הגדרת ארגונים עצמאיים

ארגונים עצמאיים מאפשרים ליצור ולנהל את צומת הבסיס שלGoogle Cloud היררכיית המשאבים בלי Cloud Identity או דומיין DNS בהתאמה אישית. ברוב המקרים, כדי ליצור משאב ארגון צריך להיות סופר-אדמין ב-Cloud Identity ולקשר את הארגון לדומיין DNS ב-Google Cloud .

בארגונים עצמאיים אין צורך ב-Cloud Identity. כשנרשמים ל- Google Cloud באמצעות כתובת אימייל של Google, המערכת של Google Cloudיוצרת בשבילכם באופן אוטומטי את הארגון העצמאי ומקצה לכם את התפקיד "בעלי הארגון". אחרי שהוספתם את הארגון, אתם יכולים להשתמש בדף Organization details כדי לנהל את הרשאות הבעלות של משתמשים אחרים.

יתרונות מרכזיים

היתרונות של ארגונים עצמאיים:

• להוסיף משתמשים עם זהויות מאוחדות כבעלי הארגון.
• תמיכה בכמה ארגונים כדי לבדוק תכונות שונות.
• כדאי להקצות כמה בעלים לארגון כדי להימנע מנקודות כשל בודדות אם עובד עוזב.

לפני שמתחילים

לפני שמתחילים, חשוב לבדוק את הפרטים הבאים:

• להבין מהו משאב הארגון.
• איך בוחרים היררכיית משאבים לאזור הנחיתה ב- Google Cloud

זיהוי הארגון

הארגון העצמאי מזוהה באמצעות שם הארגון ומזהה הארגון.

שם הארגון

שם הארגון שמוגדר כברירת מחדל נוצר על ידי שילוב של שם המשתמש עם -org. כל התווים המיוחדים בשם המשתמש מוחלפים במקף. לדוגמה, אם שם המשתמש הוא lara_brown, שם הארגון יהיה lara-brown-org. השם הזה לא נמצא בשימוש באף אחד מממשקי ה-API של Google. אפשר לערוך את שם הארגון בכל שלב אחרי שיוצרים אותו.

חשוב לוודא שהשמות עומדים בקריטריונים הבאים:

• להכיל רק אותיות, מספרים או מקפים.
• אל תשתמשו בשם דומיין. שמות דומיינים שמורים רק לארגונים ב-Cloud Identity וב-Google Workspace.
• לא מכילות מילים נפוצות כמו "Google Cloud".

מזהה הארגון

מזהה הארגון הוא מזהה ייחודי גלובלי של הארגון. מסוףGoogle Cloud יוצר את המספר הזה כדי להבדיל בין הארגון שלכם לבין כל הארגונים האחרים ב- Google Cloud. מזהי ארגונים הם מספרים שלמים, ולא יכולים להתחיל באפסים.

אל תכללו בשם של הארגון או בשמות של משאבים אחרים מידע רגיש כמו פרטים אישיים מזהים (PII) או נתוני אבטחה. מזהה הארגון משמש בשם של הרבה משאבים אחרים ב- Google Cloud . כל הפניה לארגון או למשאבים שקשורים אליו חושפת את מזהה הארגון ואת שם המשאב.

איך מקבלים משאב ארגון עצמאי

ארגונים עצמאיים זמינים לכל הלקוחות החדשים שלGoogle Cloud בתקופת ניסיון בחינם. אחרי שיוצרים חשבון Google Cloud , משאב הארגון נוצר באופן אוטומטי. זה קורה כשנכנסים למסוף Google Cloud ומאשרים את התנאים. אי אפשר להגדיר ארגונים עצמאיים בחשבונותGoogle Cloud קיימים.

אפשר ליצור רק ארגון אחד לכל חשבון משתמש. עם זאת, אתם יכולים להזמין משתמש אחד להיות הבעלים והאדמין של כמה ארגונים.

כשנוצר משאב הארגון, המערכת מקצה את התפקידים הבאים לבעל החשבון:

• ‫roles/cloudowner.admin (בעלי הארגון)
• ‫roles/resourcemanager.organizationAdmin (אדמין ארגוני)

התפקיד "בעלי הארגון" מנוהל מחוץ ל-IAM, והוא נותן הרשאות לנהל את בעלי הארגון ואת האדמינים בדף Organization details. במאמר הגדרת ארגון עצמאי מוסבר איך מוסיפים עוד בעלים ואדמינים לארגון.

איך מאתרים את מזהה הארגון

כדי לקבל את מזהה הארגון של הארגון העצמאי, אתם יכולים להשתמש במסוף Google Cloud , ב-Google Cloud CLI או ב-Resource Manager API.

המסוף

• נכנסים לדף My organizations במסוף Google Cloud .

  מעבר אל "הארגונים שלי"

  בטבלה מופיעים הארגונים שלכם ומזהי הארגונים שלהם.

gcloud

כדי למצוא את מזהה המשאב של הארגון, מריצים את הפקודה הבאה:

gcloud organizations list

הפקודה הזו מציגה את כל משאבי הארגון שאתם שייכים אליהם, ואת המזהים התואמים של משאבי הארגון.

