Gestire più risorse organizzazione

Più risorse organizzazione Google Cloud ti consentono di mantenere le unità aziendali o i reparti come entità isolate senza un'amministrazione centrale. Per la maggior parte dei casi d'uso, utilizza le cartelle in una singola risorsa organizzazione nella gerarchia delle risorseGoogle Cloud . Una risorsa Organizzazione stabilisce la proprietà dei progetti e delle cartelle al suo interno. Ogni account Google Workspace o Cloud Identity viene mappato a un dominio principale, ad esempio example.com, e crea una risorsa organizzazione. Per saperne di più sulle opzioni dei domini di identità, vedi Aggiungi un dominio degli alias utente o un dominio secondario e Cambia il dominio principale per Google Workspace. In alternativa, puoi utilizzare organizzazioni autonome, che operano in modo indipendente e non richiedono un account Cloud Identity o Google Workspace.

Effetti dell'utilizzo di più risorse organizzazione

Utilizza più risorse organizzazione quando non vuoi che gli utenti di un account Google Cloud, Google Workspace o Cloud Identity accedano alle risorse create dagli utenti di un altro account. La separazione delle risorse in più risorse organizzazione comporta quanto segue:

• Per impostazione predefinita, nessun singolo utente ha visibilità e controllo centralizzati su tutte le risorse.

• Le policy comuni alle organizzazioni secondarie devono essere replicate su ogni risorsa organizzazione.

• Lo spostamento di cartelle da una risorsa organizzazione a un'altra non è un'operazione supportata. Per saperne di più, consulta Esegui la migrazione dei progetti tra le risorse dell'organizzazione.

• Ogni risorsa organizzazione Cloud Identity richiede un account Google Workspace. La gestione di più risorse organizzazione Cloud Identity richiede quindi più account Google Workspace e la capacità di gestire le identità tra questi account.

  Nota: le organizzazioni autonome non richiedono Cloud Identity. Inoltre, se hai un dominio Cloud Identity, non è necessario un dominio Google Workspace.

Utilizzo di una singola risorsa organizzazione

La maggior parte delle organizzazioni che vogliono mantenere organizzazioni secondarie separate può farlo utilizzando una singola risorsa Organizzazione e cartelle. Se hai un singolo account Google Workspace, questo account viene mappato alla risorsa Organizzazione e le organizzazioni secondarie vengono mappate alle cartelle.

Scegli un Amministratore organizzazione

Gli utenti di Google Workspace e Cloud Identity possono scegliere uno o più utenti che agiscano come Organization Administrator IAM per la risorsa dell'organizzazione seguendo queste istruzioni.

Per istruzioni sulla configurazione di IAM per le organizzazioni autonome, consulta Aggiungi proprietario dell'organizzazione.

Per aggiungere un Amministratore organizzazione, puoi utilizzare la console Google Cloud , Google Cloud CLI o l'API Resource Manager.

Console

1. Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:

   Apri la pagina IAM e amministrazione

2. Seleziona la risorsa organizzazione che vuoi modificare:

   1. Fai clic sull'elenco a discesa del progetto nella parte superiore della pagina.

   2. Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa Organizzazione e seleziona la risorsa Organizzazione a cui vuoi aggiungere un Amministratore organizzazione.

   3. Nell'elenco visualizzato, fai clic sulla risorsa organizzazione per aprire la relativa pagina Autorizzazioni IAM.

3. Fai clic su Aggiungi e inserisci l'indirizzo email di uno o più utenti che vuoi impostare come Organization Administrator.

4. Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Organization Administrator, quindi fai clic su Salva.

   L'Organization Administrator può:

   • Assumere il controllo completo della risorsa organizzazione. Separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.

   • Delega la responsabilità delle funzioni critiche assegnando i ruoli IAM pertinenti.

gcloud

Per aggiungere un Amministratore organizzazione, esegui il comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID univoco della risorsa organizzazione.
• EMAIL_ADDRESS: l'indirizzo email dell'utente che vuoi aggiungere come Amministratore organizzazione.

API

Per aggiungere un Amministratore organizzazione, chiama il metodo setIamPolicy sulla risorsa dell'organizzazione.

