La hiérarchie des ressources Google Cloud vous permet d'organiser vos ressources cloud dans une structure parent-enfant d'organisations, de dossiers et de projets. En structurant vos ressources de cette manière, vous pouvez centraliser la propriété des éléments et appliquer des règles d'administration et de contrôle des accès héritées dans l'ensemble de votre environnement.
Fonctionnement de la hiérarchie des ressources
Toutes les ressources, à l'exception de la ressource la plus élevée d'une hiérarchie, ont exactement un parent. La hiérarchie se compose de l'organisation (racine) en haut, suivie des dossiers (facultatifs) pour le regroupement, puis des projets, qui contiennent les ressources de service réelles telles que les machines virtuelles Compute Engine et les buckets de stockage.
L'utilisation d'une hiérarchie structurée offre les avantages suivants :
- Propriété : lie le cycle de vie d'une ressource à son parent immédiat. Les projets appartiennent à l'organisation, et non à l'employé qui les a créés. Si un employé quitte l'entreprise, le projet reste actif et sécurisé.
- Héritage : elle fournit des points de liaison pour le contrôle des accès et les règles d'administration, qui sont transmis dans la hiérarchie. Vous pouvez attribuer des rôles à un niveau élevé (comme l'organisation ou un dossier). Ces rôles sont hérités par toutes les ressources enfants, ce qui réduit la nécessité de configurer manuellement les autorisations pour chaque projet individuel.
Le schéma suivant illustre la hiérarchie des ressources Google Cloud .
Ressource Organisation
La ressource Organisation représente une entité (comme une entreprise) et sert de nœud racine à la hiérarchie des ressourcesGoogle Cloud . Il fournit les fonctions clés suivantes :
- L'organisation sert de parent à toutes les ressources de dossier et de projet.
- Les stratégies de contrôle des accès (comme les rôles IAM (Identity and Access Management)) et les règles d'administration appliquées à ce niveau sont héritées par toutes les ressources de l'organisation.
- Bien qu'elle ne soit pas strictement requise pour tous les utilisateurs Google Cloud , une ressource d'organisation est nécessaire pour utiliser certaines fonctionnalités de Resource Manager.
Association avec des comptes Google Workspace ou Cloud Identity
Un compte Google Workspace ou Cloud Identity est requis pour accéder à la ressource Organisation.
- Un compte Google Workspace ou Cloud Identity peut être associé à une seule ressource Organisation.
- Lorsqu'un utilisateur disposant d'un compte Google Workspace ou Cloud Identity crée une ressource de projet Google Cloud , une ressource d'organisation lui est automatiquement provisionnée.
L'image suivante montre le lien entre le compte Google Workspace, Cloud Identity et la hiérarchie des ressources Google Cloud .
Le super-administrateur Google Workspace est la personne responsable de la validation de la propriété du domaine. Il est également la personne à contacter lorsqu'une récupération est nécessaire. Pour cette raison, le super-administrateur Google Workspace a la possibilité d'attribuer des rôles IAM par défaut. La principale tâche du super-administrateur Google Workspace concernant Google Cloud consiste à attribuer le rôle IAM d'administrateur de l'organisation aux utilisateurs appropriés de son domaine. Cela permettra de séparer les responsabilités d'administration de Google Workspace et de Google Cloud, ce que les utilisateurs recherchent généralement.
Règles de création de projets pour les utilisateurs gérés
Lorsqu'une ressource Organisation existe pour un domaine, des règles strictes s'appliquent à la création de projets :
- Les utilisateurs gérés (membres du domaine du compte) doivent créer des projets au sein d'une organisation. Les comptes associés à une ressource d'organisation ne peuvent pas créer de ressources de projet qui ne sont pas associées à une ressource d'organisation.
- Par défaut, les nouveaux projets appartiennent à l'organisation associée à l'utilisateur.
