借助独立组织，您无需 Cloud Identity 或自定义 DNS 域名即可创建和管理Google Cloud 资源层次结构的根节点。在大多数情况下，创建组织资源需要您是 Cloud Identity 超级用户，并将Google Cloud 组织连接到 DNS 网域。
使用独立组织时，您无需使用 Cloud Identity。当您使用 Google 电子邮件地址注册 Google Cloud 时， Google Cloud会自动为您创建独立组织，并授予您组织所有者角色。然后，您可以使用组织详情页面管理其他用户的所有权访问权限。
主要优势
独立组织具有以下优势：
- 将具有联合身份的用户添加为组织所有者。
- 支持多个组织测试不同的功能。
- 分配多个组织所有者，以避免在员工离职时出现单点故障。
准备工作
在开始之前，请查看以下内容：
- 了解组织资源。
- 了解如何确定 Google Cloud 着陆区的资源层次结构。
识别您的组织
您的独立组织由组织名称和组织 ID 标识。
组织名称
默认组织名称是通过将用户名与 -org 组合而成的。用户名中的所有特殊字符都会替换为短划线。例如，如果用户名为 lara_brown，则组织名称将为 lara-brown-org。Google API 不会使用该名称。您可以在创建组织后随时修改组织名称。
确保名称符合以下条件：
- 只能包含字母、数字或连字符。
- 请勿使用域名。域名仅预留给 Cloud Identity 和 Google Workspace 组织使用。
- 不包含“Google Cloud”等常见字词。
组织 ID
组织 ID 是贵组织的全局唯一标识符。Google Cloud 控制台会生成此编号，以便将您的组织与 Google Cloud中的所有其他组织区分开来。组织 ID 采用整数格式，不能以零开头。
请勿在组织名称或其他资源名称中包含敏感信息，例如个人身份信息 (PII) 或安全数据。组织 ID 用于许多其他 Google Cloud 资源的名称中。对组织或相关资源的任何引用都会公开组织 ID 和资源名称。
获取独立组织资源
所有新的 Free TrialGoogle Cloud 客户都可以使用独立组织。创建 Google Cloud 账号后，系统会自动创建组织资源。当您登录 Google Cloud 控制台并接受条款时，就会发生这种情况。独立组织不适用于现有Google Cloud 账号。
每个用户账号只能创建一个组织。不过，您可以邀请单个用户拥有和管理多个组织。
创建组织资源后，系统会为账号所有者分配以下角色：
roles/cloudowner.admin（组织所有者）roles/resourcemanager.organizationAdmin（Organization Administrator）
Organization Owner 角色在 IAM 外部进行管理，并授予从组织详情页面管理组织所有者和管理员的权限。如需了解如何向组织添加更多所有者和管理员，请参阅设置独立组织。
获取您的组织 ID
如需获取独立组织的组织 ID，您可以使用 Google Cloud 控制台、Google Cloud CLI 或 Resource Manager API。
控制台
在 Google Cloud 控制台中，前往我的组织页面。
该表会列出您的组织及其组织 ID。
gcloud
如需查找组织资源 ID，请运行以下命令：
gcloud organizations list
此命令会列出您所属的所有组织资源及其对应的组织资源 ID。
API
如需使用 Cloud Resource Manager API 查找组织资源 ID，请使用 organizations.search() 方法，包括对网域的查询。例如：
GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}
响应包含属于 altostrat.com 的组织资源的元数据，其中包括组织资源 ID。
设置独立组织
创建 Google Cloud 账号时，系统会自动为您生成一个独立的组织资源。在本部分中，您将了解初始设置、基本角色以及如何在组织内管理这些权限。
账号创建者是第一个有权访问组织资源的用户。组织中的其他用户可以查看该资源，但只有在设置适当的权限后才能对其进行修改。
组织所有者和 Organization Administrator 是设置和控制组织资源生命周期的关键角色。这两个角色通常会分配给不同的用户或群组，具体取决于贵组织的结构和需求。
组织所有者的职责
借助 Organization Owner 角色，您可以执行以下操作：
- 向其他用户分配 Organization Administrator 角色。
- 在出现问题时，担当协助恢复的联系人。
- 控制独立组织资源的生命周期，如删除、恢复和重命名独立组织中所述。
组织所有者可以是员工池中的个人或主账号。每个独立组织必须始终至少有一个有效的 Google 账号作为组织所有者。无法邀请服务账号成为组织所有者。
Organization Administrator 职责
Organization Administrator 角色可让您执行以下操作：
- 定义允许和拒绝政策。
- 在 Google Cloud中向其他用户授予 Identity and Access Management 角色。
- 查看资源层次结构。
