Plusieurs ressources d'organisation Google Cloud vous permettent de gérer des unités commerciales ou des services en tant qu'entités isolées sans administration centrale. Dans la plupart des cas d'utilisation, utilisez des dossiers sous une seule ressource d'organisation dans la hiérarchie des ressourcesGoogle Cloud . Une ressource d'organisation établit la propriété des projets et des dossiers qui se trouvent en dessous. Chaque compte Google Workspace ou Cloud Identity est mappé à un domaine principal, tel que example.com, et crée une ressource d'organisation.
Pour en savoir plus sur les options de domaine d'identité, consultez Ajouter un domaine avec alias d'utilisateur ou un domaine secondaire et Modifier votre domaine principal pour Google Workspace.
Vous pouvez également utiliser des organisations autonomes, qui fonctionnent de manière indépendante et ne nécessitent pas de compte Cloud Identity ni Google Workspace.
Effets de l'utilisation de plusieurs ressources d'organisation
Utilisez plusieurs ressources d'organisation lorsque vous ne souhaitez pas que les utilisateurs d'un compte Google Cloud, Google Workspace ou Cloud Identity accèdent aux ressources créées par les utilisateurs d'un autre compte. La séparation des ressources en plusieurs ressources d'organisation entraîne les conséquences suivantes :
Par défaut, aucun utilisateur ne dispose d'une visibilité et d'un contrôle centralisés sur toutes les ressources.
Les règles communes aux sous-organisations doivent être répliquées sur chaque ressource d'organisation.
Le déplacement de dossiers d'une ressource d'organisation vers une autre n'est pas une opération acceptée. Pour en savoir plus, consultez Migrer des projets entre des ressources d'organisation.
Chaque ressource d'organisation Cloud Identity nécessite un compte Google Workspace. L'exploitation de plusieurs ressources d'organisation Cloud Identity nécessite donc plusieurs comptes Google Workspace et la capacité de gérer les identités entre eux.
Utiliser une seule ressource d'organisation
La plupart des organisations qui souhaitent conserver des sous-organisations distinctes peuvent le faire à l'aide d'une seule ressource d'organisation et de dossiers. Si vous disposez d'un seul compte Google Workspace, ce compte est mappé à la ressource Organisation, et les sous-organisations sont mappées aux dossiers.
Choisir un administrateur de l'organisation
Les utilisateurs de Google Workspace et de Cloud Identity peuvent choisir un ou plusieurs utilisateurs pour agir en tant qu'administrateur de l'organisation IAM pour la ressource d'organisation en suivant les instructions ci-dessous.
Pour savoir comment configurer IAM pour les organisations autonomes, consultez Ajouter un propriétaire d'organisation.
Pour ajouter un administrateur de l'organisation, vous pouvez utiliser la console Google Cloud , la Google Cloud CLI ou l'API Resource Manager.
Console
Connectez-vous à la console Google Cloud en tant que super-administrateur Google Workspace ou Cloud Identity, puis accédez à la page IAM et administration :
Sélectionnez la ressource d'organisation que vous souhaitez modifier :
Cliquez sur la liste déroulante des projets en haut de la page.
Dans la boîte de dialogue Sélectionnez une organisation, cliquez sur la liste déroulante des organisations, puis sélectionnez la ressource d'organisation à laquelle vous souhaitez ajouter un administrateur de l'organisation.
Dans la liste qui s'affiche, cliquez sur la ressource d'organisation pour ouvrir sa page Autorisations IAM.
Cliquez sur Ajouter, puis saisissez l'adresse e-mail d'un ou de plusieurs utilisateurs que vous souhaitez définir comme administrateurs de l'organisation.
Dans la liste déroulante Sélectionnez un rôle, sélectionnez Gestionnaire de ressources > Administrateur de l'organisation, puis cliquez sur Enregistrer.
L'administrateur de l'organisation peut effectuer les opérations suivantes :
Contrôler entièrement la ressource Organisation. La séparation des responsabilités entre le super-administrateur Google Workspace ou Cloud Identity et l'administrateur Google Cloudest établie.