- Si un utilisateur dispose des autorisations appropriées, il peut spécifier une autre ressource d'organisation lors de la création du projet. Sinon, l'organisation par défaut est l'organisation d'origine.
Avantages de la ressource d'organisation
Avec une ressource Organisation, les ressources de projet appartiennent à votre organisation et non à l'employé qui les a créées. Par conséquent, votre organisation conserve les ressources d'un projet lorsqu'un employé quitte l'entreprise. Les ressources de projet suivent donc le cycle de vie de la ressource Organisation sur Google Cloud.
De plus, les administrateurs de l'organisation contrôlent toutes les ressources de manière centralisée. Ils peuvent afficher et gérer toutes les ressources de projet de votre entreprise. Cela permet d'éviter les projets fantômes ou les administrateurs non autorisés.
Vous pouvez également attribuer des rôles au niveau de l'organisation, dont héritent toutes les ressources de projet et de dossier de la ressource d'organisation. Par exemple, vous pouvez attribuer le rôle Administrateur de réseau à votre équipe réseau au niveau de l'organisation, ce qui lui permet de gérer tous les réseaux de toutes les ressources de projet de votre entreprise, au lieu d'attribuer le rôle pour chaque ressource de projet individuelle.
Une ressource d'organisation est définie par les attributs suivants :
- Un ID de ressource d'organisation, qui est un identifiant unique pour une organisation.
- Un nom à afficher, généré à partir du nom de domaine principal dans Google Workspace ou Cloud Identity.
- Heure de création de la ressource d'organisation.
- Heure de la dernière modification de la ressource d'organisation.
- Le propriétaire de la ressource Organisation, qui est le numéro client Google Workspace de l'API Directory. Vous spécifiez le propriétaire lorsque vous créez la ressource d'organisation, et vous ne pouvez pas le modifier.
L'extrait de code suivant montre la structure d'une ressource d'organisation :
{
"creationTime": "2020-01-07T21:59:43.314Z",
"displayName": "my-organization",
"lifecycleState": "ACTIVE",
"name": "organizations/34739118321",
"owner": {
"directoryCustomerId": "C012ba234"
}
}
La stratégie d'autorisation initiale d'une nouvelle ressource d'organisation accorde les rôles de créateur de projet et de créateur de compte de facturation à l'ensemble du domaine Google Workspace. Cela signifie que les utilisateurs peuvent continuer à créer des ressources de projet et des comptes de facturation comme ils le faisaient avant l'existence de la ressource Organisation. Aucune autre ressource n'est créée lors de la création d'une ressource Organisation. Les stratégies d'autorisation, de refus et les règles d'administration sont héritées à travers la hiérarchie. La stratégie effective pour chaque ressource de la hiérarchie est une combinaison des stratégies directement appliquées à la ressource et de celles héritées de ses ancêtres.
La ressource de dossier
Les ressources de dossier sont un mécanisme de regroupement facultatif entre les ressources d'organisation et les ressources de projet. Une ressource d'organisation est requise pour utiliser des dossiers. Les ressources de dossier et leurs ressources de projet enfants se trouvent sous la ressource d'organisation.
Les ressources de dossier peuvent fournir des limites d'isolation entre les projets. Ils fonctionnent comme des sous-organisations au sein de la ressource Organisation. Les ressources de dossier peuvent modéliser des entités juridiques, des services et des équipes distincts au sein d'une entreprise. Par exemple, un premier niveau de dossiers peut représenter les principaux services de votre organisation. Étant donné que les dossiers peuvent contenir des projets et d'autres dossiers, chaque dossier peut inclure des sous-dossiers pour représenter différentes équipes. Chaque dossier d'équipe peut contenir des sous-dossiers supplémentaires pour représenter différentes applications. Pour en savoir plus sur l'utilisation des ressources de dossier, consultez Créer des dossiers.
Si votre ressource d'organisation comporte des ressources de dossier et que vous disposez des autorisations d'affichage appropriées, vous pouvez les afficher dans la console Google Cloud . Pour obtenir des instructions plus détaillées, consultez Afficher, mettre à jour et supprimer des dossiers.
