

כדי להשתמש באופן פעיל במשאב הארגון, הסופר-אדמינים ב-Google Workspace או ב-Cloud Identity צריכים להקצות למשתמש או לקבוצה את התפקיד אדמין ארגוני (roles/resourcemanager.organizationAdmin) בממשק לניהול זהויות והרשאות גישה (IAM). במאמר הגדרת משאב הארגון מוסבר איך מגדירים את משאב הארגון.

• כשיוצרים את משאב הארגון, כל המשתמשים בדומיין מקבלים באופן אוטומטי את התפקידים "יצירת פרויקטים" (roles/resourcemanager.projectCreator) ו"יצירת חשבונות לחיוב" (roles/billing.creator) ב-IAM ברמת משאב הארגון. כך המשתמשים בדומיין יוכלו להמשיך ליצור פרויקטים בלי הפרעה.
• האדמין של הארגון יחליט מתי להתחיל להשתמש באופן פעיל במשאב הארגון. לאחר מכן הם יכולים לשנות את הרשאות ברירת המחדל ולאכוף כללי מדיניות מגבילים יותר לפי הצורך.
• אם משאב הארגון זמין ואין לכם הרשאות IAM כדי לצפות בו, אתם עדיין יכולים ליצור פרויקטים וחשבונות לחיוב. הם נוצרים באופן אוטומטי במשאב הארגון, גם אם אתם לא יכולים לראות אותו.

הערה: יש דרך נוספת לקבל משאב ארגון: ארגון עצמאי נוצר באופן אוטומטי למשתמשים כשהם נרשמים לחשבון Google. למידע נוסף, קראו את המאמר בנושא ארגונים עצמאיים.

בסיס האבטחה שלGoogle Cloud

Google Cloud מטפל במצבי אבטחה לא בטוחים באמצעות חבילה של כללי מדיניות של הארגון, שנאכפים כשנוצר משאב של הארגון. האילוצים האלה נוצרים ונאכפים באופן אוטומטי בארגון שלכם כשהוא נוצר. למידע על הצגה וניהול של המגבלות האלה, ראו Google Cloud מגבלות בסיסיות לאבטחה.

איך מקבלים את מזהה המשאב של הארגון

מזהה משאב הארגון הוא מזהה ייחודי של משאב הארגון, והוא נוצר באופן אוטומטי כשיוצרים את משאב הארגון. המזהים של משאבי הארגון הם מספרים עשרוניים, ולא יכולים להתחיל באפסים.

אפשר לקבל את מזהה המשאב של הארגון באמצעות מסוף Google Cloud , ה-CLI של gcloud או Cloud Resource Manager API.

console

כדי לקבל את מזהה המשאב של הארגון באמצעות מסוף Google Cloud :

1. נכנסים למסוף Google Cloud :

   כניסה למסוף Google Cloud

2. בכלי לבחירת פרויקטים שבחלק העליון של הדף, בוחרים את משאב הארגון.
3. בצד שמאל, לוחצים על סמל האפשרויות הנוספות ואז על הגדרות.
   

בדף Settings מוצג מזהה המשאב של הארגון.

gcloud

כדי למצוא את מזהה המשאב של הארגון, מריצים את הפקודה הבאה:

gcloud organizations list

הפקודה הזו מציגה את כל משאבי הארגון שאתם שייכים אליהם, ואת המזהים התואמים של משאבי הארגון.

API

כדי למצוא את מזהה המשאב של הארגון באמצעות Cloud Resource Manager API, משתמשים ב-method‏ organizations.search(), כולל שאילתה לדומיין. לדוגמה:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

התשובה מכילה את המטא-נתונים של משאב הארגון ששייך ל-altostrat.com, כולל המזהה של משאב הארגון.

הגדרת משאב הארגון

אם אתם לקוחות של Google Workspace או של Cloud Identity, אתם מקבלים משאב ארגון באופן אוטומטי.

הסופר-אדמינים של Google Workspace ו-Cloud Identity הם המשתמשים הראשונים שיכולים לגשת למשאב הארגון אחרי שהוא נוצר. כל המשתמשים או הקבוצות האחרים יוכלו להשתמש ב- Google Cloud כמו קודם. הם יוכלו לראות את משאב הארגון, אבל יוכלו לשנות אותו רק אחרי שיוגדרו ההרשאות המתאימות.

הסופר-אדמינים של Google Workspace או Cloud Identity וGoogle Cloud האדמינים הארגוניים הם תפקידי מפתח בתהליך ההגדרה ובבקרה על מחזור החיים של משאב הארגון.

כברירת מחדל, לחשבון הסופר-אדמין ב-Google Workspace או ב-Cloud Identity שיוצר את משאב הארגון מוקצה באופן אוטומטי התפקיד אדמין ארגוני. עם זאת, כדי לשמור על הפרדת תפקידים, מומלץ שהסופר-אדמין יקצה את התפקיד Organization Administrator למשתמש או לקבוצה אחרים.

תחומי האחריות של סופר-אדמינים ב-Google Workspace או ב-Cloud Identity, בהקשר של הגדרת משאב הארגון ב- Google Cloud , הם:

• הקצאת התפקיד Organization Administrator לחלק מהמשתמשים
• להיות איש קשר במקרה של בעיות בשחזור החשבון
• שליטה במחזור החיים של החשבון ב-Google Workspace או ב-Cloud Identity ושל משאב הארגון, כמו שמוסבר בקטע מחיקת ארגון.