API

כדי למצוא את מזהה המשאב של הארגון באמצעות Cloud Resource Manager API, משתמשים ב-method‏ organizations.search(), כולל שאילתה לדומיין. לדוגמה:

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

התשובה מכילה את המטא-נתונים של משאב הארגון ששייך ל-altostrat.com, כולל מזהה משאב הארגון.

הגדרת הארגון העצמאי

כשיוצרים חשבון Google Cloud , מקבלים באופן אוטומטי משאב ארגוני נפרד. בקטע הזה נסביר על ההגדרה הראשונית, התפקידים החיוניים ואיך לנהל את ההרשאות האלה בארגון.

יוצר החשבון הוא המשתמש הראשון שיש לו גישה למשאב הארגון. משתמשים אחרים בארגון יכולים לראות את המשאב, אבל הם יכולים לשנות אותו רק אחרי שמוגדרות ההרשאות המתאימות.

התפקידים "בעלי הארגון" ו"אדמין ארגוני" הם תפקידי מפתח להגדרה ולשליטה במחזור החיים של משאב הארגון. בדרך כלל שני התפקידים האלה מוקצים למשתמשים או לקבוצות שונות, בהתאם למבנה ולצרכים של הארגון.

תחומי האחריות של בעלי הארגון

התפקיד "בעלי הארגון" מאפשר לבצע את הפעולות הבאות:

• להקצות את התפקיד "אדמין ארגוני" למשתמשים אחרים.
• לשמש כאיש הקשר במקרה של בעיות בשחזור החשבון.
• לשלוט במחזור החיים של משאב הארגון העצמאי, כמו שמוסבר במאמר מחיקה, שחזור ושינוי השם של ארגונים עצמאיים.

בעלי הארגון יכולים להיות אנשים פרטיים או חשבונות משתמשים במאגר כוח עבודה. לכל ארגון עצמאי חייב להיות תמיד לפחות חשבון Google פעיל אחד בתור הבעלים של הארגון. אי אפשר להזמין חשבונות שירות להיות בעלים של ארגון.

תחומי האחריות של האדמין הארגוני

התפקיד "אדמין ארגוני" מאפשר לבצע את הפעולות הבאות:

• להגדיר כללי מדיניות של הרשאה ודחייה.
• להקצות תפקידים של ניהול זהויות והרשאות גישה למשתמשים אחרים ב- Google Cloud.
• צפייה בהיררכיית המשאבים.

בהתאם לעיקרון של הרשאות מינימליות, התפקיד הזה מונע מכם לבצע פעולות אחרות, כמו יצירת תיקיות או פרויקטים. כדי לקבל את ההרשאות האלה, Organization Administrator צריך להקצות לחשבון שלכם תפקידים נוספים.

הקצאת התפקיד "בעלי הארגון" לאנשים פרטיים

כדי להקצות את התפקיד "בעלי הארגון" לאנשים פרטיים, פועלים לפי השלבים הבאים:

1. נכנסים למסוף Google Cloud כבעלים של הארגון.

2. נכנסים לדף Organization details במסוף Google Cloud .

   כניסה לפרטי הארגון

3. בקטע בעלי הארגון, לוחצים על הוספת בעלים לארגון.

4. מזינים את כתובת האימייל של החשבון שרוצים להוסיף כבעלים. המערכת שולחת אימייל לחשבון המשתמש ומזמינה אותו להפוך לבעלים של הארגון. כדי להפוך לבעלים של הארגון, החשבון הראשי צריך לאשר את ההזמנה תוך 30 יום.

בחשבונות שמאומתים באמצעות אימייל ומשויכים לדומיין, חלות ההגבלות הבאות כשמוסיפים בעלים לארגון:

• אתם יכולים להוסיף רק משתמשים מהדומיין שלכם. לדוגמה, [e-mail] יכול להוסיף משתמשים אחרים עם כתובות אימייל של @altostrat.com.
• אי אפשר להוסיף משתמשים מדומיינים אחרים כבעלים.
• אי אפשר להוסיף חשבונות פרטיים (לדוגמה, @gmail.com).

הקצאת התפקיד "בעלי הארגון" למשתמשים במאגר זהויות של כוח עבודה

בשלב הזה אנחנו מניחים שכבר הגדרתם את איחוד שירותי אימות הזהות של כוח העבודה בארגון. בנוסף, חשוב לוודא שהגדרתם אנשי קשר חיוניים בחשבון.

1. נכנסים למסוף Google Cloud כבעלים של הארגון.

2. נכנסים לדף Organization details במסוף Google Cloud .

   כניסה לפרטי הארגון

3. בקטע בעלי הארגון, לוחצים על הוספת בעלים לארגון.

4. מזינים את המזהה של חשבון המשתמש בפורמט principal://iam.googleapis.com/locations/LOCATION/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE.

5. לוחצים על הבא.

6. מזינים את כתובת האימייל שאליה רוצים לשלוח את הקישור להזמנה לבעלים. Google Cloud שולח אימייל למשתמש ומזמין אותו להיות בעלים של הארגון. כדי להפוך לבעלים של הארגון, המשתמש צריך לאשר את ההזמנה תוך 30 יום. כשהמשתמש מאשר את ההזמנה, הוא מקבל באופן אוטומטי את התפקיד "אדמין ארגוני".

