スタンドアロン組織を使用すると、Cloud Identity やカスタム DNS ドメインを使用せずに、Google Cloud リソース階層のルートノードを作成して管理できます。ほとんどの場合、組織リソースを作成するには、Cloud Identity の特権管理者になり、Google Cloud 組織を DNS ドメインに接続する必要があります。
スタンドアロン組織では、Cloud Identity は必要ありません。Google のメールアドレスを使用して Google Cloud に登録すると、 Google Cloudによってスタンドアロン組織が自動的に作成され、組織オーナーのロールが付与されます。その後、[組織の詳細] ページを使用して、他のユーザーのオーナー権限を管理できます。
主なメリット
スタンドアロン組織には次の利点があります。
- フェデレーション ID を持つユーザーを組織のオーナーとして追加します。
- 複数の組織をサポートして、さまざまな機能をテストする。
- 従業員が退職した場合の単一障害点を回避するために、複数の組織オーナーを割り当てます。
始める前に
始める前に、以下を確認してください。
- 組織リソースについて理解する。
- Google Cloud ランディング ゾーンのリソース階層を決定する方法を確認する。
組織を特定する
スタンドアロン組織は、組織名と組織 ID で識別されます。
組織名
デフォルトの組織名は、ユーザー名と -org を組み合わせて作成されます。ユーザー名に含まれる特殊文字はダッシュに置き換えられます。たとえば、ユーザー名が lara_brown の場合、組織名は lara-brown-org になります。この名前は Google API では使用されません。組織名は、組織の作成後にいつでも編集できます。
名前が次の条件を満たしていることを確認します。
- 英字、数字、ハイフンのみを使用する。
- ドメイン名は使用しないでください。ドメイン名は、Cloud Identity および Google Workspace の組織専用として予約されています。
- 「Google Cloud」などの一般的な単語は含めないでください。
組織 ID
組織 ID は、組織のグローバルに一意の固有識別子です。Google Cloud コンソールは、 Google Cloud内の他のすべての組織と区別するために、この番号を生成します。組織 ID は整数で表示され、先頭にゼロを付けることはできません。
組織名や他のリソース名には、個人を特定できる情報（PII）やセキュリティ データなどの機密情報を含めないでください。組織 ID は、他の多くの Google Cloud リソースの名前で使用されます。組織や関連リソースを参照すると、組織 ID やリソース名が公開されます。
スタンドアロン組織リソースを取得する
スタンドアロン組織は、すべての新規の無料トライアルGoogle Cloud ユーザーが利用できます。 Google Cloud アカウントを作成すると、組織リソースが自動的に作成されます。これは、 Google Cloud コンソールにログインして利用規約に同意すると発生します。スタンドアロン組織は、既存のGoogle Cloud アカウントでは使用できません。
ユーザー アカウントごとに作成される組織は 1 つのみです。ただし、1 人のユーザーを招待して、複数の組織を所有、管理することはできます。
組織リソースが作成されると、システムはアカウント所有者に次のロールを割り当てます。
roles/cloudowner.admin（組織のオーナー）roles/resourcemanager.organizationAdmin（組織管理者）
組織オーナーのロールは IAM の外部で管理され、[組織の詳細] ページから組織オーナーと管理者を管理する権限を付与します。組織にオーナーと管理者を追加する方法については、スタンドアロン組織を設定するをご覧ください。
組織 ID を取得する
スタンドアロン組織の組織 ID を取得するには、 Google Cloud コンソール、Google Cloud CLI、または Resource Manager API を使用します。
コンソール
Google Cloud コンソールで、[マイ組織] ページに移動します。
表に、組織とその組織 ID が一覧表示されます。
gcloud
組織リソース ID を調べるには、次のコマンドを実行します。
gcloud organizations list
このコマンドによって、所属するすべての組織リソースと、対応する組織リソース ID を一覧表示します。
API
Cloud Resource Manager API を使用して組織リソース ID を確認するには、organizations.search() メソッド（ドメインのクエリを含む）を使用します。次に例を示します。
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
レスポンスには、組織リソース ID を含む、altostrat.com に属する組織リソースのメタデータが含まれます。
スタンドアロン組織を設定する
Google Cloud アカウントを作成すると、スタンドアロンの組織リソースが自動的に作成されます。このセクションでは、初期設定、重要なロール、組織内でこれらの権限を管理する方法について説明します。
アカウントの作成者は、組織リソースにアクセスできる最初のユーザーです。組織内の他のユーザーはリソースを表示できますが、適切な権限が設定されるまで、リソースの変更はできません。
組織オーナーと組織管理者は、組織リソースのライフサイクルを設定、管理するための重要なロールです。通常、この 2 つのロールは、組織の構造やニーズに応じて別々のユーザーまたはグループに割り当てられます。
組織オーナーの責任
組織オーナーのロールでは、次の操作を行うことができます。
- 組織管理者のロールを他のユーザーに割り当てる。
- 復旧に関する問題が発生した場合の連絡先となります。
- スタンドアロン組織の削除、復元、名前変更で説明されているように、スタンドアロン組織リソースのライフサイクルを管理する。
組織のオーナーは、Workforce プール内の個人またはプリンシパルにすることができます。各スタンドアロン組織には、組織のオーナーとして少なくとも 1 つの有効な Google アカウントが常に必要です。サービス アカウントを組織のオーナーに招待することはできません。
組織管理者の責任
組織管理者のロールでは、次の操作を行うことができます。
- 許可ポリシーと拒否ポリシーを定義する。
- Google Cloudの他のユーザーに Identity and Access Management のロールを付与します。
