Configura una risorsa organizzazione Google Cloud

Una risorsa organizzazione è il nodo principale della gerarchia delle risorseGoogle Cloud e ti consente di gestire centralmente i progetti e le cartelle. Puoi configurare una risorsa organizzazione per mantenere la visibilità, controllare l'accesso e applicare le policy dell'organizzazione nel tuo ambiente cloud.

Google Cloud crea automaticamente una risorsa organizzazione per i nuovi clienti, inclusi quelli della prova senza costi, e applica un insieme predefinito di policy dell'organizzazione. Per saperne di più, consulta Organizzazioni autonome e Gestione dei vincoli di base.

Prima di iniziare

Leggi una panoramica della risorsa organizzazione.

Ottieni una risorsa dell'organizzazione

Una risorsa organizzazione è disponibile per i clienti di Google Workspace e Cloud Identity :

Dopo aver creato il tuo account Google Workspace o Cloud Identity e averlo associato a un dominio, la tua risorsa organizzazione verrà creata automaticamente. Il provisioning della risorsa verrà eseguito in momenti diversi a seconda dello stato del tuo account:

  • Se non hai mai utilizzato Google Cloud e non hai ancora creato un progetto, la risorsa organizzazione verrà creata per te quando eseguirai l'accesso alla console Google Cloud e accetterai i Termini e condizioni.

  • Se sei un utente Google Cloud esistente, la risorsa organizzazione verrà creata per te quando crei un nuovo progetto o un nuovo account di fatturazione (se non esiste già). Tutti i progetti creati in precedenza verranno elencati in "Nessuna organizzazione", il che è normale. Verrà visualizzata la risorsa dell'organizzazione e il nuovo progetto che hai creato verrà collegato automaticamente.

    Dovrai spostare tutti i progetti creati in "Nessuna organizzazione" nella nuova risorsa di organizzazione. Per istruzioni su come spostare i progetti, consulta Migrazione dei progetti in una risorsa dell'organizzazione.

La risorsa organizzazione creata verrà collegata al tuo account Google Workspace o Cloud Identity con il progetto o l'account di fatturazione che hai creato impostato come risorsa secondaria. Tutti i progetti e gli account di fatturazione creati nel tuo dominio Google Workspace o Cloud Identity saranno elementi secondari di questa risorsa organizzazione.

Ogni account Google Workspace o Cloud Identity è associato esattamente a una risorsa organizzazione. Una risorsa organizzazione è associata esattamente a un dominio, che viene impostato al momento della creazione della risorsa organizzazione.

Nota: se provi a registrare un'organizzazione con un dominio già esistente, verrà visualizzato l'errore "Questo dominio è già in uso". Per risolvere il problema, segui i passaggi descritti in Risolvere il problema "Questo dominio è già in uso".

Per adottare attivamente la risorsa organizzazione, i super amministratori di Google Workspace o Cloud Identity devono assegnare il ruolo Identity and Access Management (IAM) Organization Administrator (roles/resourcemanager.organizationAdmin) a un utente o a un gruppo. Per i passaggi su come configurare la risorsa organizzazione, consulta Configura la risorsa organizzazione.

  • Quando viene creata la risorsa organizzazione, a tutti gli utenti del tuo dominio vengono concessi automaticamente i ruoli IAM Autore progetto (roles/resourcemanager.projectCreator) e Creatore account di fatturazione (roles/billing.creator) a livello di risorsa organizzazione. In questo modo, gli utenti del tuo dominio possono continuare a creare progetti senza interruzioni.
  • L'Organization Administrator deciderà quando iniziare a utilizzare attivamente la risorsa dell'organizzazione. In seguito, possono modificare le autorizzazioni predefinite e applicare policy più restrittive in base alle esigenze.
  • Se la risorsa organizzazione è disponibile e non disponi delle autorizzazioni IAM per visualizzarla, puoi comunque creare progetti e account di fatturazione. Questi vengono creati automaticamente nella risorsa organizzazione, anche se non puoi visualizzarla.

