Les organisations autonomes vous permettent de créer et de gérer le nœud racine de votre hiérarchie de ressourcesGoogle Cloud sans Cloud Identity ni domaine DNS personnalisé. Dans la plupart des cas, la création d'une ressource d'organisation nécessite que vous soyez un super-administrateur Cloud Identity et que vous connectiez l'organisationGoogle Cloud à un domaine DNS.
Avec les organisations autonomes, vous n'avez pas besoin de Cloud Identity. Lorsque vous vous inscrivez à Google Cloud avec une adresse e-mail Google, Google Cloudcrée automatiquement l'organisation autonome pour vous et vous attribue le rôle de propriétaire de l'organisation. Vous pouvez ensuite utiliser la page Détails de l'organisation pour gérer l'accès des autres utilisateurs en tant que propriétaires.
Principaux avantages
Les organisations autonomes offrent les avantages suivants :
- Ajoutez des utilisateurs disposant d'identités fédérées en tant que propriétaires de l'organisation.
- Prendre en charge plusieurs organisations pour tester différentes fonctionnalités
- Attribuez plusieurs propriétaires d'organisation pour éviter les points de défaillance uniques si un employé s'en va.
Avant de commencer
Avant de commencer, lisez les articles suivants :
- Comprendre la ressource Organisation.
- Découvrez comment choisir une hiérarchie de ressources pour votre zone de destination Google Cloud .
Identifier votre organisation
Votre organisation autonome est identifiée par un nom et un ID d'organisation.
Nom de l'organisation
Le nom d'organisation par défaut est créé en combinant le nom d'utilisateur avec -org.
Tous les caractères spéciaux du nom d'utilisateur sont remplacés par un tiret. Par exemple, si le nom d'utilisateur est lara_brown, le nom de l'organisation sera lara-brown-org.
Ce nom n'est utilisé par aucune API Google. Vous pouvez modifier le nom de l'organisation à tout moment après sa création.
Assurez-vous que les noms respectent les critères suivants :
- Ils ne doivent contenir que des lettres, des chiffres et des traits d'union.
- N'utilisez pas de nom de domaine. Les noms de domaine sont réservés aux organisations Cloud Identity et Google Workspace.
- Ne contiennent pas de mots courants tels que "Google Cloud".
ID d'organisation
L'ID d'organisation est un identifiant unique global pour votre organisation. La consoleGoogle Cloud génère ce numéro pour différencier votre organisation de toutes les autres dans Google Cloud. Les ID d'organisation sont au format de nombres entiers et ne peuvent pas être précédés de zéros.
N'incluez pas d'informations sensibles telles que des informations permettant d'identifier personnellement l'utilisateur ou des données de sécurité dans le nom de votre organisation ou d'autres noms de ressources. L'ID d'organisation est utilisé dans le nom de nombreuses autres ressources Google Cloud . Toute référence à l'organisation ou aux ressources associées expose l'ID de l'organisation et le nom de la ressource.
Obtenir une ressource d'organisation autonome
Les organisations autonomes sont disponibles pour tous les nouveaux clientsGoogle Cloud de l'essai sans frais. Une fois que vous avez créé votre compte Google Cloud , votre ressource Organisation est automatiquement créée. Cela se produit lorsque vous vous connectez à la console Google Cloud et acceptez les conditions d'utilisation. Les organisations autonomes ne sont pas disponibles pour les comptesGoogle Cloud existants.
Une seule organisation est créée par compte utilisateur. Toutefois, vous pouvez inviter un seul utilisateur à posséder et à administrer plusieurs organisations.
Lorsque la ressource d'organisation est créée, le système attribue les rôles suivants au titulaire du compte :
roles/cloudowner.admin(propriétaire de l'organisation)roles/resourcemanager.organizationAdmin(Administrateur de l'organisation)
Le rôle de propriétaire de l'organisation est géré en dehors d'IAM. Il accorde des autorisations permettant de gérer les propriétaires et les administrateurs de l'organisation depuis la page Détails de l'organisation. Pour savoir comment ajouter des propriétaires et des administrateurs à votre organisation, consultez Configurer votre organisation autonome.
Obtenir l'ID de votre organisation
Pour obtenir l'ID d'organisation de votre organisation autonome, vous pouvez utiliser la console Google Cloud , la Google Cloud CLI ou l'API Resource Manager.
Console
Dans la console Google Cloud , accédez à la page Mes organisations.
Le tableau répertorie vos organisations et leurs ID d'organisation.
gcloud
Pour trouver l'ID de votre ressource d'organisation, exécutez la commande suivante :
gcloud organizations list
Cette commande liste toutes les ressources d'organisation auxquelles vous appartenez, ainsi que leurs ID de ressource d'organisation correspondants.
