Administra varios recursos de la organización

Los recursos de organización de Google Cloud múltiples te permiten mantener las unidades de negocio o los departamentos como entidades aisladas sin administración central. En la mayoría de los casos de uso, usa carpetas en un solo recurso de organización en la jerarquía de recursos deGoogle Cloud . Un recurso de organización establece la propiedad de los proyectos y las carpetas que se encuentran debajo de él. Cada cuenta de Google Workspace o Cloud Identity se asigna a un dominio principal, como example.com, y crea un recurso de organización. Para obtener más información sobre las opciones de dominio de identidad, consulta Agrega un dominio de alias de usuario o un dominio secundario y Cambia tu dominio principal para Google Workspace. Como alternativa, puedes usar organizaciones independientes, que funcionan de forma autónoma y no requieren una cuenta de Cloud Identity o Google Workspace.

Efectos de usar varios recursos de organización

Usa varios recursos de organización cuando no quieras que los usuarios de una cuenta de Google Cloud, Google Workspace o Cloud Identity accedan a los recursos creados por usuarios de otra cuenta. Separar los recursos en varios recursos de organización provoca lo siguiente:

  • De forma predeterminada, ningún usuario tiene visibilidad y control centralizados sobre todos los recursos.

  • Las políticas que son comunes en las suborganizaciones deben replicarse en cada recurso de organización.

  • No se admite mover carpetas de un recurso de organización a otro. Para obtener más información, consulta Migra proyectos entre recursos de organización.

  • Cada recurso de organización de Cloud Identity requiere una cuenta de Google Workspace. Por lo tanto, para operar varios recursos de organización de Cloud Identity, se necesitan varias cuentas de Google Workspace y la capacidad de administrar identidades en ellas.

Usa un solo recurso de organización

La mayoría de las organizaciones que desean mantener suborganizaciones separadas pueden hacerlo con un solo recurso de organización y carpetas. Si tienes una sola cuenta de Google Workspace, esta se asigna al recurso de organización y las suborganizaciones se asignan a las carpetas.

Elige un administrador de la organización

Los usuarios de Google Workspace y Cloud Identity pueden elegir uno o más usuarios para que actúen como administradores de la organización de IAM para el recurso de organización con las siguientes instrucciones.

Si deseas obtener instrucciones para configurar IAM en organizaciones independientes, consulta Agrega un propietario de la organización.

Para agregar un administrador de la organización, puedes usar la consola de Google Cloud , Google Cloud CLI o la API de Resource Manager.

Console

  1. Accede a la consola de Google Cloud como un administrador avanzado de Google Workspace o Cloud Identity y ve a la página IAM y administración:

    Abrir la página IAM y administración

  2. Selecciona el recurso de organización que deseas editar:

    1. Haz clic en la lista desplegable de proyectos en la parte superior de la página.

    2. En el cuadro de diálogo Seleccionar de, haz clic en la lista desplegable de la organización y selecciona el recurso de organización al que deseas agregar un administrador de la organización.

    3. En la lista que aparece, haz clic en el recurso de la organización para abrir su página Permisos de IAM.

  3. Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de uno o más usuarios que quieras establecer como administradores de la organización.

  4. En la lista desplegable Seleccionar una función, selecciona Administrador de recursos > Administrador de la organización y, luego, haz clic en Guardar.

    El administrador de la organización puede hacer lo siguiente:

    • Toma el control total del recurso de organización. Se establece la separación de responsabilidades entre el administrador avanzado de Google Workspace o Cloud Identity y el administrador de Google Cloud.

    • Puedes delegar la responsabilidad sobre las funciones esenciales mediante la asignación de las funciones relevantes de IAM.

gcloud

Para agregar un administrador de la organización, ejecuta el comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Reemplaza lo siguiente:

  • ORGANIZATION_ID: Es el ID único de tu recurso de organización.
  • EMAIL_ADDRESS: Es la dirección de correo electrónico del usuario que deseas agregar como administrador de la organización.

API

Para agregar un administrador de la organización, llama al método setIamPolicy en el recurso de la organización.

  1. Obtén la política de IAM actual para el recurso de la organización:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Actualiza la política que se muestra para agregar el miembro al rol roles/resourcemanager.organizationAdmin.