1. Recupera l'attuale policy IAM per la risorsa dell'organizzazione:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy
   

2. Aggiorna la policy restituita per aggiungere il membro al ruolo roles/resourcemanager.organizationAdmin.

3. Imposta la policy aggiornata:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
   {
     "policy": {
       "bindings": [
         {
           "role": "roles/resourcemanager.organizationAdmin",
           "members": [
             "user:EMAIL_ADDRESS"
           ]
         }
       ],
       "etag": "ETAG_VALUE"
     }
   }
   

   Sostituisci quanto segue:

   • ORGANIZATION_ID: l'ID univoco della risorsa organizzazione.
   • EMAIL_ADDRESS: l'indirizzo email dell'utente che vuoi aggiungere come Amministratore organizzazione.
   • ETAG_VALUE: il valore etag della policy restituita nel primo passaggio.

Crea cartelle per le organizzazioni secondarie

Crea una cartella nella risorsa dell'organizzazione per ogni organizzazione secondaria.

Per creare cartelle, devi disporre del ruolo Folder Admin o Folder Creator a livello principale. Ad esempio, per creare cartelle a livello di organizzazione, devi disporre di uno di questi ruoli a livello di organizzazione.

Quando crei una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:

• Il nome può contenere lettere, numeri, spazi, trattini e trattini bassi.
• Il nome visualizzato della cartella deve iniziare e terminare con una lettera o un numero.
• Il nome deve essere compreso tra 3 e 30 caratteri
• Il nome deve essere diverso da quello di tutte le altre cartelle che condividono lo stesso elemento padre.

Per creare una cartella:

Console

Per creare cartelle:

1. Vai alla pagina Gestisci risorse nella console Google Cloud :

   Apri la pagina Gestisci risorse

2. Fai clic su Crea cartella e seleziona una delle seguenti opzioni:

   • Cartella Google Cloud standard: una risorsa cartella standard.
   • Cartella conforme: una cartella Assured Workloads, che fornisce controlli normativi, regionali o di sovranità aggiuntivi per le risorse Google Cloud . Se selezioni questa opzione, verrai indirizzato ad Assured Workloads per creare una cartella.

3. Nella casella Nome cartella, inserisci il nome della nuova cartella.

4. In Risorsa padre, fai clic su Sfoglia, quindi seleziona la risorsa o la cartella dell'organizzazione in cui vuoi creare la nuova cartella.

   1. Fai clic su Crea.

gcloud

Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.

Per creare una cartella nella risorsa dell'organizzazione utilizzando lo strumento a riga di comando gcloud, esegui questo comando.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Per creare una cartella la cui cartella principale è un'altra cartella:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Sostituisci quanto segue:

• DISPLAY_NAME: il nome visualizzato della cartella. Due cartelle con lo stesso elemento principale non possono condividere un nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o una cifra, può contenere lettere, cifre, spazi, trattini e trattini bassi e non può superare i 30 caratteri.
• ORGANIZATION_ID: l'ID della risorsa organizzazione padre se il padre è una risorsa organizzazione.
• FOLDER_ID: l'ID della cartella principale, se l'elemento principale è una cartella.

API

Le cartelle possono essere create con una richiesta API.

Il file JSON della richiesta:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

La richiesta curl Create Folder:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Dove:

• DISPLAY_NAME: il nome visualizzato della nuova cartella, ad esempio "My Awesome Folder".
• ORGANIZATION_NAME: il nome della risorsa organizzazione in cui stai creando la cartella, ad esempio organizations/123.

La risposta di Create Folder:

Se una chiamata registra correttamente un'operazione, il corpo della risposta contiene un'istanza di Operation.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

La richiesta curl Get Operation:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

La risposta Get Operation:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Concedi ruoli di amministratore delle cartelle

Per ogni cartella di organizzazione secondaria che crei, concedi a uno o più utenti il ruolo Folder Admin. Questi utenti hanno il controllo amministrativo sul ruolo Folder Admin. Questi utenti hanno il controllo amministrativo sulla cartella e sull'organizzazione secondaria che rappresenta.

Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM cartelle o Folder Admin a livello principale.

Console

1. Nella console Google Cloud , apri la pagina Gestisci risorse.

   Apri la pagina Gestisci risorse

2. Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e seleziona la risorsa Organizzazione.

3. Seleziona la casella di controllo accanto al progetto per cui vuoi modificare le autorizzazioni.

   1. Nel riquadro Informazioni a destra, nella sezione Autorizzazioni, inserisci gli indirizzi email dei membri che vuoi aggiungere.