API
Pour trouver l'ID de votre ressource d'organisation à l'aide de l'API Cloud Resource Manager, utilisez la méthode organizations.search(), en incluant une requête pour votre domaine. Exemple :
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
La réponse contient les métadonnées de la ressource d'organisation appartenant à altostrat.com, qui inclut l'ID de la ressource d'organisation.
Configurer votre organisation autonome
Lorsque vous créez un compte Google Cloud , vous obtenez automatiquement une ressource d'organisation autonome. Dans cette section, vous allez découvrir la configuration initiale, les rôles essentiels et la gestion de ces autorisations au sein de votre organisation.
Le créateur du compte est le premier utilisateur à avoir accès à la ressource d'organisation. Les autres utilisateurs de l'organisation peuvent afficher la ressource, mais ne peuvent la modifier qu'une fois les autorisations appropriées définies.
Les rôles de propriétaire et d'administrateur de l'organisation sont essentiels pour configurer et contrôler le cycle de vie de la ressource Organisation. Ces deux rôles sont généralement attribués à différents utilisateurs ou groupes, selon la structure et les besoins de votre organisation.
Responsabilités du propriétaire de l'organisation
Le rôle "Propriétaire de l'organisation" vous permet d'effectuer les actions suivantes :
- Attribuer le rôle d'administrateur de l'organisation à d'autres utilisateurs
- Être le point de contact en cas de problèmes de récupération
- Contrôler le cycle de vie de la ressource d'organisation autonome, comme expliqué dans Supprimer, restaurer et renommer des organisations autonomes.
Les propriétaires d'organisation peuvent être des personnes physiques ou des comptes principaux d'un pool de personnel. Chaque organisation autonome doit toujours avoir au moins un compte Google actif en tant que propriétaire de l'organisation. Les comptes de service ne peuvent pas être invités à devenir propriétaires d'une organisation.
Responsabilités de l'administrateur de l'organisation
Le rôle d'administrateur de l'organisation vous permet d'effectuer les actions suivantes :
- Définir des stratégies d'autorisation et de refus.
- Attribuez des rôles Identity and Access Management à d'autres utilisateurs dans Google Cloud.
- Affichez la hiérarchie des ressources.
Conformément au principe du moindre privilège, ce rôle vous empêche d'effectuer d'autres actions, comme la création de dossiers ou de projets. Pour obtenir ces autorisations, un administrateur de l'organisation doit attribuer des rôles supplémentaires à votre compte.
Attribuer le rôle de propriétaire de l'organisation à des personnes
Pour attribuer le rôle de propriétaire de l'organisation à des personnes, procédez comme suit :
- Connectez-vous à la console Google Cloud en tant que propriétaire de l'organisation.
Dans la console Google Cloud , accédez à la page Détails de l'organisation.
Sous Propriétaire de l'organisation, cliquez sur Ajouter un propriétaire d'organisation.
Saisissez l'adresse e-mail du compte principal que vous souhaitez ajouter en tant que propriétaire. Le système envoie un e-mail au compte principal pour l'inviter à devenir propriétaire de l'organisation. Le compte principal doit accepter l'invitation dans un délai de 30 jours pour devenir propriétaire de l'organisation.
Pour les comptes avec validation de l'adresse e-mail associés à un domaine, les restrictions suivantes s'appliquent lors de l'ajout de propriétaires d'organisation :
- Vous ne pouvez ajouter que des utilisateurs de votre domaine. Par exemple,
user1@altostrat.compeut ajouter d'autres utilisateurs disposant d'adresses e-mail@altostrat.com. - Vous ne pouvez pas ajouter d'utilisateurs d'autres domaines en tant que propriétaires.
- Vous ne pouvez pas ajouter de comptes personnels (par exemple,
@gmail.com).
Attribuer le rôle de propriétaire de l'organisation aux utilisateurs d'un pool d'identités de personnel
Cette étape suppose que vous avez déjà configuré la fédération des identités des employés pour votre organisation. Assurez-vous également que les contacts essentiels sont configurés sur votre compte.
- Connectez-vous à la console Google Cloud en tant que propriétaire de l'organisation.
Dans la console Google Cloud , accédez à la page Détails de l'organisation.
Sous Propriétaire de l'organisation, cliquez sur Ajouter un propriétaire d'organisation.
Saisissez l'identifiant principal de l'utilisateur au format
principal://iam.googleapis.com/locations/LOCATION/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE.Cliquez sur Suivant.
Saisissez l'adresse e-mail à laquelle envoyer le lien d'invitation du propriétaire. Google Cloud envoie un e-mail à l'utilisateur pour l'inviter à devenir propriétaire de l'organisation. Pour devenir propriétaire de l'organisation, l'utilisateur doit accepter l'invitation dans un délai de 30 jours. Lorsque l'utilisateur accepte l'invitation, le rôle d'administrateur de l'organisation lui est automatiquement attribué.