  3. Establece la política actualizada:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Reemplaza lo siguiente:

    • ORGANIZATION_ID: Es el ID único de tu recurso de organización.
    • EMAIL_ADDRESS: Es la dirección de correo electrónico del usuario que deseas agregar como administrador de la organización.
    • ETAG_VALUE: Es el valor etag de la política que se devolvió en el primer paso.

Crea carpetas para las suborganizaciones

Crea una carpeta en el recurso de organización para cada suborganización.

Para crear carpetas, debes tener la función Administrador de carpetas o Creador de carpetas a nivel del superior. Por ejemplo, para crear carpetas a nivel de la organización, debes tener uno de estos roles a nivel de la organización.

Como parte de la creación de una carpeta, debes asignarle un nombre. Los nombres de las carpetas deben cumplir los siguientes requisitos:

  • El nombre puede contener letras, dígitos, espacios, guiones y guiones bajos.
  • El nombre visible de la carpeta debe comenzar y terminar con una letra o un dígito.
  • El nombre debe tener entre 3 y 30 caracteres.
  • El nombre debe ser distinto al de todas las demás carpetas que comparten el superior.

Para crear una carpeta, sigue estos pasos:

Console

Para crear carpetas, haz lo siguiente:

  1. Ve a la página Administrar recursos en la consola de Google Cloud :

    Abrir la página Administrar recursos

  2. Haz clic en Crear carpeta y selecciona una de las siguientes opciones:

    • Carpeta estándar de Google Cloud: Es un recurso de carpeta estándar.
    • Carpeta de cumplimiento: Es una carpeta de Assured Workloads, que proporciona controles regulatorios, regionales o de soberanía adicionales para los recursos de Google Cloud . Si seleccionas esta opción, se te dirigirá a Assured Workloads para crear una carpeta.

  3. En el cuadro Nombre de la carpeta, ingresa el nombre de la carpeta nueva.

  4. En Recurso superior, haz clic en Explorar y, luego, selecciona el recurso de organización o la carpeta en la que deseas crear la carpeta nueva.

    1. Haz clic en Crear.

gcloud

Las carpetas se pueden crear de forma programática con la Google Cloud CLI.

Para crear una carpeta en el recurso de organización con la herramienta de línea de comandos de gcloud, ejecuta el siguiente comando.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Para crear una carpeta cuya carpeta superior sea otra, sigue estos pasos:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Reemplaza lo siguiente:

  • DISPLAY_NAME: Es el nombre visible de la carpeta. Dos carpetas con la misma carpeta superior no pueden compartir un nombre visible. El nombre visible debe comenzar y terminar con una letra o un dígito, puede contener letras, dígitos, espacios, guiones y guiones bajos, y no puede tener más de 30 caracteres.
  • ORGANIZATION_ID: Es el ID del recurso de organización superior si el superior es un recurso de organización.
  • FOLDER_ID: Es el ID de la carpeta superior, si el elemento superior es una carpeta.

API

Se pueden crear carpetas con una solicitud a la API.

El JSON de la solicitud luce así:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

La solicitud de curl para crear carpetas luce así:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Aquí:

  • DISPLAY_NAME: Es el nombre visible de la carpeta nueva, por ejemplo, "Mi carpeta increíble".
  • ORGANIZATION_NAME: Es el nombre del recurso de organización en el que crearás la carpeta, por ejemplo, organizations/123.

La respuesta para crear carpetas luce así:

Si una llamada registra correctamente una operación, el cuerpo de la respuesta contiene una instancia de Operation.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

La solicitud de curl para obtener operaciones luce así:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

La respuesta para obtener operaciones luce así:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Otorga funciones de administrador a la carpeta

Para cada carpeta de la suborganización que creas, otorga a uno o más usuarios la función Administrador de carpetas. Estos usuarios tienen control administrativo sobre el rol de administrador de carpetas. Estos usuarios tienen control administrativo sobre la carpeta y la organización secundaria que representa.

Para configurar el acceso a las carpetas, debes tener la función Administrador de carpetas de IAM o Administrador de carpetas a nivel del superior.

Console

  1. En la consola de Google Cloud , abre la página Administrar recursos.

    Abrir la página de administración de recursos

  2. Haz clic en la lista desplegable Organización en la esquina superior izquierda y, luego, selecciona el recurso de tu organización.