   2. Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo che vuoi concedere ai membri.

   3. Fai clic su Aggiungi. Viene visualizzata una notifica per confermare l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.

gcloud

Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:[e-mail] \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:[e-mail] \
    --role=roles/resourcemanager.folderViewer

In alternativa:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Sostituisci quanto segue:

• FOLDER_ID: l'ID della nuova cartella
• POLICY_FILE: il percorso di un file delle policy per la cartella

API

Il metodo setIamPolicy imposta la policy di controllo dell'accesso su una cartella, sostituendo qualsiasi policy esistente. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:[e-mail]",
           "user:[e-mail]",
         ]
       }
     ]
   }
 }'

La richiesta curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Sostituisci FOLDER_ID con il nome della cartella per cui viene impostata la policy IAM, ad esempio folders/123.

Limita i ruoli delle organizzazioni secondarie

Ogni Folder Admin può limitare il ruolo Project Creator ai membri della propria organizzazione secondaria. Possono anche rimuovere il dominio dal ruolo Project Creator nella policy di autorizzazione della risorsa dell'organizzazione.

I super amministratori di Google Workspace dispongono di privilegi irrevocabili di Organization Administrator. In genere, questi super amministratori gestiscono le identità e le policy di identità, anziché le risorse Google Cloud e le policy delle risorse.

Console

Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud :

1. Vai alla pagina Gestisci risorse nella console Google Cloud :

   Apri la pagina Gestisci risorse

2. Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina, quindi seleziona la risorsa Organizzazione.

3. Seleziona la casella di controllo della risorsa dell'organizzazione per cui vuoi modificare le autorizzazioni. Se non hai una risorsa cartella, la risorsa organizzazione non sarà visibile. Per continuare, consulta le istruzioni per revocare i ruoli tramite la pagina IAM.

4. Nel riquadro Informazioni sul lato destro, in Autorizzazioni, fai clic per espandere il ruolo da cui vuoi rimuovere gli utenti.

5. Nell'elenco dei ruoli espanso, accanto all'entità che vuoi rimuovere dal ruolo, fai clic su Rimuovi.

6. Nella finestra di dialogo Rimuovere l'entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.

7. Ripeti i due passaggi precedenti per ogni ruolo che vuoi rimuovere.

Esempio

Il seguente diagramma illustra un'organizzazione che ha utilizzato le cartelle per separare due reparti. I responsabili dei reparti di ingegneria e finanza hanno il controllo amministrativo e agli altri utenti è impedito di creare progetti.

Gestisci più organizzazioni in una risorsa organizzazione principale

Se la tua organizzazione ha più account Google Workspace, per impostazione predefinita hai più risorse Organizzazione. Per mantenere la visibilità e il controllo centralizzati, devi scegliere una risorsa organizzazione come risorsa organizzazione principale. I super amministratori dell'account Google Workspace associato alla risorsa Organizzazione principale hanno il controllo amministrativo su tutte le risorse dell'organizzazione. Non hanno automaticamente il controllo sulle risorse di altre organizzazioni. Agli utenti di altri account Google Workspace può essere concesso l'accesso a una cartella nella risorsa dell'organizzazione principale, in cui possono creare progetti.

Scegli un Amministratore organizzazione

Scegli uno o più utenti che agiscano come Organization Administrator IAM per la risorsa organizzazione.

Per aggiungere un Amministratore organizzazione, puoi utilizzare la console Google Cloud , Google Cloud CLI o l'API Resource Manager.

Console

1. Accedi alla console Google Cloud come super amministratore di Google Workspace o Cloud Identity e vai alla pagina IAM e amministrazione:

   Apri la pagina IAM e amministrazione

2. Seleziona la risorsa organizzazione che vuoi modificare:

   1. Fai clic sull'elenco a discesa del progetto nella parte superiore della pagina.

   2. Nella finestra di dialogo Seleziona da, fai clic sull'elenco a discesa Organizzazione e seleziona la risorsa Organizzazione a cui vuoi aggiungere un Amministratore organizzazione.

   3. Nell'elenco visualizzato, fai clic sulla risorsa organizzazione per aprire la relativa pagina Autorizzazioni IAM.

3. Fai clic su Aggiungi e inserisci l'indirizzo email di uno o più utenti che vuoi impostare come Organization Administrator.

