Mehrere Organisationsressourcen verwalten

Mit mehreren Google Cloud Organisationsressourcen können Sie Geschäftseinheiten oder Abteilungen als isolierte Entitäten ohne zentrale Verwaltung verwalten. In den meisten Anwendungsfällen werden Ordner unter einer einzelnen Organisationsressource in der Google Cloud -Ressourcenhierarchie verwendet. Eine Organisationsressource begründet die Inhaberschaft der darunter liegenden Projekte und Ordner. Jedes Google Workspace- oder Cloud Identity-Konto ist einer primären Domain wie example.com zugeordnet und erstellt eine Organisationsressource. Weitere Informationen zu Identitätsdomainoptionen finden Sie unter Domain-Alias oder sekundäre Domain hinzufügen und Primäre Domain für Google Workspace ändern. Alternativ können Sie eigenständige Organisationen verwenden, die unabhängig voneinander funktionieren und kein Cloud Identity- oder Google Workspace-Konto erfordern.

Auswirkungen der Verwendung mehrerer Organisationsressourcen

Verwenden Sie mehrere Organisationsressourcen, wenn Sie nicht möchten, dass Nutzer eines Google Cloud-, Google Workspace- oder Cloud Identity-Kontos auf Ressourcen zugreifen, die von Nutzern eines anderen Kontos erstellt wurden. Das Aufteilen von Ressourcen auf mehrere Organisationsressourcen hat folgende Auswirkungen:

  • Standardmäßig hat kein einzelner Nutzer die zentrale Sichtbarkeit und Kontrolle über alle Ressourcen.

  • Richtlinien, die in mehreren Unterorganisationen gelten, müssen für jede Organisationsressource repliziert werden.

  • Das Verschieben von Ordnern von einer Organisationsressource in eine andere wird nicht unterstützt. Weitere Informationen finden Sie unter Projekte zwischen Organisationsressourcen migrieren.

  • Für jede Cloud Identity-Organisationsressource ist ein Google Workspace-Konto erforderlich. Für den Betrieb mehrerer Cloud Identity-Organisationsressourcen sind daher mehrere Google Workspace-Konten und die Möglichkeit, Identitäten über diese Konten hinweg zu verwalten, erforderlich.

Einzelne Organisationsressource verwenden

Die meisten Organisationen, die separate Unterorganisationen verwalten möchten, können dies mit einer einzigen Organisationsressource und Ordnern tun. Wenn Sie ein einzelnes Google Workspace-Konto haben, wird dieses Konto der Organisationsressource zugeordnet und Unterorganisationen werden Ordnern zugeordnet.

Organisationsadministrator auswählen

Google Workspace- und Cloud Identity-Nutzer können einen oder mehrere Nutzer auswählen, die als IAM-Organisationsadministrator für die Organisationsressource fungieren sollen. Folgen Sie dazu der Anleitung unten.

Eine Anleitung zum Konfigurieren von IAM für eigenständige Organisationen finden Sie unter Organisationsinhaber hinzufügen.

Sie können einen Organisationsadministrator über die Google Cloud Console, die Google Cloud CLI oder die Resource Manager API hinzufügen.

Console

  1. Melden Sie sich in der Google Cloud -Konsole als Google Workspace- oder Cloud Identity-Super Admin an und rufen Sie die Seite IAM und Verwaltung auf:

    Zur Seite "IAM & Verwaltung"

  2. Wählen Sie die Organisationsressource aus, die Sie bearbeiten möchten:

    1. Klicken Sie oben auf der Seite auf die Projekt-Drop-down-Liste.

    2. Klicken Sie im Dialogfeld Auswählen aus auf die Drop-down-Liste „Organisation“ und wählen Sie die Organisationsressource aus, der Sie einen Organisationsadministrator hinzufügen möchten.

    3. Klicken Sie in der angezeigten Liste auf die Organisationsressource, um die Seite IAM-Berechtigungen zu öffnen.

  3. Klicken Sie auf Hinzufügen und geben Sie die E‑Mail-Adresse eines oder mehrerer Nutzer ein, die Sie als Organization Administrators festlegen möchten.

  4. Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Resource Manager > Organization Administrator aus und klicken Sie dann auf Speichern.

    Der Organization Administrator kann Folgendes tun:

    • Vollständige Kontrolle über die Organisationsressource übernehmen. Die Aufgaben zwischen dem Super Admin von Google Workspace oder Cloud Identity und dem Google Cloud-Administrator sind getrennt.

