Menyiapkan resource organisasi Google Cloud

Resource organisasi adalah node root dari hierarki resourceGoogle Cloud dan memungkinkan Anda mengelola project dan folder secara terpusat. Anda dapat menyiapkan resource organisasi untuk mempertahankan visibilitas, mengontrol akses, dan menerapkan kebijakan organisasi di seluruh lingkungan cloud Anda.

Google Cloud secara otomatis membuat resource organisasi untuk pelanggan baru, termasuk pelanggan Uji Coba Gratis, dan menerapkan serangkaian kebijakan organisasi default di dalamnya. Untuk mengetahui informasi selengkapnya, lihat Organisasi mandiri dan Mengelola batasan dasar pengukuran.

Sebelum memulai

Baca ringkasan resource organisasi.

Mendapatkan resource organisasi

Resource organisasi tersedia untuk pelanggan Google Workspace dan Cloud Identity :

• Google Workspace: Daftar ke Google Workspace.
• Cloud Identity: Daftar ke Cloud Identity.

Setelah Anda membuat akun Google Workspace atau Cloud Identity dan mengaitkannya dengan domain, resource organisasi akan otomatis dibuat untuk Anda. Resource akan disediakan pada waktu yang berbeda-beda bergantung pada status akun Anda:

• Jika Anda baru menggunakan Google Cloud dan belum membuat project, resource organisasi akan dibuat untuk Anda saat Anda login ke konsol Google Cloud dan menyetujui persyaratan dan ketentuan.

• Jika Anda adalah pengguna Google Cloud yang sudah ada, resource organisasi akan dibuat untuk Anda saat Anda membuat project atau akun penagihan baru (jika belum ada). Semua project yang Anda buat sebelumnya akan tercantum di bagian "No organization", dan hal ini normal. Resource organisasi akan muncul dan project baru yang Anda buat akan ditautkan ke resource tersebut secara otomatis.

  Anda harus memindahkan project apa pun yang Anda buat di bagian "No organization" ke resource organisasi baru. Untuk mengetahui petunjuk cara memindahkan project, lihat Memigrasikan project ke resource organisasi.

Resource organisasi yang dibuat akan ditautkan ke akun Google Workspace atau Cloud Identity Anda dengan project atau akun penagihan yang Anda buat ditetapkan sebagai resource turunan. Semua project dan akun penagihan yang dibuat di bawah domain Google Workspace atau Cloud Identity Anda akan menjadi turunan dari resource organisasi ini.

• Untuk mengetahui informasi tentang cara memigrasikan project yang sudah ada, lihat Memigrasikan project yang ada.

Setiap akun Google Workspace atau Cloud Identity dikaitkan dengan tepat satu resource organisasi. Resource organisasi dikaitkan dengan tepat satu domain, yang ditetapkan saat resource organisasi dibuat.

Catatan: Mencoba mendaftarkan organisasi dengan domain yang sudah ada akan menghasilkan error "Domain ini sudah digunakan". Untuk mengatasi masalah ini, ikuti langkah-langkah di Menyelesaikan masalah "Domain ini sudah digunakan".

Penting: Saat resource organisasi dibuat, kami mengomunikasikan ketersediaannya kepada admin super Google Workspace atau Cloud Identity. Akun administrator super ini harus digunakan dengan hati-hati karena memiliki banyak kontrol atas resource organisasi Anda dan semua resource di bawahnya. Oleh karena itu, sebaiknya jangan gunakan akun administrator super Google Workspace atau Cloud Identity untuk pengelolaan resource organisasi Anda sehari-hari. Untuk mengetahui informasi selengkapnya tentang cara menggunakan akun administrator super Google Workspace atau Cloud Identity di Google Cloud, lihat Praktik terbaik akun administrator super.

Untuk mengadopsi resource organisasi secara aktif, admin super Google Workspace atau Cloud Identity harus menetapkan peran Identity and Access Management (IAM) Organization Administrator (roles/resourcemanager.organizationAdmin) kepada pengguna atau grup. Untuk mengetahui langkah-langkah menyiapkan resource organisasi, lihat Menyiapkan resource organisasi.