אחרי שמקצים את התפקיד אדמין ארגוני, אפשר להקצות תפקידים בניהול הזהויות והרשאות הגישה למשתמשים אחרים. תחומי האחריות של התפקיד Organization Administrator הם:

• הגדרת כללי מדיניות של הרשאות ודחיות והקצאת תפקידים למשתמשים אחרים.
• הצגת המבנה של היררכיית המשאבים

בהתאם לעיקרון של הרשאות מינימליות, התפקיד הזה לא כולל את ההרשאה לבצע פעולות אחרות, כמו יצירת תיקיות או פרויקטים. כדי לקבל את ההרשאות האלה, Organization Administrator צריך להקצות תפקידים נוספים לחשבון שלו.

אותו משתמש יכול להחזיק בשני התפקידים, אבל שני תפקידים נפרדים מבטיחים הפרדת תפקידים בין הסופר-אדמינים של Google Workspace או Cloud Identity לבין ה-Organization Administrator ב- Google Cloud . בדרך כלל זו דרישה, כי שני מוצרי Google מנוהלים בדרך כלל על ידי מחלקות שונות בארגון של הלקוח.

כדי להשתמש באופן פעיל במשאב הארגון, צריך להוסיף Organization Administrator:

הוספת אדמין ארגוני

כדי להוסיף אדמין ארגוני, אתם יכולים להשתמש במסוף Google Cloud , ב-Google Cloud CLI או ב-Resource Manager API.

המסוף

1. נכנסים למסוף Google Cloud כסופר-אדמין ב-Google Workspace או ב-Cloud Identity, ועוברים לדף IAM & Admin:

   פתיחת הדף "IAM וניהול"

2. בוחרים את משאב הארגון שרוצים לערוך:

   1. לוחצים על הרשימה הנפתחת של הפרויקטים בחלק העליון של הדף.

   2. בתיבת הדו-שיח Select from, לוחצים על הרשימה הנפתחת של הארגון ובוחרים את המשאב הארגוני שאליו רוצים להוסיף את התפקיד Organization Administrator.

   3. ברשימה שמופיעה, לוחצים על משאב הארגון כדי לפתוח את הדף IAM Permissions שלו.

3. לוחצים על Add ומזינים את כתובת האימייל של המשתמשים שרוצים להגדיר כמנהלי הארגון.

4. ברשימה הנפתחת Select a role, בוחרים באפשרות Resource Manager > Organization Administrator, ואז לוחצים על Save.

   האדמין הארגוני יכול:

   • שליטה מלאה במשאב הארגון. הפרדת תחומי האחריות בין סופר-אדמין ב-Google Workspace או ב-Cloud Identity לבין אדמין ב- Google Cloud.

   • להקצות תפקידים רלוונטיים ב-IAM כדי להאציל סמכויות על פונקציות קריטיות.

gcloud

כדי להוסיף את התפקיד "Organization Administrator", מריצים את הפקודה gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

מחליפים את מה שכתוב בשדות הבאים:

• ‫ORGANIZATION_ID: המזהה הייחודי של משאב הארגון.
• ‫EMAIL_ADDRESS: כתובת האימייל של המשתמש שרוצים להוסיף כמנהל חשבון ארגוני.

API

כדי להוסיף Organization Administrator, צריך להפעיל את ה-method‏ setIamPolicy במשאב הארגון.

1. מציגים את מדיניות ה-IAM הנוכחית של משאב הארגון:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy
   

2. מעדכנים את המדיניות שמוחזרת כדי להוסיף את החבר לתפקיד roles/resourcemanager.organizationAdmin.

3. מגדירים את המדיניות המעודכנת:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
   {
     "policy": {
       "bindings": [
         {
           "role": "roles/resourcemanager.organizationAdmin",
           "members": [
             "user:EMAIL_ADDRESS"
           ]
         }
       ],
       "etag": "ETAG_VALUE"
     }
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ORGANIZATION_ID: המזהה הייחודי של משאב הארגון.
   • ‫EMAIL_ADDRESS: כתובת האימייל של המשתמש שרוצים להוסיף כמנהל ארגון.
   • ‫ETAG_VALUE: הערך של etag מהמדיניות שהוחזרה בשלב הראשון.

כפי שמוסבר במאמר קבלת משאב ארגון, כשיוצרים משאב ארגון, כל המשתמשים בדומיין מקבלים כברירת מחדל את התפקידים "יצירת פרויקטים" ו"יצירת חשבונות לחיוב" ברמת משאב הארגון. כך אפשר לוודא שלא תהיה הפרעה למשתמשי Google Cloud כשיוצרים את משאב הארגון. כשהמשתמשים בתפקיד Organization Administrator מקבלים את השליטה, הם יכולים להסיר את ההרשאות האלה ברמת הארגון כדי להתחיל לנעול את הגישה ברמת פירוט גבוהה יותר (למשל, ברמת התיקייה או הפרויקט). שימו לב: מכיוון שמדיניות ההרשאות והחסימות עוברת בירושה במורד ההיררכיה, אם התפקיד "יצירת פרויקטים" מוקצה לכל הדומיין (domain:mycompany.com) ברמת משאב הארגון, כל משתמש בדומיין יכול ליצור פרויקטים בכל מקום בהיררכיה.

המאמרים הבאים

• ניהול פרויקטים וחיוב בארגון