Base di riferimento per la sicurezza diGoogle Cloud

La base di riferimento per la sicurezza diGoogle Cloud affronta le security posture non sicure con un bundle di policy dell'organizzazione che vengono applicate quando viene creata una risorsa dell'organizzazione. Questi vincoli vengono creati e applicati automaticamente alla tua organizzazione quando viene creata. Per informazioni sulla visualizzazione e sulla gestione di questi vincoli, consulta i vincoli della base di riferimento per la sicurezza diGoogle Cloud .

Recupera l'ID risorsa dell'organizzazione

L'ID risorsa dell'organizzazione è un identificatore univoco per una risorsa dell'organizzazione e viene creato automaticamente quando viene creata la risorsa dell'organizzazione. Gli ID risorsa dell'organizzazione sono formattati come numeri decimali e non possono avere zeri iniziali.

Puoi ottenere l'ID risorsa dell'organizzazione utilizzando la console Google Cloud , gcloud CLI o l'API Cloud Resource Manager.

console

Per ottenere l'ID risorsa dell'organizzazione utilizzando la console Google Cloud , segui questi passaggi:

  1. Vai alla console Google Cloud :

    Vai alla console Google Cloud

  2. Nel selettore di progetti nella parte superiore della pagina, seleziona la risorsa Organizzazione.
  3. Sul lato destro, fai clic su Altro, quindi su Impostazioni.

La pagina Impostazioni mostra l'ID risorsa dell'organizzazione.

gcloud

Per trovare l'ID risorsa della tua organizzazione, esegui questo comando:

gcloud organizations list

Questo comando elenca tutte le risorse dell'organizzazione a cui appartieni e i relativi ID risorsa dell'organizzazione.

API

Per trovare l'ID risorsa della tua organizzazione utilizzando l'API Cloud Resource Manager, utilizza il metodo organizations.search(), includendo una query per il tuo dominio. Ad esempio:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

La risposta contiene i metadati della risorsa organizzazione che appartiene a altostrat.com, incluso l'ID della risorsa organizzazione.

Configura la risorsa dell'organizzazione

Se sei un cliente Google Workspace o Cloud Identity, ti viene fornita automaticamente una risorsa organizzazione.

I super amministratori di Google Workspace o Cloud Identity sono i primi utenti che possono accedere alla risorsa organizzazione al momento della creazione. Tutti gli altri utenti o gruppi potranno utilizzare Google Cloud come prima. Potranno visualizzare la risorsa dell'organizzazione, ma potranno modificarla solo dopo aver impostato le autorizzazioni corrette.

I super amministratori di Google Workspace o Cloud Identity e l'Google Cloud Organization Administrator sono ruoli chiave durante il processo di configurazione e per il controllo del ciclo di vita della risorsa organizzazione.

Per impostazione predefinita, all'account super amministratore di Google Workspace o Cloud Identity che crea la risorsa organizzazione viene assegnato automaticamente il ruolo Organization Administrator. Tuttavia, per mantenere la separazione dei compiti, consigliamo al super amministratore di delegare il ruolo Organization Administrator a un altro utente o gruppo.

Le responsabilità del super amministratore di Google Workspace o Cloud Identity, nell'ambito della configurazione della risorsa organizzazione Google Cloud , sono:

  • Assegnazione del ruolo Organization Administrator ad alcuni utenti
  • Agire da punto di contatto in caso di problemi di ripristino
  • Controllare il ciclo di vita dell'account Google Workspace o Cloud Identity e della risorsa organizzazione, come spiegato in Elimina un'organizzazione

Una volta assegnato, l'Organization Administrator può assegnare ruoli di Identity and Access Management ad altri utenti. Le responsabilità del ruolo Organization Administrator sono:

  • Definire policy di autorizzazione e negazione e concedere ruoli ad altri utenti.
  • Visualizzare la struttura della gerarchia delle risorse

Secondo il principio del privilegio minimo, questo ruolo non include l'autorizzazione a eseguire altre azioni, come la creazione di cartelle o progetti. Per ottenere queste autorizzazioni, è necessario che un Amministratore organizzazione assegni ruoli aggiuntivi all'account.