• Saat resource organisasi dibuat, semua pengguna di domain Anda akan otomatis diberi peran IAM Project Creator (roles/resourcemanager.projectCreator) dan Billing Account Creator (roles/billing.creator) di level resource organisasi. Tindakan ini memungkinkan pengguna di domain Anda untuk terus membuat project tanpa gangguan.
• Administrator Organisasi akan memutuskan kapan mereka ingin mulai menggunakan resource organisasi secara aktif. Kemudian, mereka dapat mengubah izin default dan menerapkan kebijakan yang lebih ketat sesuai kebutuhan.
• Jika resource organisasi tersedia dan Anda tidak memiliki izin IAM untuk melihatnya, Anda masih dapat membuat project dan akun penagihan. Resource ini dibuat secara otomatis di bawah resource organisasi, meskipun Anda tidak dapat melihatnya.

Catatan: Ada cara kedua untuk mendapatkan resource organisasi: organisasi mandiri akan otomatis dibuat untuk pengguna saat mereka mendaftar ke Akun Google. Untuk mengetahui informasi selengkapnya, lihat dokumentasi tentang organisasi mandiri.

Dasar pengukuran keamananGoogle Cloud

Google Cloud security baseline mengatasi postur keamanan yang tidak aman dengan paket kebijakan organisasi yang diterapkan saat resource organisasi dibuat. Batasan ini otomatis dibuat dan diterapkan di organisasi Anda saat organisasi dibuat. Untuk mengetahui informasi tentang cara melihat dan mengelola batasan ini, lihat batasan dasar pengukuran keamananGoogle Cloud .

Mendapatkan ID resource organisasi Anda

ID resource organisasi adalah ID unik untuk resource organisasi dan dibuat secara otomatis saat resource organisasi Anda dibuat. ID resource organisasi diformat sebagai angka desimal, dan tidak boleh memiliki angka nol di depan.

Anda bisa mendapatkan ID resource organisasi menggunakan konsol Google Cloud , gcloud CLI, atau Cloud Resource Manager API.

console

Untuk mendapatkan ID resource organisasi menggunakan konsol Google Cloud , lakukan hal berikut:

1. Buka konsol Google Cloud :

   Buka konsol Google Cloud

2. Dari pemilih project di bagian atas halaman, pilih resource organisasi Anda.
3. Di sisi kanan, klik Lainnya, lalu klik Setelan.
   

Halaman Settings menampilkan ID resource organisasi Anda.

gcloud

Untuk menemukan ID resource organisasi Anda, jalankan perintah berikut:

gcloud organizations list

Perintah ini mencantumkan semua resource organisasi tempat Anda bergabung, dan ID resource organisasi yang sesuai.

API

Untuk menemukan ID resource organisasi Anda menggunakan Cloud Resource Manager API, gunakan metode organizations.search(), termasuk kueri untuk domain Anda. Contoh:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

Respons berisi metadata resource organisasi yang dimiliki oleh altostrat.com, yang mencakup ID resource organisasi.

Menyiapkan resource organisasi Anda

Jika Anda adalah pelanggan Google Workspace atau Cloud Identity, resource organisasi akan disediakan untuk Anda secara otomatis.

Administrator super Google Workspace atau Cloud Identity adalah pengguna pertama yang dapat mengakses resource organisasi setelah dibuat. Semua pengguna atau grup lain akan dapat menggunakan Google Cloud seperti sebelumnya. Mereka akan dapat melihat resource organisasi, tetapi hanya dapat mengubahnya setelah izin yang benar ditetapkan.

Administrator super Google Workspace atau Cloud Identity, dan Google Cloud Organization Administrator merupakan bagian yang penting selama proses penyiapan. Selain itu, mereka juga memainkan peran penting terkait kontrol siklus proses untuk resource organisasi.

Secara default, akun administrator super Google Workspace atau Cloud Identity yang membuat resource organisasi akan otomatis diberi peran Organization Administrator. Namun, untuk mempertahankan pemisahan tugas, sebaiknya administrator super mendelegasikan peran Organization Administrator kepada pengguna atau grup lain.

Tanggung jawab administrator super Google Workspace atau Cloud Identity, dalam konteks Google Cloud penyiapan resource organisasi adalah:

• Menetapkan peran Organization Administrator ke beberapa pengguna
• Menjadi kontak (POC) yang dituju jika terjadi masalah terkait pemulihan
• Mengontrol siklus proses akun Google Workspace atau Cloud Identity dan resource organisasi seperti yang dijelaskan di bagian Menghapus organisasi

Organization Administrator, setelah ditetapkan, dapat menetapkan peran Identity and Access Management kepada pengguna lain. Tanggung jawab peran Organization Administrator adalah:

• Menentukan kebijakan izin dan penolakan serta memberikan peran kepada pengguna lain.
• Melihat struktur hierarki resource

Merujuk pada prinsip hak istimewa terendah, peran ini tidak menyertakan izin untuk melakukan tindakan lain, seperti membuat folder atau project. Untuk mendapatkan izin ini, Organization Administrator harus menetapkan peran tambahan ke akun mereka.