    • Delegieren Sie Verantwortung für wichtige Funktionen, indem Sie die entsprechenden IAM-Rollen zuweisen.

gcloud

Führen Sie den Befehl gcloud organizations add-iam-policy-binding aus, um einen Organisationsadministrator hinzuzufügen:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Ersetzen Sie Folgendes:

  • ORGANIZATION_ID: die eindeutige ID Ihrer Organisationsressource.
  • EMAIL_ADDRESS: die E-Mail-Adresse des Nutzers, den Sie als Organisationsadministrator hinzufügen möchten.

API

Wenn Sie einen Organisationsadministrator hinzufügen möchten, rufen Sie die Methode setIamPolicy für die Organisationsressource auf.

  1. Rufen Sie die aktuelle IAM-Richtlinie für die Organisationsressource ab:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Aktualisieren Sie die zurückgegebene Richtlinie, um das Mitglied der Rolle roles/resourcemanager.organizationAdmin hinzuzufügen.

  3. Legen Sie die aktualisierte Richtlinie fest:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Ersetzen Sie Folgendes:

    • ORGANIZATION_ID: die eindeutige ID Ihrer Organisationsressource.
    • EMAIL_ADDRESS: die E-Mail-Adresse des Nutzers, den Sie als Organisationsadministrator hinzufügen möchten.
    • ETAG_VALUE: der etag-Wert aus der Richtlinie, die im ersten Schritt zurückgegeben wurde.

Ordner für Unterorganisationen erstellen

Erstellen Sie für jede Unterorganisation einen Ordner unter der Organisationsressource.

Für das Erstellen von Ordnern benötigen Sie auf der übergeordneten Ebene die Rolle Ordneradministrator oder Ordnerersteller. Wenn Sie beispielsweise Ordner auf Organisationsebene erstellen möchten, benötigen Sie eine dieser Rollen auf Organisationsebene.

Einem neu erstellten Ordner muss ein Name zugewiesen werden. Für Ordnernamen gelten die folgenden Kriterien:

  • Der Name kann Buchstaben, Zahlen, Leerzeichen, Bindestriche und Unterstriche enthalten.
  • Der Anzeigename des Ordners muss mit einem Buchstaben oder einer Zahl beginnen und enden.
  • Der Name muss zwischen 3 und 30 Zeichen lang sein.
  • Der Name muss innerhalb einer Hierarchieebene eindeutig sein.

So erstellen Sie einen Ordner:

Console

So erstellen Sie Ordner:

  1. Rufen Sie in der Google Cloud Console die Seite Ressourcen verwalten auf:

    Zur Seite "Ressourcen verwalten"

  2. Klicken Sie auf Ordner erstellen und wählen Sie eine der folgenden Optionen aus:

    • Google Cloud-Standardordner: Eine Standard-Ordnerressource.
    • Konformer Ordner: Ein Assured Workloads-Ordner, der zusätzliche regulatorische, regionale oder hoheitliche Kontrollen für Google Cloud -Ressourcen bietet. Wenn Sie diese Option auswählen, werden Sie zu Assured Workloads weitergeleitet, um einen Ordner zu erstellen.

  3. Geben Sie im Feld Ordnername den Namen Ihres neuen Ordners ein.

  4. Klicken Sie unter Übergeordnete Ressource auf Durchsuchen und wählen Sie die Organisationsressource oder den Ordner aus, in dem Sie den neuen Ordner erstellen möchten.

    1. Klicken Sie auf Erstellen.

gcloud

Ordner können programmatisch mit der Google Cloud CLI erstellt werden.

Führen Sie den folgenden Befehl aus, um mit dem gcloud-Befehlszeilentool einen Ordner unter der Organisationsressource zu erstellen.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Mit dem folgenden Befehl erstellen Sie einen Ordner unter einem anderen Ordner:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Ersetzen Sie Folgendes:

  • DISPLAY_NAME: der Anzeigename des Ordners. Zwei Ordner mit demselben übergeordneten Element können nicht denselben Anzeigenamen haben. Der Anzeigename muss mit einem Buchstaben oder einer Ziffer beginnen und enden. Er kann Buchstaben, Ziffern, Leerzeichen, Binde- und Unterstriche enthalten und darf nicht mehr als 30 Zeichen umfassen.
  • ORGANIZATION_ID: die ID der übergeordneten Organisationsressource, wenn das übergeordnete Element eine Organisationsressource ist.
  • FOLDER_ID: die ID des übergeordneten Ordners, wenn das übergeordnete Element ein Ordner ist.