Anche se lo stesso utente può ricoprire entrambi i ruoli, avere due ruoli distinti garantisce la separazione dei compiti tra i super amministratori di Google Workspace o Cloud Identity e l'Organization Administrator di Google Cloud . Spesso questo è un requisito, in quanto i due prodotti Google sono in genere gestiti da reparti diversi nell'organizzazione del cliente.

Per utilizzare attivamente la risorsa dell'organizzazione, segui questi passaggi per aggiungere un Organization Administrator:

Aggiungi un Amministratore organizzazione

Per aggiungere un Amministratore organizzazione, puoi utilizzare la console Google Cloud , Google Cloud CLI o l'API Resource Manager.

Console

  1. Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:

    Apri la pagina IAM e amministrazione

  2. Seleziona la risorsa organizzazione che vuoi modificare:

    1. Fai clic sull'elenco a discesa del progetto nella parte superiore della pagina.

    2. Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa Organizzazione e seleziona la risorsa Organizzazione a cui vuoi aggiungere un Amministratore organizzazione.

    3. Nell'elenco visualizzato, fai clic sulla risorsa organizzazione per aprire la relativa pagina Autorizzazioni IAM.

  3. Fai clic su Aggiungi e inserisci l'indirizzo email di uno o più utenti che vuoi impostare come Organization Administrator.

  4. Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Organization Administrator, quindi fai clic su Salva.

    L'Organization Administrator può:

    • Assumere il controllo completo della risorsa organizzazione. Separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.

    • Delega la responsabilità delle funzioni critiche assegnando i ruoli IAM pertinenti.

gcloud

Per aggiungere un Amministratore organizzazione, esegui il comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Sostituisci quanto segue:

  • ORGANIZATION_ID: l'ID univoco della risorsa organizzazione.
  • EMAIL_ADDRESS: l'indirizzo email dell'utente che vuoi aggiungere come Amministratore organizzazione.

API

Per aggiungere un Amministratore organizzazione, chiama il metodo setIamPolicy sulla risorsa dell'organizzazione.

  1. Recupera l'attuale policy IAM per la risorsa dell'organizzazione:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Aggiorna la policy restituita per aggiungere il membro al ruolo roles/resourcemanager.organizationAdmin.

  3. Imposta la policy aggiornata:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Sostituisci quanto segue:

    • ORGANIZATION_ID: l'ID univoco della risorsa organizzazione.
    • EMAIL_ADDRESS: l'indirizzo email dell'utente che vuoi aggiungere come Amministratore organizzazione.
    • ETAG_VALUE: il valore etag della policy restituita nel primo passaggio.

Come spiegato in Acquisizione di una risorsa organizzazione, al momento della creazione, a tutti gli utenti del dominio vengono concessi per impostazione predefinita i ruoli Autore progetto e Creatore account di fatturazione a livello di risorsa organizzazione. In questo modo, non si verificano interruzioni per gli utenti Google Cloud quando viene creata la risorsa organizzazione. Quando l'Organization Administrator assume il controllo, potrebbe voler rimuovere queste autorizzazioni a livello di organizzazione per iniziare a bloccare l'accesso con una granularità più precisa (ad esempio, a livello di cartella o progetto). Tieni presente che, poiché le policy di autorizzazione e di negazione vengono ereditate lungo la gerarchia, l'assegnazione del ruolo Autore progetto all'intero dominio (domain:mycompany.com) a livello di risorsa dell'organizzazione implica che ogni utente del dominio può creare progetti in qualsiasi punto della gerarchia.

Passaggi successivi