Meskipun pengguna yang sama dapat memegang kedua peran tersebut, memiliki dua peran yang berbeda akan memastikan pemisahan tugas antara administrator super Google Workspace atau Cloud Identity dan Google Cloud Organization Administrator. Hal ini sering kali menjadi persyaratan karena kedua produk Google tersebut biasanya dikelola oleh departemen yang berbeda di organisasi pelanggan.

Untuk menggunakan resource organisasi secara aktif, ikuti langkah-langkah berikut untuk menambahkan Organization Administrator:

Menambahkan Organization Administrator

Untuk menambahkan Organization Administrator, Anda dapat menggunakan konsol Google Cloud , Google Cloud CLI, atau Resource Manager API.

Konsol

1. Login ke konsol Google Cloud sebagai administrator super Google Workspace atau Cloud Identity, lalu buka halaman IAM & Admin:

   Buka halaman IAM & admin

2. Pilih resource organisasi yang ingin Anda edit:

   1. Klik menu drop-down project di bagian atas halaman.

   2. Dalam dialog Select from, klik menu drop-down organisasi, lalu pilih resource organisasi yang ingin Anda tambahi Organization Administrator.

   3. Pada daftar yang muncul, klik resource organisasi untuk membuka halaman IAM Permissions.

3. Klik Add, lalu masukkan alamat email satu atau beberapa pengguna yang ingin Anda tetapkan sebagai Organization Administrator.

4. Di menu drop-down Select a role, pilih Resource Manager > Organization Administrator, lalu klik Save.

   Organization Administrator dapat melakukan hal berikut:

   • Mengambil kontrol penuh atas resource organisasi. Pemisahan tanggung jawab antara administrator super Google Workspace atau Cloud Identity dan administrator Google Cloud telah ditetapkan.

   • Mendelegasikan tanggung jawab atas fungsi penting dengan menetapkan peran IAM yang relevan.

gcloud

Untuk menambahkan Organization Administrator, jalankan perintah gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Ganti kode berikut:

• ORGANIZATION_ID: ID unik resource organisasi Anda.
• EMAIL_ADDRESS: alamat email pengguna yang ingin Anda tambahkan sebagai Organization Administrator.

API

Untuk menambahkan Organization Administrator, panggil metode setIamPolicy pada resource organisasi.

1. Dapatkan kebijakan IAM saat ini untuk resource organisasi:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy
   

2. Perbarui kebijakan yang ditampilkan untuk menambahkan anggota ke peran roles/resourcemanager.organizationAdmin.

3. Tetapkan kebijakan yang telah diperbarui:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
   {
     "policy": {
       "bindings": [
         {
           "role": "roles/resourcemanager.organizationAdmin",
           "members": [
             "user:EMAIL_ADDRESS"
           ]
         }
       ],
       "etag": "ETAG_VALUE"
     }
   }
   

   Ganti kode berikut:

   • ORGANIZATION_ID: ID unik resource organisasi Anda.
   • EMAIL_ADDRESS: alamat email pengguna yang ingin Anda tambahkan sebagai Organization Administrator.
   • ETAG_VALUE: nilai etag dari kebijakan yang ditampilkan di langkah pertama.

Seperti yang dijelaskan dalam mendapatkan resource organisasi, setelah pembuatan, semua pengguna di domain akan diberi peran Project Creator dan Billing Account Creator di level resource organisasi secara default. Hal ini memastikan tidak ada gangguan yang ditimbulkan pada pengguna Google Cloud saat resource organisasi dibuat. Saat Organization Administrator mengambil kontrol, mereka mungkin ingin menghapus izin tingkat organisasi ini untuk mulai mengunci akses pada tingkat yang lebih terperinci (misalnya, di tingkat folder atau project). Perhatikan bahwa, karena kebijakan izin dan penolakan diwariskan ke bawah hierarki, menetapkan peran Project Creator ke seluruh domain (domain:mycompany.com) di tingkat resource organisasi berarti setiap pengguna di domain tersebut dapat membuat project di mana saja dalam hierarki.

Langkah berikutnya

• Mengelola project dan penagihan di organisasi Anda