4. Nell'elenco a discesa Seleziona un ruolo, seleziona Resource Manager > Organization Administrator, quindi fai clic su Salva.

   L'Organization Administrator può:

   • Assumere il controllo completo della risorsa organizzazione. Separazione delle responsabilità tra il super amministratore di Google Workspace o Cloud Identity e l'amministratore di Google Cloud.

   • Delega la responsabilità delle funzioni critiche assegnando i ruoli IAM pertinenti.

gcloud

Per aggiungere un Amministratore organizzazione, esegui il comando gcloud organizations add-iam-policy-binding:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member="user:EMAIL_ADDRESS" \
    --role="roles/resourcemanager.organizationAdmin"

Sostituisci quanto segue:

• ORGANIZATION_ID: l'ID univoco della risorsa organizzazione.
• EMAIL_ADDRESS: l'indirizzo email dell'utente che vuoi aggiungere come Amministratore organizzazione.

API

Per aggiungere un Amministratore organizzazione, chiama il metodo setIamPolicy sulla risorsa dell'organizzazione.

1. Recupera l'attuale policy IAM per la risorsa dell'organizzazione:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:getIamPolicy
   

2. Aggiorna la policy restituita per aggiungere il membro al ruolo roles/resourcemanager.organizationAdmin.

3. Imposta la policy aggiornata:

   POST https://cloudresourcemanager.googleapis.com/v3/organizations/ORGANIZATION_ID:setIamPolicy
   {
     "policy": {
       "bindings": [
         {
           "role": "roles/resourcemanager.organizationAdmin",
           "members": [
             "user:EMAIL_ADDRESS"
           ]
         }
       ],
       "etag": "ETAG_VALUE"
     }
   }
   

   Sostituisci quanto segue:

   • ORGANIZATION_ID: l'ID univoco della risorsa organizzazione.
   • EMAIL_ADDRESS: l'indirizzo email dell'utente che vuoi aggiungere come Amministratore organizzazione.
   • ETAG_VALUE: il valore etag della policy restituita nel primo passaggio.

Rimuovi il ruolo Project Creator

Rimuovi il ruolo Project Creator dalla risorsa organizzazione per assicurarti che non vengano create risorse in altre risorse organizzazione.

Console

Per rimuovere i ruoli assegnati agli utenti per impostazione predefinita utilizzando la console Google Cloud :

1. Vai alla pagina Gestisci risorse nella console Google Cloud :

   Apri la pagina Gestisci risorse

2. Fai clic sull'elenco a discesa Organizzazione nella parte superiore della pagina, quindi seleziona la risorsa Organizzazione.

3. Seleziona la casella di controllo della risorsa dell'organizzazione per cui vuoi modificare le autorizzazioni. Se non hai una risorsa cartella, la risorsa organizzazione non sarà visibile. Per continuare, consulta le istruzioni per revocare i ruoli tramite la pagina IAM.

4. Nel riquadro Informazioni sul lato destro, in Autorizzazioni, fai clic per espandere il ruolo da cui vuoi rimuovere gli utenti.

5. Nell'elenco dei ruoli espanso, accanto all'entità che vuoi rimuovere dal ruolo, fai clic su Rimuovi.

6. Nella finestra di dialogo Rimuovere l'entità? visualizzata, fai clic su Rimuovi per confermare la rimozione del ruolo dall'entità specificata.

7. Ripeti i due passaggi precedenti per ogni ruolo che vuoi rimuovere.

Crea cartelle per gli account Google Workspace

Crea una cartella nella risorsa organizzazione per ogni account Google Workspace.

Per creare cartelle, devi disporre del ruolo Folder Admin o Folder Creator a livello principale. Ad esempio, per creare cartelle a livello di organizzazione, devi disporre di uno di questi ruoli a livello di organizzazione.

Quando crei una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:

• Il nome può contenere lettere, numeri, spazi, trattini e trattini bassi.
• Il nome visualizzato della cartella deve iniziare e terminare con una lettera o un numero.
• Il nome deve essere compreso tra 3 e 30 caratteri
• Il nome deve essere diverso da quello di tutte le altre cartelle che condividono lo stesso elemento padre.