Déléguer la responsabilité des fonctions essentielles en attribuant les rôles IAM appropriés.
gcloud
Pour ajouter un administrateur de l'organisation, exécutez la commande gcloud organizations add-iam-policy-binding :
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member="user:EMAIL_ADDRESS" \
--role="roles/resourcemanager.organizationAdmin"
Remplacez les éléments suivants :
ORGANIZATION_ID: identifiant unique de votre ressource d'organisation.EMAIL_ADDRESS: adresse e-mail de l'utilisateur que vous souhaitez ajouter en tant qu'administrateur de l'organisation.
API
Pour ajouter un administrateur de l'organisation, appelez la méthode setIamPolicy sur la ressource d'organisation.
Obtenez la stratégie IAM actuelle pour la ressource d'organisation :
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicyMettez à jour la stratégie renvoyée pour ajouter le membre au rôle
roles/resourcemanager.organizationAdmin.Définissez la stratégie mise à jour :
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy { "policy": { "bindings": [ { "role": "roles/resourcemanager.organizationAdmin", "members": [ "user:EMAIL_ADDRESS" ] } ], "etag": "ETAG_VALUE" } }Remplacez les éléments suivants :
ORGANIZATION_ID: identifiant unique de votre ressource d'organisation.EMAIL_ADDRESS: adresse e-mail de l'utilisateur que vous souhaitez ajouter en tant qu'administrateur de l'organisation.ETAG_VALUE: valeuretagde la stratégie renvoyée à la première étape.
Créer des dossiers pour les sous-organisations
Créez un dossier sous la ressource d'organisation pour chaque sous-organisation.
Pour créer des dossiers, vous devez bénéficier du rôle Administrateur de dossier ou Créateur de dossier au niveau du dossier parent. Par exemple, pour créer des dossiers au niveau de l'organisation, vous devez disposer de l'un de ces rôles au niveau de l'organisation.
Lorsque vous créez un dossier, vous devez lui attribuer un nom. Les noms de dossier doivent répondre aux exigences suivantes :
- Le nom peut contenir des lettres, des chiffres, des espaces, des traits d'union et des traits de soulignement.
- Le nom à afficher du dossier doit commencer et se terminer par une lettre ou un chiffre.
- Le nom doit contenir entre 3 et 30 caractères.
- Le nom ne doit pas être le même que celui d'un autre dossier possédant le même parent.
Pour créer un dossier, procédez comme suit :
Console
Pour créer des dossiers, procédez comme suit :
Accédez à la page Gérer les ressources dans la console Google Cloud :
Cliquez sur Créer un dossier, puis sélectionnez l'une des options suivantes :
- Dossier Google Cloud standard : ressource de dossier standard.
- Dossier conforme : un dossier Assured Workloads, qui fournit des contrôles réglementaires, régionaux ou de souveraineté supplémentaires pour les ressources Google Cloud . Si vous sélectionnez cette option, vous serez redirigé vers Assured Workloads pour créer un dossier.
Dans le champ Nom du dossier, saisissez le nom de votre nouveau dossier.
Sous Ressource parente, cliquez sur Parcourir, puis sélectionnez la ressource d'organisation ou le dossier sous lequel vous souhaitez créer votre dossier.
- Cliquez sur Créer.
gcloud
Vous pouvez créer des dossiers de manière programmatique à l'aide de la Google Cloud CLI.
Pour créer un dossier sous la ressource d'organisation à l'aide de l'outil de ligne de commande gcloud, exécutez la commande suivante.
gcloud resource-manager folders create \
--display-name=DISPLAY_NAME \
--organization=ORGANIZATION_ID
Pour créer un dossier ayant pour parent un autre dossier, procédez comme suit :
gcloud resource-manager folders create \
--display-name=DISPLAY_NAME \
--folder=FOLDER_ID
Remplacez les éléments suivants :
- DISPLAY_NAME : nom à afficher du dossier. Deux dossiers possédant le même parent ne peuvent pas porter le même nom à afficher. Le nom à afficher doit commencer et se terminer par une lettre ou un chiffre. Il peut contenir des lettres, des chiffres, des espaces, des traits d'union et des traits de soulignement. Il ne peut pas dépasser 30 caractères.