- リソース階層を表示する。
最小権限の原則に従い、このロールでは、フォルダやプロジェクトの作成など、他のアクションを実行できません。これらの権限を取得するには、組織管理者がアカウントに追加のロールを割り当てる必要があります。
個人に組織オーナーのロールを付与する
個人に組織オーナーのロールを付与する手順は次のとおりです。
- 組織のオーナーとして Google Cloud コンソールにログインします。
Google Cloud コンソールで、[組織の詳細] ページに移動します。
[組織のオーナー] で [組織のオーナーを追加] をクリックします。
オーナーとして追加するプリンシパルのメールアドレスを入力します。システムからプリンシパルに、組織のオーナーになるよう招待するメールが送信されます。プリンシパルは、組織のオーナーになるために 30 日以内に招待を承諾する必要があります。
ドメインに関連付けられたメール確認済みアカウントの場合、組織オーナーを追加する際に次の制限が適用されます。
- 追加できるのは、ドメイン内のユーザーのみです。たとえば、
user1@altostrat.comは、@altostrat.comのメールアドレスを持つ他のユーザーを追加できます。 - 他のドメインのユーザーをオーナーとして追加することはできません。
- 一般ユーザー向けアカウント（
@gmail.comなど）は追加できません。
Workforce Identity プール内のユーザーに組織オーナーのロールを付与する
このステップでは、組織に Workforce Identity 連携がすでに構成されていることを前提としています。また、アカウントで重要な連絡先が構成されていることを確認してください。
- 組織のオーナーとして Google Cloud コンソールにログインします。
Google Cloud コンソールで、[組織の詳細] ページに移動します。
[組織のオーナー] で [組織のオーナーを追加] をクリックします。
ユーザーのプリンシパル ID を
principal://iam.googleapis.com/locations/LOCATION/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUEの形式で入力します。[次へ] をクリックします。
オーナー招待リンクの送信先となるメールアドレスを入力します。Google Cloud から、組織のオーナーになるよう招待するメールがユーザーに送信されます。組織のオーナーになるには、ユーザーは 30 日以内に招待を承諾する必要があります。ユーザーが招待を承諾すると、組織管理者のロールが自動的に付与されます。
組織管理者ロールを付与する
組織オーナーは、[組織の詳細] ページから他のユーザーに組織管理者ロールを付与できます。これは、組織に IAM ポリシーを設定できるすべてのユーザーから組織管理者権限を誤って削除し、アクセスを復元する必要がある場合に便利です。
ユーザーに組織管理者のロールを付与する手順は次のとおりです。
- 組織のオーナーとして Google Cloud コンソールにログインします。
Google Cloud コンソールで、[組織の詳細] ページに移動します。
[組織のオーナー] テーブルで、組織のオーナーのリストを表示します。
組織管理者のロールを割り当てるプリンシパルを選択します。
表の最後の列の [アクション] で、プリンシパルの横にある [その他の操作] をクリックします。
[組織管理者ロールを付与] をクリックします。プリンシパルに、組織リソースに対する組織管理者ロール（
roles/resourcemanager.organizationAdmin）が付与されている。
組織のオーナーを削除する
組織オーナーのロールを持つユーザーを削除する手順は次のとおりです。
- 組織のオーナーとして Google Cloud コンソールにログインします。
Google Cloud コンソールで、[組織の詳細] ページに移動します。
[組織のオーナー] で、削除するプリンシパルを選択します。
表の最後の列の [アクション] で、プリンシパルの横にある [その他の操作] をクリックします。
表示されたダイアログで [削除] をクリックします。
組織管理者を削除する
組織管理者のロールを持つユーザーを削除する手順は次のとおりです。
Google Cloud コンソールで、[IAM] ページに移動します。
[IAM 許可] で、[プリンシパル別に表示] に移動します。
ロールを付与したプリンシパルを含む行を見つけて、その行の [プリンシパルを編集 ] をクリックします。
[権限の編集] ペインで、組織管理者ロールの横にある削除アイコンをクリックします。
[保存] をクリックします。
スタンドアロン組織を検出して管理下に配置する
Cloud Identity の特権管理者に指定された管理者は、ドメイン内のユーザーが作成したスタンドアロン組織を検出し、所有権を申請できます。
前提条件
スタンドアロン組織を検出して申請するには、次の要件を満たす必要があります。
- Cloud Identity 特権管理者の指定がある。これは、ドメイン所有権証明済み（DV）ユーザーに自動的に付与される取り消し不可能な権限です。
- ドメインの所有権を確認します。詳しくは、Google Workspace のドメインの所有権を証明するをご覧ください。
申し立てによって実現されること
組織を申請すると、次のようになります。
- 既存の組織オーナーが管理者のプリンシパルに置き換えられます。
- 以前のオーナーのお客様 ID は、管理者の顧客 ID に置き換えられます。
- 最初のオーナーは
roles/resourcemanager.organizationAdminロールを保持します。管理者は必要に応じてこのロールを変更できます。 - 組織とそのリソースは引き続きアクティブです。
- 元の所有者には、所有権の変更に関するメール通知が届きます。
重要: 組織の申請は永続的な操作であり、元に戻すことはできません。
スタンドアロン組織を表示して申請する
組織を表示して申請する手順は次のとおりです。
Google Cloud コンソールで、[組織] > [管理ガバナンス] ページに移動します。
[管理者ガバナンス] ページには、ドメイン内のユーザーが作成したスタンドアロン組織のリストが表示されます。各組織について、次の詳細を確認できます。
- 組織名
- 組織 ID
- 組織のオーナー
- ステータス（有効、削除済み、削除予定）
- 作成日
管理下に追加する組織を 1 つ以上選択します。
[申し立て] をクリックします。
確認ダイアログで、組織の申請による影響を確認し、[申請] をクリックします。