Les ressources de dossier vous permettent de déléguer des droits d'administration. Par exemple, vous pouvez accorder à chaque responsable de service la pleine propriété de toutes les ressources Google Cloud de son service. De même, les ressources de dossier peuvent limiter l'accès aux ressources, ce qui signifie que les utilisateurs d'un service ne peuvent accéder aux ressources Google Cloudet en créer que dans cette ressource de dossier.
L'extrait de code suivant montre la structure d'une ressource de dossier :
{
"createTime": "2030-01-07T21:59:43.314Z",
"displayName": "Engineering",
"lifecycleState": "ACTIVE",
"name": "folders/634792535758",
"parent": "organizations/34739118321"
}
Comme les ressources d'organisation et de projet, les ressources de dossier agissent comme un point d'héritage des stratégies pour les stratégies d'autorisation, de refus et les règles d'administration d'administration. Les rôles IAM attribués à une ressource de dossier sont hérités par toutes les ressources de projet et de dossier de ce dossier.
La ressource "Projet"
La ressource "Projet" est l'entité d'organisation fondamentale. Les ressources d'organisation et de dossier peuvent contenir plusieurs projets. Vous avez besoin d'une ressource de projet pour utiliser Google Cloud. Il est essentiel pour créer, activer et utiliser tous les servicesGoogle Cloud , gérer les API, activer la facturation, ajouter et supprimer des collaborateurs, et gérer les autorisations.
Toutes les ressources du projet incluent les éléments suivants :
- Deux identifiants :
- L'ID de ressource du projet, qui est un identifiant unique pour la ressource du projet.
- Le numéro de ressource du projet, qui est attribué automatiquement lorsque vous créez le projet (cet identifiant est en lecture seule)
- Un nom à afficher modifiable
- L'état du cycle de vie de la ressource de projet (par exemple, "ACTIVE" [actif] ou "DELETE_REQUESTED" [suppression_demandée])
- Un ensemble de libellés, qui peuvent être utilisés pour filtrer les projets
- Date et heure de création de la ressource de projet.
L'extrait de code suivant montre la structure d'une ressource de projet :
{
"createTime": "2020-01-07T21:59:43.314Z",
"lifecycleState": "ACTIVE",
"name": "my-project",
"parent": {
"id": "634792535758",
"type": "folder"
},
"projectId": "my-project",
"labels": {
"my-label": "prod"
},
"projectNumber": "464036093014"
}
Pour interagir avec la plupart des ressources Google Cloud , vous devez fournir les identifiants de ressource du projet pour chaque requête. Vous pouvez identifier une ressource de projet de deux manières : par son ID ou par son numéro. Dans l'extrait de code, il s'agit de projectId et projectNumber.
L'ID de ressource de projet est le nom personnalisé que vous choisissez lorsque vous créez un projet. Si vous activez une API nécessitant un projet, vous pouvez en créer un ou en sélectionner un existant à l'aide de son ID de ressource de projet. La chaîne name, qui s'affiche dans l'interface utilisateur, est différente de l'ID de ressource du projet.
Google Cloud génère automatiquement un numéro de ressource de projet. Vous trouverez l'ID et le numéro de la ressource de projet sur le tableau de bord du projet dans la consoleGoogle Cloud . Pour en savoir plus sur l'obtention des identifiants de projet et sur les autres tâches de gestion des ressources de projet, consultez Créer des projets.
La stratégie IAM initiale de la ressource "Projet" nouvellement créée accorde le rôle de propriétaire au créateur du projet.
Étapes suivantes
- Découvrez comment créer votre hiérarchie de ressources Google Cloud .
- En savoir plus sur les limites de gestion et les configurations de fonctionnalités
- Découvrez comment lister tous les projets, dossiers et organisations de votre hiérarchie.