  3. Selecciona la casilla de verificación junto al proyecto para el que deseas cambiar los permisos.

    1. En el Panel de información del lado derecho, en Permisos, ingresa las direcciones de correo electrónico de los miembros que deseas agregar.

    2. En la lista desplegable Seleccionar un rol, elige el rol que deseas otorgar a esos miembros.

    3. Haz clic en Agregar. Aparecerá una notificación para confirmar la adición o actualización del nuevo rol de los miembros.

gcloud

Puedes configurar el acceso a las carpetas de manera programática con Google Cloud CLI o la API de REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

O, como alternativa:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Reemplaza lo siguiente:

  • FOLDER_ID: Es el ID de la carpeta nueva.
  • POLICY_FILE: Es la ruta de acceso a un archivo de política para la carpeta.

API

El método setIamPolicy establece la política de control de acceso en una carpeta, lo que reemplaza cualquier política existente. El campo resource debe ser el nombre del recurso de la carpeta, por ejemplo, folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

La solicitud curl luce así:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Reemplaza FOLDER_ID por el nombre de la carpeta cuya política de IAM se está configurando, por ejemplo, folders/123.

Restringe los roles de las organizaciones secundarias

Cada Administrador de carpetas puede restringir la función Creador del proyecto de los miembros de su suborganización. También pueden quitar el dominio del rol de Creador de proyectos en la política de permisos del recurso de organización.

Los administradores avanzados de Google Workspace tienen privilegios irrevocables de administrador de la organización. Por lo general, estos administradores avanzados gestionan las identidades y las políticas de identidad, en lugar de administrar los recursos de Google Cloud y las políticas de recursos.

Console

Para quitar los roles asignados a los usuarios de forma predeterminada con la consola de Google Cloud , haz lo siguiente:

  1. Ve a la página Administrar recursos en la consola de Google Cloud :

    Abrir la página Administrar recursos

  2. Haz clic en la lista desplegable Organización en la parte superior de la página y, luego, selecciona tu recurso de organización.

  3. Selecciona la casilla de verificación del recurso de organización para el que deseas cambiar los permisos. Si no tienes un recurso de carpeta, el recurso de organización no será visible. Si quieres continuar, consulta las instrucciones para revocar funciones que están en la página de IAM.

  4. En el Panel de información del lado derecho, en Permisos, haz clic para expandir el rol del que deseas quitar usuarios.

  5. En la lista expandida de las funciones, junto al principal que deseas quitar de la función, haz clic en quitar.Captura de pantalla de la IU

  6. En el cuadro de diálogo ¿Quieres quitar la principal? que aparece, haz clic en Quitar para confirmar que se quitará el rol de la principal especificada.

  7. Repite los dos pasos anteriores en cada función que desees quitar.

Ejemplo

En el siguiente diagrama, se ilustra una organización que usó carpetas para separar dos departamentos. Los jefes de los departamentos de ingeniería y finanzas tienen control administrativo, y los otros usuarios no pueden crear proyectos.

Diagrama de jerarquía

Administra varias organizaciones en un recurso de organización principal

Si tu organización tiene varias cuentas de Google Workspace, tienes varios recursos de organización de forma predeterminada. Para mantener la visibilidad y el control centralizados, debes elegir un recurso de organización para que sea el recurso de organización principal. Los administradores avanzados de la cuenta de Google Workspace asociada con el recurso de organización principal tienen control administrativo sobre todos los recursos de esa organización. No tienen control automático sobre los recursos de otras organizaciones. A los usuarios de otras cuentas de Google Workspace se les puede otorgar acceso a una carpeta en el recurso de organización principal, en la que pueden crear proyectos.

Elige un administrador de la organización

Elige uno o más usuarios para que actúen como administradores de la organización de IAM en el recurso de organización.

Para agregar un administrador de la organización, puedes usar la consola de Google Cloud , Google Cloud CLI o la API de Resource Manager.

Console

  1. Accede a la consola de Google Cloud como un administrador avanzado de Google Workspace o Cloud Identity y ve a la página IAM y administración:

    Abrir la página IAM y administración

  2. Selecciona el recurso de organización que deseas editar:

    1. Haz clic en la lista desplegable de proyectos en la parte superior de la página.

    2. En el cuadro de diálogo Seleccionar de, haz clic en la lista desplegable de la organización y selecciona el recurso de organización al que deseas agregar un administrador de la organización.