- ORGANIZATION_ID : ID de la ressource d'organisation parente si le parent est une ressource d'organisation.
- FOLDER_ID : ID du dossier parent, si le parent est un dossier.
API
Les dossiers peuvent être créés avec une requête API.
Requête JSON :
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
Requête curl pour créer un dossier :
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Où :
- DISPLAY_NAME : nom à afficher du nouveau dossier, par exemple "Mon super dossier".
- ORGANIZATION_NAME : nom de la ressource d'organisation sous laquelle vous créez le dossier, par exemple
organizations/123.
Réponse pour la création du dossier :
Si un appel enregistre correctement une opération, le corps de la réponse contient une instance d'Operation.
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "DISPLAY_NAME",
"operationType": "CREATE"
}
}
Requête curl pour l'opération Get :
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
Réponse pour l'opération Get :
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "DISPLAY_NAME",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "DISPLAY_NAME",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Attribuer des rôles d'administrateur du dossier
Pour chaque dossier de sous-organisation que vous créez, attribuez le rôle Administrateur de dossier à un ou plusieurs utilisateurs. Ces utilisateurs disposent d'un contrôle administratif sur le rôle Administrateur de dossier. Ces utilisateurs disposent d'un contrôle administratif sur le dossier et la sous-organisation qu'il représente.
Pour configurer l'accès aux dossiers, vous devez bénéficier du rôle Administrateur de dossier IAM ou Administrateur de dossier au niveau du dossier parent.
Console
Dans la console Google Cloud , ouvrez la page Gérer les ressources.
Cliquez sur la liste déroulante Organisation en haut à gauche, puis sélectionnez votre ressource d'organisation.
Cochez la case à côté du projet pour lequel vous souhaitez modifier les autorisations.
Dans le Panneau d'informations situé à droite, sous Autorisations, saisissez les adresses e-mail des membres que vous souhaitez ajouter.
Dans la liste déroulante Sélectionner un rôle, sélectionnez le rôle que vous souhaitez attribuer à ces membres.
Cliquez sur Ajouter. Une notification s'affiche pour confirmer l'ajout ou la mise à jour du nouveau rôle des membres.
gcloud
Vous pouvez configurer l'accès aux dossiers de manière programmatique à l'aide de la Google Cloud CLI ou de l'API REST.
gcloud resource-manager folders \
add-iam-policy-binding FOLDER_ID \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding FOLDER_ID \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
Vous pouvez également procéder comme suit :
gcloud resource-manager folders \
set-iam-policy FOLDER_ID POLICY_FILE
Remplacez les éléments suivants :
- FOLDER_ID : ID du nouveau dossier
- POLICY_FILE : chemin d'accès à un fichier de stratégie pour le dossier
API
La méthode setIamPolicy définit la stratégie de contrôle des accès sur un dossier, en remplaçant toute stratégie existante. Le champ resource doit correspondre au nom de ressource du dossier, par exemple folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
Requête curl :
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy
Remplacez FOLDER_ID par le nom du dossier dont la stratégie IAM est en cours de définition, par exemple folders/123.
Restreindre les rôles des sous-organisations
Chaque Administrateur de dossier peut restreindre le rôle de Créateur de projet aux membres de sa sous-organisation. Il peut également supprimer le domaine du rôle Créateur de projet dans la stratégie d'autorisation de la ressource d'organisation.
Les super-administrateurs Google Workspace disposent de droits d'administrateur de l'organisation irrévocables. Ces super-administrateurs gèrent généralement les identités et les règles d'identité, plutôt que les ressources et les règles de ressources Google Cloud .
Console
Pour supprimer les rôles attribués aux utilisateurs par défaut à l'aide de la console Google Cloud , procédez comme suit :
Accédez à la page Gérer les ressources dans la console Google Cloud :
Cliquez sur la liste déroulante Organisation en haut de la page, puis sélectionnez votre ressource d'organisation.