API

Ordner können mit einer API-Anfrage erstellt werden.

Die JSON-Anfrage:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

Die curl-Anfrage für die Ordnererstellung:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Wobei:

  • DISPLAY_NAME: Der Anzeigename des neuen Ordners, z. B. „Mein toller Ordner“.
  • ORGANIZATION_NAME: der Name der Organisationsressource, unter der Sie den Ordner erstellen, z. B. organizations/123.

Die Antwort auf die Ordnererstellung:

Wenn ein Aufruf einen Vorgang erfolgreich registriert, enthält der Antworttext eine Instanz von „Operation“.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

Die curl-Anfrage zum Abrufen des Vorgangs:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

Die Antwort auf das Abrufen des Vorgangs:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Administratorrollen für Ordner erteilen

Teilen Sie für jeden Unterorganisationsordner, den Sie erstellen, einem oder mehreren Nutzern die Rolle des Ordner-Administrators zu. Diese Nutzer haben die administrative Kontrolle über die Rolle Folder Admin. Diese Nutzer haben die administrative Kontrolle über den Ordner und die Unterorganisation, die er darstellt.

Wenn Sie den Zugriff auf Ordner konfigurieren möchten, benötigen Sie die Rolle Folder IAM Administrator oder Folder Admin auf der übergeordneten Ebene.

Console

  1. Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten.

    Zur Seite "Ressourcen verwalten"

  2. Klicken Sie links oben auf die Drop-down-Liste Organisation und wählen Sie Ihre Organisationsressource aus.

  3. Klicken Sie das Kästchen neben dem Projekt an, für das Sie die Berechtigungen ändern möchten.

    1. Geben Sie auf der rechten Seite im Bereich Infofeld unter Berechtigungen die E-Mail-Adressen der Mitglieder ein, die Sie hinzufügen möchten.

    2. Wählen Sie in der Drop-down-Liste Rolle auswählen die Rolle aus, die Sie diesen Mitgliedern zuweisen möchten.

    3. Klicken Sie auf Hinzufügen. Es wird eine Benachrichtigung angezeigt, die das Hinzufügen oder Aktualisieren der neuen Rolle der Mitglieder bestätigt.

gcloud

Sie können den Zugriff auf Ordner programmatisch über die Google Cloud CLI oder die REST API konfigurieren.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

Alternativ:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Ersetzen Sie Folgendes:

  • FOLDER_ID: die ID des neuen Ordners
  • POLICY_FILE: der Pfad zu einer Richtliniendatei für den Ordner

API

Mit der Methode setIamPolicy wird die Zugriffssteuerungsrichtlinie für einen Ordner festgelegt und alle vorhandenen Richtlinien werden ersetzt. Das Feld resource sollte der Ressourcenname des Ordners sein, z. B. folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

Die curl-Anfrage:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Ersetzen Sie FOLDER_ID durch den Namen des Ordners, dessen IAM-Richtlinie festgelegt wird, z. B. folders/123.

Rollen für Unterorganisationen einschränken

Jeder Ordneradministrator kann die Rolle des Projekterstellers auf Mitglieder seiner Unterorganisation beschränken. Sie können die Domain auch aus der Rolle Project Creator in der Zulassungsrichtlinie der Organisationsressource entfernen.

Google Workspace-Super Admins haben unwiderrufliche Organization Administrator-Berechtigungen. Diese Super Admins verwalten in der Regel die Identitäten und Identitätsrichtlinien, nicht die Google Cloud -Ressourcen und Ressourcenrichtlinien.

Console

So entfernen Sie die Rollen, die Nutzern standardmäßig über die Google Cloud Console zugewiesen werden:

  1. Rufen Sie in der Google Cloud Console die Seite Ressourcen verwalten auf:

    Zur Seite "Ressourcen verwalten"

  2. Klicken Sie oben auf der Seite auf die Drop-down-Liste Organisation und wählen Sie Ihre Organisationsressource aus.

  3. Klicken Sie das Kästchen für die Organisationsressource an, für die Sie die Berechtigungen ändern möchten. Wenn Sie keine Ordnerressource haben, ist die Organisationsressource nicht sichtbar. Weitere Informationen finden sich in der Anleitung zum Widerrufen von Rollen auf der Seite IAM.