    3. En la lista que aparece, haz clic en el recurso de la organización para abrir su página Permisos de IAM.

  3. Haz clic en Agregar y, luego, ingresa la dirección de correo electrónico de uno o más usuarios que quieras establecer como administradores de la organización.

  4. En la lista desplegable Seleccionar una función, selecciona Administrador de recursos > Administrador de la organización y, luego, haz clic en Guardar.

    El administrador de la organización puede hacer lo siguiente:

    • Toma el control total del recurso de organización. Se establece la separación de responsabilidades entre el administrador avanzado de Google Workspace o Cloud Identity y el administrador de Google Cloud.

    • Puedes delegar la responsabilidad sobre las funciones esenciales mediante la asignación de las funciones relevantes de IAM.

gcloud

Para agregar un administrador de la organización, ejecuta el comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Reemplaza lo siguiente:

  • ORGANIZATION_ID: Es el ID único de tu recurso de organización.
  • EMAIL_ADDRESS: Es la dirección de correo electrónico del usuario que deseas agregar como administrador de la organización.

API

Para agregar un administrador de la organización, llama al método setIamPolicy en el recurso de la organización.

  1. Obtén la política de IAM actual para el recurso de la organización:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy

  2. Actualiza la política que se muestra para agregar el miembro al rol roles/resourcemanager.organizationAdmin.

  3. Establece la política actualizada:

    POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
{
  "policy": {
    "bindings": [
      {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
          "user:EMAIL_ADDRESS"
        ]
      }
    ],
    "etag": "ETAG_VALUE"
  }
}

    Reemplaza lo siguiente:

    • ORGANIZATION_ID: Es el ID único de tu recurso de organización.
    • EMAIL_ADDRESS: Es la dirección de correo electrónico del usuario que deseas agregar como administrador de la organización.
    • ETAG_VALUE: Es el valor etag de la política que se devolvió en el primer paso.

Quita la función Creador del proyecto

Quita el rol de creador de proyectos del recurso de organización para asegurarte de que no se creen recursos en los otros recursos de organización.

Console

Para quitar los roles asignados a los usuarios de forma predeterminada con la consola de Google Cloud , haz lo siguiente:

  1. Ve a la página Administrar recursos en la consola de Google Cloud :

    Abrir la página Administrar recursos

  2. Haz clic en la lista desplegable Organización en la parte superior de la página y, luego, selecciona tu recurso de organización.

  3. Selecciona la casilla de verificación del recurso de organización para el que deseas cambiar los permisos. Si no tienes un recurso de carpeta, el recurso de organización no será visible. Si quieres continuar, consulta las instrucciones para revocar funciones que están en la página de IAM.

  4. En el Panel de información del lado derecho, en Permisos, haz clic para expandir el rol del que deseas quitar usuarios.

  5. En la lista expandida de las funciones, junto al principal que deseas quitar de la función, haz clic en quitar.Captura de pantalla de la IU

  6. En el cuadro de diálogo ¿Quieres quitar la principal? que aparece, haz clic en Quitar para confirmar que se quitará el rol de la principal especificada.

  7. Repite los dos pasos anteriores en cada función que desees quitar.

Crea carpetas para las cuentas de Google Workspace

Crea una carpeta en el recurso de organización para cada cuenta de Google Workspace.

Para crear carpetas, debes tener la función Administrador de carpetas o Creador de carpetas a nivel del superior. Por ejemplo, para crear carpetas a nivel de la organización, debes tener uno de estos roles a nivel de la organización.

Como parte de la creación de una carpeta, debes asignarle un nombre. Los nombres de las carpetas deben cumplir los siguientes requisitos:

  • El nombre puede contener letras, dígitos, espacios, guiones y guiones bajos.
  • El nombre visible de la carpeta debe comenzar y terminar con una letra o un dígito.
  • El nombre debe tener entre 3 y 30 caracteres.
  • El nombre debe ser distinto al de todas las demás carpetas que comparten el superior.

Para crear una carpeta, sigue estos pasos:

Console

Para crear carpetas, haz lo siguiente:

  1. Ve a la página Administrar recursos en la consola de Google Cloud :

    Abrir la página Administrar recursos

  2. Haz clic en Crear carpeta y selecciona una de las siguientes opciones:

    • Carpeta estándar de Google Cloud: Es un recurso de carpeta estándar.
    • Carpeta de cumplimiento: Es una carpeta de Assured Workloads, que proporciona controles regulatorios, regionales o de soberanía adicionales para los recursos de Google Cloud . Si seleccionas esta opción, se te dirigirá a Assured Workloads para crear una carpeta.