Per creare una cartella:

Console

Per creare cartelle:

1. Vai alla pagina Gestisci risorse nella console Google Cloud :

   Apri la pagina Gestisci risorse

2. Fai clic su Crea cartella e seleziona una delle seguenti opzioni:

   • Cartella Google Cloud standard: una risorsa cartella standard.
   • Cartella conforme: una cartella Assured Workloads, che fornisce controlli normativi, regionali o di sovranità aggiuntivi per le risorse Google Cloud . Se selezioni questa opzione, verrai indirizzato ad Assured Workloads per creare una cartella.

3. Nella casella Nome cartella, inserisci il nome della nuova cartella.

4. In Risorsa padre, fai clic su Sfoglia, quindi seleziona la risorsa o la cartella dell'organizzazione in cui vuoi creare la nuova cartella.

   1. Fai clic su Crea.

gcloud

Le cartelle possono essere create in modo programmatico utilizzando Google Cloud CLI.

Per creare una cartella nella risorsa dell'organizzazione utilizzando lo strumento a riga di comando gcloud, esegui questo comando.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

Per creare una cartella la cui cartella principale è un'altra cartella:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

Sostituisci quanto segue:

• DISPLAY_NAME: il nome visualizzato della cartella. Due cartelle con lo stesso elemento principale non possono condividere un nome visualizzato. Il nome visualizzato deve iniziare e terminare con una lettera o una cifra, può contenere lettere, cifre, spazi, trattini e trattini bassi e non può superare i 30 caratteri.
• ORGANIZATION_ID: l'ID della risorsa organizzazione padre se il padre è una risorsa organizzazione.
• FOLDER_ID: l'ID della cartella principale, se l'elemento principale è una cartella.

API

Le cartelle possono essere create con una richiesta API.

Il file JSON della richiesta:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

La richiesta curl Create Folder:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

Dove:

• DISPLAY_NAME: il nome visualizzato della nuova cartella, ad esempio "My Awesome Folder".
• ORGANIZATION_NAME: il nome della risorsa organizzazione in cui stai creando la cartella, ad esempio organizations/123.

La risposta di Create Folder:

Se una chiamata registra correttamente un'operazione, il corpo della risposta contiene un'istanza di Operation.

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

La richiesta curl Get Operation:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

La risposta Get Operation:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Concedi ruoli di amministratore delle cartelle

Per ogni cartella creata, concedi a uno o più utenti il ruolo Folder Admin. A questi utenti viene delegato il controllo amministrativo sulla cartella e sull'organizzazione secondaria che rappresenta.

Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM cartelle o Folder Admin a livello principale.

Console

1. Nella console Google Cloud , apri la pagina Gestisci risorse.

   Apri la pagina Gestisci risorse

2. Fai clic sull'elenco a discesa Organizzazione in alto a sinistra e seleziona la risorsa Organizzazione.

3. Seleziona la casella di controllo accanto al progetto per cui vuoi modificare le autorizzazioni.

   1. Nel riquadro Informazioni a destra, nella sezione Autorizzazioni, inserisci gli indirizzi email dei membri che vuoi aggiungere.

   2. Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo che vuoi concedere ai membri.

   3. Fai clic su Aggiungi. Viene visualizzata una notifica per confermare l'aggiunta o l'aggiornamento del nuovo ruolo dei membri.

gcloud

Puoi configurare l'accesso alle cartelle in modo programmatico utilizzando Google Cloud CLI o l'API REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:[e-mail] \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:[e-mail] \
    --role=roles/resourcemanager.folderViewer

In alternativa:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

Sostituisci quanto segue:

• FOLDER_ID: l'ID della nuova cartella
• POLICY_FILE: il percorso di un file delle policy per la cartella

API

Il metodo setIamPolicy imposta la policy di controllo dell'accesso su una cartella, sostituendo qualsiasi policy esistente. Il campo resource deve essere il nome della risorsa della cartella, ad esempio folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:[e-mail]",
           "user:[e-mail]",
         ]
       }
     ]
   }
 }'

La richiesta curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Sostituisci FOLDER_ID con il nome della cartella per cui viene impostata la policy IAM, ad esempio folders/123.

Ogni Folder Admin può quindi concedere agli utenti del dominio associato il ruolo Project Creator.

Esempio

Il seguente diagramma illustra un'organizzazione con un dominio principale che viene mantenuto isolato da un dominio secondario acquisito. Ognuno dei due domini ha il proprio account Google Workspace, con hypothetical.com come risorsa Organizzazione principale.