  4. Klicken Sie rechts im Infofeld unter Berechtigungen auf die Rolle, aus der Sie Nutzer entfernen möchten, um sie zu maximieren.

  5. Klicken Sie in der maximierten Rollenliste neben dem Hauptkonto, das Sie aus der Rolle entfernen möchten, auf „Entfernen“. Screenshot der Oberfläche

  6. Klicken Sie im Dialogfeld Hauptkonto entfernen? auf Entfernen, um das Entfernen der Rolle aus dem angegebenen Hauptkonto zu bestätigen.

  7. Wiederholen Sie die obigen zwei Schritte für jede Rolle, die Sie entfernen möchten.

Beispiel

Das folgende Diagramm zeigt eine Organisation, die Ordner verwendet hat, um zwei Abteilungen zu trennen. Die Leiter der Abteilungen Technik und Finanzen haben administrative Kontrolle und andere Nutzer können keine Projekte erstellen.

Hierarchiediagramm

Mehrere Organisationen unter einer primären Organisationsressource verwalten

Wenn Ihre Organisation mehrere Google Workspace-Konten hat, haben Sie standardmäßig mehrere Organisationsressourcen. Damit Sie die zentrale Sichtbarkeit und Kontrolle behalten, sollten Sie eine Organisationsressource als primäre Organisationsressource auswählen. Die Super Admins des Google Workspace-Kontos, das mit Ihrer primären Organisationsressource verknüpft ist, haben die administrative Kontrolle über alle Ressourcen in dieser Organisation. Sie haben nicht automatisch Kontrolle über Ressourcen in anderen Organisationen. Nutzern aus anderen Google Workspace-Konten kann Zugriff auf einen Ordner unter der primären Organisationsressource gewährt werden, in dem sie Projekte erstellen können.

Organisationsadministrator auswählen

Wählen Sie einen oder mehrere Nutzer aus, die als IAM-Organisationsadministrator für die Organisationsressource fungieren sollen.

Sie können einen Organisationsadministrator über die Google Cloud Console, die Google Cloud CLI oder die Resource Manager API hinzufügen.

Console

  1. Melden Sie sich in der Google Cloud -Konsole als Google Workspace- oder Cloud Identity-Super Admin an und rufen Sie die Seite IAM und Verwaltung auf:

    Zur Seite "IAM & Verwaltung"

  2. Wählen Sie die Organisationsressource aus, die Sie bearbeiten möchten:

    1. Klicken Sie oben auf der Seite auf die Projekt-Drop-down-Liste.

    2. Klicken Sie im Dialogfeld Auswählen aus auf die Drop-down-Liste „Organisation“ und wählen Sie die Organisationsressource aus, der Sie einen Organisationsadministrator hinzufügen möchten.

    3. Klicken Sie in der angezeigten Liste auf die Organisationsressource, um die Seite IAM-Berechtigungen zu öffnen.

  3. Klicken Sie auf Hinzufügen und geben Sie die E‑Mail-Adresse eines oder mehrerer Nutzer ein, die Sie als Organization Administrators festlegen möchten.

  4. Wählen Sie in der Drop-down-Liste Rolle auswählen die Option Resource Manager > Organization Administrator aus und klicken Sie dann auf Speichern.

    Der Organization Administrator kann Folgendes tun:

    • Vollständige Kontrolle über die Organisationsressource übernehmen. Die Aufgaben zwischen dem Super Admin von Google Workspace oder Cloud Identity und dem Google Cloud-Administrator sind getrennt.

    • Delegieren Sie Verantwortung für wichtige Funktionen, indem Sie die entsprechenden IAM-Rollen zuweisen.

gcloud

Führen Sie den Befehl gcloud organizations add-iam-policy-binding aus, um einen Organisationsadministrator hinzuzufügen:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Ersetzen Sie Folgendes:

  • ORGANIZATION_ID: die eindeutige ID Ihrer Organisationsressource.
  • EMAIL_ADDRESS: die E-Mail-Adresse des Nutzers, den Sie als Organisationsadministrator hinzufügen möchten.

API

Wenn Sie einen Organisationsadministrator hinzufügen möchten, rufen Sie die Methode setIamPolicy für die Organisationsressource auf.