  3. En el cuadro Nombre de la carpeta, ingresa el nombre de la carpeta nueva.

  4. En Recurso superior, haz clic en Explorar y, luego, selecciona el recurso de organización o la carpeta en la que deseas crear la carpeta nueva.

    1. Haz clic en Crear.

gcloud

Las carpetas se pueden crear de forma programática con la Google Cloud CLI.

Para crear una carpeta en el recurso de organización con la herramienta de línea de comandos de gcloud, ejecuta el siguiente comando.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Para crear una carpeta cuya carpeta superior sea otra, sigue estos pasos:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Reemplaza lo siguiente:

  • DISPLAY_NAME: Es el nombre visible de la carpeta. Dos carpetas con la misma carpeta superior no pueden compartir un nombre visible. El nombre visible debe comenzar y terminar con una letra o un dígito, puede contener letras, dígitos, espacios, guiones y guiones bajos, y no puede tener más de 30 caracteres.
  • ORGANIZATION_ID: Es el ID del recurso de organización superior si el superior es un recurso de organización.
  • FOLDER_ID: Es el ID de la carpeta superior, si el elemento superior es una carpeta.

API

Se pueden crear carpetas con una solicitud a la API.

El JSON de la solicitud luce así:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

La solicitud de curl para crear carpetas luce así:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Aquí:

  • DISPLAY_NAME: Es el nombre visible de la carpeta nueva, por ejemplo, "Mi carpeta increíble".
  • ORGANIZATION_NAME: Es el nombre del recurso de organización en el que crearás la carpeta, por ejemplo, organizations/123.

La respuesta para crear carpetas luce así:

Si una llamada registra correctamente una operación, el cuerpo de la respuesta contiene una instancia de Operation.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

La solicitud de curl para obtener operaciones luce así:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

La respuesta para obtener operaciones luce así:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Otorga funciones de administrador a la carpeta

Otorga a uno o más usuarios la función Administrador de carpetas, para cada una de las carpetas creadas. A estos usuarios se les delega el control administrativo de la carpeta y la suborganización que representa.

Para configurar el acceso a las carpetas, debes tener la función Administrador de carpetas de IAM o Administrador de carpetas a nivel del superior.

Console

  1. En la consola de Google Cloud , abre la página Administrar recursos.

    Abrir la página de administración de recursos

  2. Haz clic en la lista desplegable Organización en la esquina superior izquierda y, luego, selecciona el recurso de tu organización.

  3. Selecciona la casilla de verificación junto al proyecto para el que deseas cambiar los permisos.

    1. En el Panel de información del lado derecho, en Permisos, ingresa las direcciones de correo electrónico de los miembros que deseas agregar.

    2. En la lista desplegable Seleccionar un rol, elige el rol que deseas otorgar a esos miembros.

    3. Haz clic en Agregar. Aparecerá una notificación para confirmar la adición o actualización del nuevo rol de los miembros.

gcloud

Puedes configurar el acceso a las carpetas de manera programática con Google Cloud CLI o la API de REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

O, como alternativa:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Reemplaza lo siguiente:

  • FOLDER_ID: Es el ID de la carpeta nueva.
  • POLICY_FILE: Es la ruta de acceso a un archivo de política para la carpeta.

API

El método setIamPolicy establece la política de control de acceso en una carpeta, lo que reemplaza cualquier política existente. El campo resource debe ser el nombre del recurso de la carpeta, por ejemplo, folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

La solicitud curl luce así:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Reemplaza FOLDER_ID por el nombre de la carpeta cuya política de IAM se está configurando, por ejemplo, folders/123.

Cada Administrador de carpeta puede otorgar a los usuarios del dominio asociado la función Creador del proyecto.

Ejemplo

En el siguiente diagrama, se ilustra una organización con un dominio principal que se mantiene aislado de un dominio secundario adquirido. Cada uno de los dos dominios tiene sus propias cuentas de Google Workspace, y hypothetical.com es el recurso de organización principal.

Diagrama de jerarquía