Cochez la case correspondant à la ressource d'organisation pour laquelle vous souhaitez modifier les autorisations. Si vous ne disposez pas d'une ressource de dossier, la ressource d'organisation ne sera pas visible. Pour continuer, consultez les instructions de révocation de rôles à la page IAM.
Dans le panneau d'informations de droite, sous Autorisations, cliquez pour développer le rôle dont vous souhaitez supprimer des utilisateurs.
Sous la liste de rôles développée, cliquez sur l'icône de suppression située à côté du compte principal dont vous souhaitez supprimer le rôle.
Dans la boîte de dialogue Supprimer le compte principal ? qui s'affiche, cliquez sur Supprimer pour confirmer la suppression du rôle pour le compte principal spécifié.
Répétez les deux étapes ci-dessus pour chaque rôle que vous souhaitez supprimer.
Exemple
Le schéma suivant illustre une organisation qui a utilisé des dossiers pour séparer deux services. Les responsables des services d'ingénierie et des finances peuvent exercer un contrôle administratif, contrairement aux autres utilisateurs qui ne peuvent pas créer de projets.
Gérer plusieurs organisations sous une ressource d'organisation principale
Si votre organisation possède plusieurs comptes Google Workspace, vous disposez par défaut de plusieurs ressources d'organisation. Pour conserver une visibilité et un contrôle centralisés, vous devez choisir une ressource d'organisation comme ressource d'organisation principale. Les super-administrateurs du compte Google Workspace associé à votre ressource d'organisation principale disposent d'un contrôle administratif sur toutes les ressources de cette organisation. Ils ne contrôlent pas automatiquement les ressources d'autres organisations. Les utilisateurs d'autres comptes Google Workspace peuvent être autorisés à accéder à un dossier de la ressource d'organisation principale, dans lequel ils peuvent créer des projets.
Choisir un administrateur de l'organisation
Choisissez un ou plusieurs utilisateurs pour agir en tant qu'administrateur de l'organisation IAM pour la ressource d'organisation.
Pour ajouter un administrateur de l'organisation, vous pouvez utiliser la console Google Cloud , la Google Cloud CLI ou l'API Resource Manager.
Console
Connectez-vous à la console Google Cloud en tant que super-administrateur Google Workspace ou Cloud Identity, puis accédez à la page IAM et administration :
Sélectionnez la ressource d'organisation que vous souhaitez modifier :
Cliquez sur la liste déroulante des projets en haut de la page.
Dans la boîte de dialogue Sélectionnez une organisation, cliquez sur la liste déroulante des organisations, puis sélectionnez la ressource d'organisation à laquelle vous souhaitez ajouter un administrateur de l'organisation.
Dans la liste qui s'affiche, cliquez sur la ressource d'organisation pour ouvrir sa page Autorisations IAM.
Cliquez sur Ajouter, puis saisissez l'adresse e-mail d'un ou de plusieurs utilisateurs que vous souhaitez définir comme administrateurs de l'organisation.
Dans la liste déroulante Sélectionnez un rôle, sélectionnez Gestionnaire de ressources > Administrateur de l'organisation, puis cliquez sur Enregistrer.
L'administrateur de l'organisation peut effectuer les opérations suivantes :
Contrôler entièrement la ressource Organisation. La séparation des responsabilités entre le super-administrateur Google Workspace ou Cloud Identity et l'administrateur Google Cloudest établie.
Déléguer la responsabilité des fonctions essentielles en attribuant les rôles IAM appropriés.
gcloud
Pour ajouter un administrateur de l'organisation, exécutez la commande gcloud organizations add-iam-policy-binding :
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member="user:EMAIL_ADDRESS" \
--role="roles/resourcemanager.organizationAdmin"
Remplacez les éléments suivants :
ORGANIZATION_ID: identifiant unique de votre ressource d'organisation.EMAIL_ADDRESS: adresse e-mail de l'utilisateur que vous souhaitez ajouter en tant qu'administrateur de l'organisation.
API
Pour ajouter un administrateur de l'organisation, appelez la méthode setIamPolicy sur la ressource d'organisation.