Attribuer le rôle d'administrateur de l'organisation
Le propriétaire de l'organisation peut attribuer le rôle d'administrateur de l'organisation à d'autres utilisateurs depuis la page Détails de l'organisation. Cela peut s'avérer utile si vous avez supprimé par inadvertance les autorisations d'administrateur de l'organisation pour tous les utilisateurs pouvant définir des stratégies IAM sur l'organisation et que vous devez restaurer l'accès.
Pour attribuer le rôle d'administrateur de l'organisation à des utilisateurs, procédez comme suit :
- Connectez-vous à la console Google Cloud en tant que propriétaire de l'organisation.
Dans la console Google Cloud , accédez à la page Détails de l'organisation.
Consultez la liste des propriétaires de l'organisation dans le tableau Propriétaires de l'organisation.
Sélectionnez le compte principal auquel vous souhaitez attribuer le rôle d'administrateur de l'organisation.
Dans la dernière colonne du tableau, sous Actions, cliquez sur Autres actions à côté du compte principal.
Cliquez sur Attribuer le rôle d'administrateur de l'organisation. Le rôle d'administrateur de l'organisation (
roles/resourcemanager.organizationAdmin) est attribué au compte principal sur la ressource d'organisation.
Supprimer un propriétaire d'organisation
Pour supprimer des utilisateurs disposant du rôle "Propriétaire de l'organisation", procédez comme suit :
- Connectez-vous à la console Google Cloud en tant que propriétaire de l'organisation.
Dans la console Google Cloud , accédez à la page Détails de l'organisation.
Sous Propriétaires de l'organisation, sélectionnez le compte principal que vous souhaitez supprimer.
Dans la dernière colonne du tableau, sous Actions, cliquez sur Autres actions à côté du compte principal.
Dans la boîte de dialogue qui s'affiche, cliquez sur Supprimer.
Supprimer un administrateur de l'organisation
Pour supprimer des utilisateurs disposant du rôle d'administrateur de l'organisation, procédez comme suit :
Dans la console Google Cloud , accédez à la page IAM.
Sous Autorisation IAM, accédez à Afficher par comptes principaux.
Recherchez la ligne contenant le compte principal auquel vous avez attribué des rôles, puis cliquez sur Modifier le compte principal sur cette ligne.
Dans le volet Modifier les autorisations, cliquez sur l'icône de suppression à côté du rôle "Administrateur de l'organisation".
Cliquez sur Enregistrer.
Découvrir et revendiquer des organisations autonomes
Les administrateurs disposant du rôle de super-administrateur Cloud Identity peuvent découvrir et revendiquer la propriété d'organisations autonomes créées par des utilisateurs de leur domaine.
Prérequis
Pour découvrir et revendiquer des organisations autonomes, vous devez remplir les conditions suivantes :
- Disposer du rôle de super-administrateur Cloud Identity. Il s'agit d'une autorisation irrévocable qui est automatiquement accordée aux utilisateurs avec validation du domaine.
- Validez votre domaine. Pour en savoir plus, consultez Valider votre domaine pour utiliser Google Workspace.
À quoi sert la revendication ?
Voici ce qui se passe lorsque vous revendiquez une organisation :
- Les propriétaires d'organisation existants sont remplacés par le compte principal de l'administrateur.
- Les numéros client des anciens propriétaires sont remplacés par le numéro client de l'administrateur.
- Les propriétaires initiaux conservent le rôle
roles/resourcemanager.organizationAdmin, que l'administrateur peut modifier si nécessaire. - L'organisation et ses ressources restent actives.
- Les propriétaires d'origine reçoivent une notification par e-mail concernant le changement de propriétaire.
Important : La revendication d'une organisation est une action définitive et irréversible.
Afficher et revendiquer des organisations autonomes
Pour afficher et revendiquer des organisations, procédez comme suit :
Dans la console Google Cloud , accédez à la page Organisations > Gouvernance de l'administration.
Accéder à la page "Gouvernance de l'administration"
La page Gouvernance de l'administrateur affiche la liste des organisations autonomes créées par les utilisateurs de votre domaine. Pour chaque organisation, vous pouvez afficher les informations suivantes :
- Nom de l'organisation
- ID d'organisation
- Propriétaires d'organisation
- État (Actif, Supprimé ou Suppression programmée)
- Date de création
Sélectionnez une ou plusieurs organisations que vous souhaitez revendiquer.
Cliquez sur Revendiquer.
Dans la boîte de dialogue de confirmation, examinez l'impact de la revendication de l'organisation, puis cliquez sur Revendiquer.