הקצאת התפקיד 'Organization Administrator'

בעלי הארגון יכולים להעניק את התפקיד "Organization Administrator" למשתמשים אחרים בדף Organization details. האפשרות הזו שימושית אם הסרתם בטעות את ההרשאות של Organization Administrator מכל המשתמשים שיכולים להגדיר מדיניות IAM בארגון, ואתם צריכים לשחזר את הגישה.

כדי להקצות למשתמשים את התפקיד "אדמין ארגוני":

1. נכנסים למסוף Google Cloud כבעלים של הארגון.

2. נכנסים לדף Organization details במסוף Google Cloud .

   כניסה לפרטי הארגון

3. מעיינים ברשימת בעלי הארגון בטבלה Organization owners.

4. בוחרים את הישות המורשית שרוצים להקצות לה את התפקיד Organization Administrator.

5. בעמודה האחרונה בטבלה, בקטע Actions, לוחצים על More actions ליד החשבון הראשי.

6. לוחצים על הקצאת התפקיד 'Organization Administrator'. לחשבון המשתמש ניתן התפקיד "אדמין ארגוני" (roles/resourcemanager.organizationAdmin) במשאב הארגון.

הסרת בעלים של ארגון

כדי להסיר משתמשים עם התפקיד "בעלי הארגון":

1. נכנסים למסוף Google Cloud כבעלים של הארגון.

2. נכנסים לדף Organization details במסוף Google Cloud .

   כניסה לפרטי הארגון

3. בקטע Organization Owners, בוחרים את החשבון שרוצים להסיר.

4. בעמודה האחרונה בטבלה, בקטע Actions, לוחצים על More actions ליד החשבון הראשי.

5. בתיבת הדו-שיח שמופיעה, לוחצים על הסרה.

הסרת מנהל חשבון ארגוני

כדי להסיר משתמשים עם התפקיד "אדמין ארגוני":

1. נכנסים לדף IAM במסוף Google Cloud .

   כניסה לדף IAM

2. בקטע IAM Allow, עוברים אל View by principals.

3. מוצאים את השורה של חשבון המשתמש שנתתם לו את התפקידים ולוחצים על Edit principal‏ בשורה הזו.

4. בחלונית Edit permissions לוחצים על סמל המחיקה ליד התפקיד Organization Administrator.

5. לוחצים על Save.

איך מוצאים ארגונים עצמאיים ומצהירים עליהם בעלות

אדמינים עם תפקיד סופר-אדמין ב-Cloud Identity יכולים לגלות ארגונים עצמאיים שנוצרו על ידי משתמשים בדומיין שלהם, ולתבוע בעלות עליהם.

דרישות מוקדמות

כדי למצוא ארגונים עצמאיים ולתבוע עליהם בעלות, אתם צריכים לעמוד בדרישות הבאות:

• להיות סופר-אדמין ב-Cloud Identity. זו הרשאה בלתי ניתנת לביטול שניתנת באופן אוטומטי למשתמשים מאומתים באמצעות דומיין (DV).
• אימות הדומיין שלך. מידע נוסף מופיע במאמר אימות הדומיין ב-Google Workspace.

מה קורה כשמצהירים על בעלות

כשאתם תובעים בעלות על ארגון, קורים הדברים הבאים:

• הבעלים הקיימים של הארגון יוחלפו בחשבון המשתמש של האדמין.
• מספרי הלקוחות של הבעלים הקודמים מוחלפים במספר הלקוח של האדמין.
• הבעלים הראשוניים שומרים על התפקיד roles/resourcemanager.organizationAdmin, והאדמין יכול לשנות אותו לפי הצורך.
• הארגון והמשאבים שלו נשארים פעילים.
• הבעלים המקוריים מקבלים התראה באימייל על שינוי הבעלות.

חשוב: תביעת בעלות על ארגון היא פעולה סופית ואי אפשר לבטל אותה.

הצגה והצהרת בעלות על ארגונים עצמאיים

כדי לראות את הארגונים ולתבוע עליהם בעלות, פועלים לפי השלבים הבאים:

1. במסוף Google Cloud , נכנסים לדף Organizations ‏> Admin Governance.

   מעבר אל "ניהול אדמין"

   בדף Admin Governance מוצגת רשימה של ארגונים עצמאיים שנוצרו על ידי משתמשים בדומיין שלכם. לכל ארגון אפשר לראות את הפרטים הבאים:

   • שם הארגון
   • מזהה הארגון
   • בעלי הארגון
   • סטטוס (פעיל, נמחק או מתוזמן למחיקה)
   • תאריך יצירה

2. בוחרים ארגון אחד או יותר שרוצים לתבוע עליו בעלות.

3. לוחצים על למימוש המבצע.

4. בתיבת הדו-שיח לאישור, בודקים את ההשפעה של תביעת הבעלות על הארגון ולוחצים על תביעת בעלות.

המאמרים הבאים

• מחיקה, שחזור ושינוי שם של ארגונים עצמאיים