Obtenez la stratégie IAM actuelle pour la ressource d'organisation :
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicyMettez à jour la stratégie renvoyée pour ajouter le membre au rôle
roles/resourcemanager.organizationAdmin.Définissez la stratégie mise à jour :
POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy { "policy": { "bindings": [ { "role": "roles/resourcemanager.organizationAdmin", "members": [ "user:EMAIL_ADDRESS" ] } ], "etag": "ETAG_VALUE" } }Remplacez les éléments suivants :
ORGANIZATION_ID: identifiant unique de votre ressource d'organisation.EMAIL_ADDRESS: adresse e-mail de l'utilisateur que vous souhaitez ajouter en tant qu'administrateur de l'organisation.ETAG_VALUE: valeuretagde la stratégie renvoyée à la première étape.
Supprimer le rôle de créateur de projet
Supprimez le rôle Créateur de projet de la ressource d'organisation pour vous assurer qu'aucune ressource n'est créée dans les autres ressources d'organisation.
Console
Pour supprimer les rôles attribués aux utilisateurs par défaut à l'aide de la console Google Cloud , procédez comme suit :
Accédez à la page Gérer les ressources dans la console Google Cloud :
Cliquez sur la liste déroulante Organisation en haut de la page, puis sélectionnez votre ressource d'organisation.
Cochez la case correspondant à la ressource d'organisation pour laquelle vous souhaitez modifier les autorisations. Si vous ne disposez pas d'une ressource de dossier, la ressource d'organisation ne sera pas visible. Pour continuer, consultez les instructions de révocation de rôles à la page IAM.
Dans le panneau d'informations de droite, sous Autorisations, cliquez pour développer le rôle dont vous souhaitez supprimer des utilisateurs.
Sous la liste de rôles développée, cliquez sur l'icône de suppression située à côté du compte principal dont vous souhaitez supprimer le rôle.
Dans la boîte de dialogue Supprimer le compte principal ? qui s'affiche, cliquez sur Supprimer pour confirmer la suppression du rôle pour le compte principal spécifié.
Répétez les deux étapes ci-dessus pour chaque rôle que vous souhaitez supprimer.
Créer des dossiers pour les comptes Google Workspace
Créez un dossier sous la ressource d'organisation pour chaque compte Google Workspace.
Pour créer des dossiers, vous devez bénéficier du rôle Administrateur de dossier ou Créateur de dossier au niveau du dossier parent. Par exemple, pour créer des dossiers au niveau de l'organisation, vous devez disposer de l'un de ces rôles au niveau de l'organisation.
Lorsque vous créez un dossier, vous devez lui attribuer un nom. Les noms de dossier doivent répondre aux exigences suivantes :
- Le nom peut contenir des lettres, des chiffres, des espaces, des traits d'union et des traits de soulignement.
- Le nom à afficher du dossier doit commencer et se terminer par une lettre ou un chiffre.
- Le nom doit contenir entre 3 et 30 caractères.
- Le nom ne doit pas être le même que celui d'un autre dossier possédant le même parent.
Pour créer un dossier, procédez comme suit :
Console
Pour créer des dossiers, procédez comme suit :
Accédez à la page Gérer les ressources dans la console Google Cloud :
Cliquez sur Créer un dossier, puis sélectionnez l'une des options suivantes :
- Dossier Google Cloud standard : ressource de dossier standard.
- Dossier conforme : un dossier Assured Workloads, qui fournit des contrôles réglementaires, régionaux ou de souveraineté supplémentaires pour les ressources Google Cloud . Si vous sélectionnez cette option, vous serez redirigé vers Assured Workloads pour créer un dossier.
Dans le champ Nom du dossier, saisissez le nom de votre nouveau dossier.
Sous Ressource parente, cliquez sur Parcourir, puis sélectionnez la ressource d'organisation ou le dossier sous lequel vous souhaitez créer votre dossier.
- Cliquez sur Créer.
gcloud
Vous pouvez créer des dossiers de manière programmatique à l'aide de la Google Cloud CLI.