该角色遵循最小权限原则，可防止您执行其他操作，例如创建文件夹或项目。如需获得这些权限，Organization Administrator 必须为您的账号分配其他角色。
向个人授予 Organization Owner 角色
如需向个人授予 Organization Owner 角色，请按以下步骤操作：
- 以组织所有者身份登录 Google Cloud 控制台。
在 Google Cloud 控制台中，前往组织详情页面。
在组织所有者下，点击添加组织所有者。
输入要添加为所有者的主账号的邮箱。系统会向主账号发送一封电子邮件，邀请其成为组织的所有者。主账号必须在 30 天内接受邀请才能成为组织所有者。
对于与网域关联的通过邮箱验证的账号，在添加组织所有者时，需遵循以下限制：
- 您只能添加网域内的用户。例如，
user1@altostrat.com可以添加邮箱为@altostrat.com的其他用户。 - 您无法将其他网域中的用户添加为所有者。
- 您无法添加个人账号（例如
@gmail.com）。
向员工身份池中的用户授予 Organization Owner 角色
此步骤假定您已为组织配置员工身份联合。此外，请确保您的账号中已配置重要联系人。
- 以组织所有者身份登录 Google Cloud 控制台。
在 Google Cloud 控制台中，前往组织详情页面。
在组织所有者下，点击添加组织所有者。
以
principal://iam.googleapis.com/locations/LOCATION/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE格式输入用户的主账号标识符。点击下一步。
输入要向其发送所有者邀请链接的电子邮件地址。Google Cloud 会向该用户发送一封电子邮件，邀请其成为组织的所有者。用户必须在 30 天内接受邀请，才能成为组织所有者。用户接受邀请后，系统会自动向其授予 Organization Administrator 角色。
授予 Organization Administrator 角色
组织所有者可以在组织详情页面中向其他用户授予 Organization Administrator 角色。如果您不小心移除了所有可对组织设置 IAM 政策的用户的 Organization Administrator 权限，并且需要恢复访问权限，则此功能非常有用。
如需向用户授予 Organization Administrator 角色，请按以下步骤操作：
- 以组织所有者身份登录 Google Cloud 控制台。
在 Google Cloud 控制台中，前往组织详情页面。
在组织所有者表中查看组织所有者列表。
选择要向其分配 Organization Administrator 角色的主账号。
在表格的最后一列中，点击主账号旁边的操作下的更多操作。
点击授予 Organization Administrator 角色。系统会向主账号授予组织资源上的 Organization Administrator 角色 (
roles/resourcemanager.organizationAdmin)。
移除组织所有者
如需移除具有组织所有者角色的用户，请按以下步骤操作：
- 以组织所有者身份登录 Google Cloud 控制台。
在 Google Cloud 控制台中，前往组织详情页面。
在组织所有者下，选择要移除的主账号。
在表格的最后一列中，点击主账号旁边的操作下的更多操作。
在随即显示的对话框中，点击移除。
移除组织管理员
如需移除具有 Organization Administrator 角色的用户，请按以下步骤操作：
在 Google Cloud 控制台中，前往 IAM 页面。
在 IAM 允许下，前往按主账号查看。
找到包含已被授予角色的主账号的行，然后点击该行中的修改主账号 。
在修改权限窗格中，点击 Organization Administrator 角色旁边的删除图标。
点击保存。
发现并认领独立组织
拥有 Cloud Identity 超级用户称号的管理员可以发现并声明其网域内用户创建的独立组织的所有权。
前提条件
如需发现和认领独立组织，您必须满足以下要求：
- 具有 Cloud Identity 超级用户身份。这是一项不可撤消的权限，会自动授予通过域名验证 (DV) 的用户。
- 验证域名。如需了解详情，请参阅验证用于 Google Workspace 的域名。
声明所有权的作用
当您声明对组织的所有权时，会发生以下情况：
- 现有组织所有者将被替换为管理员的主账号。
- 原所有者的客户 ID 将替换为管理员的客户 ID。
- 初始所有者会保留
roles/resourcemanager.organizationAdmin角色，管理员可以根据需要修改该角色。 - 组织及其资源将保持有效状态。
- 原所有者会收到有关所有权变更的电子邮件通知。
重要提示：声明对组织的所有权是一项永久性操作，无法撤消。
查看和申领独立组织
如需查看和认领组织，请按以下步骤操作：
在 Google Cloud 控制台中，前往组织 > 管理员治理页面。
管理员治理页面会显示由您网域内的用户创建的独立组织的列表。对于每个组织，您可以查看以下详细信息：
- 组织名称
- 组织 ID
- 组织所有者
- 状态（有效、已删除或已计划进行删除）
- 创建日期
选择一个或多个要认领的组织。
点击申领。
在确认对话框中，查看声明组织的影响，然后点击声明。