  1. Rufen Sie die aktuelle IAM-Richtlinie für die Organisationsressource ab:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Aktualisieren Sie die zurückgegebene Richtlinie, um das Mitglied der Rolle roles/resourcemanager.organizationAdmin hinzuzufügen.

  3. Legen Sie die aktualisierte Richtlinie fest:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Ersetzen Sie Folgendes:

    • ORGANIZATION_ID: die eindeutige ID Ihrer Organisationsressource.
    • EMAIL_ADDRESS: die E-Mail-Adresse des Nutzers, den Sie als Organisationsadministrator hinzufügen möchten.
    • ETAG_VALUE: der etag-Wert aus der Richtlinie, die im ersten Schritt zurückgegeben wurde.

Rolle des Projekterstellers entfernen

Entfernen Sie die Rolle Project Creator aus der Organisationsressource, damit keine Ressourcen in den anderen Organisationsressourcen erstellt werden.

Console

So entfernen Sie die Rollen, die Nutzern standardmäßig über die Google Cloud Console zugewiesen werden:

  1. Rufen Sie in der Google Cloud Console die Seite Ressourcen verwalten auf:

    Zur Seite "Ressourcen verwalten"

  2. Klicken Sie oben auf der Seite auf die Drop-down-Liste Organisation und wählen Sie Ihre Organisationsressource aus.

  3. Klicken Sie das Kästchen für die Organisationsressource an, für die Sie die Berechtigungen ändern möchten. Wenn Sie keine Ordnerressource haben, ist die Organisationsressource nicht sichtbar. Weitere Informationen finden sich in der Anleitung zum Widerrufen von Rollen auf der Seite IAM.

  4. Klicken Sie rechts im Infofeld unter Berechtigungen auf die Rolle, aus der Sie Nutzer entfernen möchten, um sie zu maximieren.

  5. Klicken Sie in der maximierten Rollenliste neben dem Hauptkonto, das Sie aus der Rolle entfernen möchten, auf „Entfernen“. Screenshot der Oberfläche

  6. Klicken Sie im Dialogfeld Hauptkonto entfernen? auf Entfernen, um das Entfernen der Rolle aus dem angegebenen Hauptkonto zu bestätigen.

  7. Wiederholen Sie die obigen zwei Schritte für jede Rolle, die Sie entfernen möchten.

Ordner für Google Workspace-Konten erstellen

Erstellen Sie für jedes Google Workspace-Konto einen Ordner unter der Organisationsressource.

Für das Erstellen von Ordnern benötigen Sie auf der übergeordneten Ebene die Rolle Ordneradministrator oder Ordnerersteller. Wenn Sie beispielsweise Ordner auf Organisationsebene erstellen möchten, benötigen Sie eine dieser Rollen auf Organisationsebene.

Einem neu erstellten Ordner muss ein Name zugewiesen werden. Für Ordnernamen gelten die folgenden Kriterien:

  • Der Name kann Buchstaben, Zahlen, Leerzeichen, Bindestriche und Unterstriche enthalten.
  • Der Anzeigename des Ordners muss mit einem Buchstaben oder einer Zahl beginnen und enden.
  • Der Name muss zwischen 3 und 30 Zeichen lang sein.
  • Der Name muss innerhalb einer Hierarchieebene eindeutig sein.

So erstellen Sie einen Ordner:

Console

So erstellen Sie Ordner:

  1. Rufen Sie in der Google Cloud Console die Seite Ressourcen verwalten auf:

    Zur Seite "Ressourcen verwalten"

  2. Klicken Sie auf Ordner erstellen und wählen Sie eine der folgenden Optionen aus:

    • Google Cloud-Standardordner: Eine Standard-Ordnerressource.
    • Konformer Ordner: Ein Assured Workloads-Ordner, der zusätzliche regulatorische, regionale oder hoheitliche Kontrollen für Google Cloud -Ressourcen bietet. Wenn Sie diese Option auswählen, werden Sie zu Assured Workloads weitergeleitet, um einen Ordner zu erstellen.

  3. Geben Sie im Feld Ordnername den Namen Ihres neuen Ordners ein.

  4. Klicken Sie unter Übergeordnete Ressource auf Durchsuchen und wählen Sie die Organisationsressource oder den Ordner aus, in dem Sie den neuen Ordner erstellen möchten.

    1. Klicken Sie auf Erstellen.

gcloud

Ordner können programmatisch mit der Google Cloud CLI erstellt werden.