Pour créer un dossier sous la ressource d'organisation à l'aide de l'outil de ligne de commande gcloud, exécutez la commande suivante.
gcloud resource-manager folders create \
--display-name=DISPLAY_NAME \
--organization=ORGANIZATION_ID
Pour créer un dossier ayant pour parent un autre dossier, procédez comme suit :
gcloud resource-manager folders create \
--display-name=DISPLAY_NAME \
--folder=FOLDER_ID
Remplacez les éléments suivants :
- DISPLAY_NAME : nom à afficher du dossier. Deux dossiers possédant le même parent ne peuvent pas porter le même nom à afficher. Le nom à afficher doit commencer et se terminer par une lettre ou un chiffre. Il peut contenir des lettres, des chiffres, des espaces, des traits d'union et des traits de soulignement. Il ne peut pas dépasser 30 caractères.
- ORGANIZATION_ID : ID de la ressource d'organisation parente si le parent est une ressource d'organisation.
- FOLDER_ID : ID du dossier parent, si le parent est un dossier.
API
Les dossiers peuvent être créés avec une requête API.
Requête JSON :
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
Requête curl pour créer un dossier :
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
Où :
- DISPLAY_NAME : nom à afficher du nouveau dossier, par exemple "Mon super dossier".
- ORGANIZATION_NAME : nom de la ressource d'organisation sous laquelle vous créez le dossier, par exemple
organizations/123.
Réponse pour la création du dossier :
Si un appel enregistre correctement une opération, le corps de la réponse contient une instance d'Operation.
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "DISPLAY_NAME",
"operationType": "CREATE"
}
}
Requête curl pour l'opération Get :
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
Réponse pour l'opération Get :
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "DISPLAY_NAME",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "DISPLAY_NAME",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
Attribuer des rôles d'administrateur du dossier
Pour chacun des dossiers créés, attribuez le rôle Administrateur de dossier à un ou plusieurs utilisateurs. Ces utilisateurs disposent d'un contrôle administratif délégué sur le dossier et la sous-organisation qu'il représente.
Pour configurer l'accès aux dossiers, vous devez bénéficier du rôle Administrateur de dossier IAM ou Administrateur de dossier au niveau du dossier parent.
Console
Dans la console Google Cloud , ouvrez la page Gérer les ressources.
Cliquez sur la liste déroulante Organisation en haut à gauche, puis sélectionnez votre ressource d'organisation.
Cochez la case à côté du projet pour lequel vous souhaitez modifier les autorisations.
Dans le Panneau d'informations situé à droite, sous Autorisations, saisissez les adresses e-mail des membres que vous souhaitez ajouter.
Dans la liste déroulante Sélectionner un rôle, sélectionnez le rôle que vous souhaitez attribuer à ces membres.
Cliquez sur Ajouter. Une notification s'affiche pour confirmer l'ajout ou la mise à jour du nouveau rôle des membres.
gcloud
Vous pouvez configurer l'accès aux dossiers de manière programmatique à l'aide de la Google Cloud CLI ou de l'API REST.
gcloud resource-manager folders \
add-iam-policy-binding FOLDER_ID \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding FOLDER_ID \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
Vous pouvez également procéder comme suit :
gcloud resource-manager folders \
set-iam-policy FOLDER_ID POLICY_FILE
Remplacez les éléments suivants :
- FOLDER_ID : ID du nouveau dossier
- POLICY_FILE : chemin d'accès à un fichier de stratégie pour le dossier
API
La méthode setIamPolicy définit la stratégie de contrôle des accès sur un dossier, en remplaçant toute stratégie existante. Le champ resource doit correspondre au nom de ressource du dossier, par exemple folders/1234.
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
Requête curl :
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy
Remplacez FOLDER_ID par le nom du dossier dont la stratégie IAM est en cours de définition, par exemple folders/123.
Chaque Administrateur de dossier peut alors attribuer aux utilisateurs du domaine associé le rôle de Créateur de projet.
Exemple
Le schéma suivant illustre une organisation dont le domaine principal est isolé d'un domaine secondaire acquis. Chacun des deux domaines possède son propre compte Google Workspace, hypothetical.com étant la ressource d'organisation principale.