Führen Sie den folgenden Befehl aus, um mit dem gcloud-Befehlszeilentool einen Ordner unter der Organisationsressource zu erstellen.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Mit dem folgenden Befehl erstellen Sie einen Ordner unter einem anderen Ordner:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Ersetzen Sie Folgendes:

  • DISPLAY_NAME: der Anzeigename des Ordners. Zwei Ordner mit demselben übergeordneten Element können nicht denselben Anzeigenamen haben. Der Anzeigename muss mit einem Buchstaben oder einer Ziffer beginnen und enden. Er kann Buchstaben, Ziffern, Leerzeichen, Binde- und Unterstriche enthalten und darf nicht mehr als 30 Zeichen umfassen.
  • ORGANIZATION_ID: die ID der übergeordneten Organisationsressource, wenn das übergeordnete Element eine Organisationsressource ist.
  • FOLDER_ID: die ID des übergeordneten Ordners, wenn das übergeordnete Element ein Ordner ist.

API

Ordner können mit einer API-Anfrage erstellt werden.

Die JSON-Anfrage:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

Die curl-Anfrage für die Ordnererstellung:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Wobei:

  • DISPLAY_NAME: Der Anzeigename des neuen Ordners, z. B. „Mein toller Ordner“.
  • ORGANIZATION_NAME: der Name der Organisationsressource, unter der Sie den Ordner erstellen, z. B. organizations/123.

Die Antwort auf die Ordnererstellung:

Wenn ein Aufruf einen Vorgang erfolgreich registriert, enthält der Antworttext eine Instanz von „Operation“.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

Die curl-Anfrage zum Abrufen des Vorgangs:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

Die Antwort auf das Abrufen des Vorgangs:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Administratorrollen für Ordner erteilen

Teilen Sie für jeden erstellten Ordner einem oder mehreren Nutzern die Rolle Ordneradministrator zu. Diesen Nutzern wird die administrative Kontrolle über den Ordner und die Unterorganisation, die er darstellt, übertragen.

Wenn Sie den Zugriff auf Ordner konfigurieren möchten, benötigen Sie die Rolle Folder IAM Administrator oder Folder Admin auf der übergeordneten Ebene.

Console

  1. Öffnen Sie in der Google Cloud Console die Seite Ressourcen verwalten.

    Zur Seite "Ressourcen verwalten"

  2. Klicken Sie links oben auf die Drop-down-Liste Organisation und wählen Sie Ihre Organisationsressource aus.

  3. Klicken Sie das Kästchen neben dem Projekt an, für das Sie die Berechtigungen ändern möchten.

    1. Geben Sie auf der rechten Seite im Bereich Infofeld unter Berechtigungen die E-Mail-Adressen der Mitglieder ein, die Sie hinzufügen möchten.

    2. Wählen Sie in der Drop-down-Liste Rolle auswählen die Rolle aus, die Sie diesen Mitgliedern zuweisen möchten.

    3. Klicken Sie auf Hinzufügen. Es wird eine Benachrichtigung angezeigt, die das Hinzufügen oder Aktualisieren der neuen Rolle der Mitglieder bestätigt.

gcloud

Sie können den Zugriff auf Ordner programmatisch über die Google Cloud CLI oder die REST API konfigurieren.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

Alternativ:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Ersetzen Sie Folgendes:

  • FOLDER_ID: die ID des neuen Ordners
  • POLICY_FILE: der Pfad zu einer Richtliniendatei für den Ordner

API

Mit der Methode setIamPolicy wird die Zugriffssteuerungsrichtlinie für einen Ordner festgelegt und alle vorhandenen Richtlinien werden ersetzt. Das Feld resource sollte der Ressourcenname des Ordners sein, z. B. folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

Die curl-Anfrage:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Ersetzen Sie FOLDER_ID durch den Namen des Ordners, dessen IAM-Richtlinie festgelegt wird, z. B. folders/123.

Jeder Ordner-Administrator kann Nutzern aus der verknüpften Domain die Rolle des Projekterstellers zuweisen.

Beispiel

Das folgende Diagramm zeigt eine Organisation mit einer primären Domain, die von einer erworbenen sekundären Domain isoliert ist. Jede der beiden Domains hat ein eigenes Google Workspace-Konto, wobei hypothetical.com die primäre Organisationsressource ist.

Hierarchiediagramm