创建和管理组织资源

组织资源是 Google Cloud 资源层次结构中的根节点，也是项目的分层超级节点。本页将介绍如何 获取和管理组织资源。

准备工作

阅读概览 组织资源的限制

获取组织资源

组织资源可供 Google Workspace 和 Cloud Identity 客户使用：

• Google 工作区：注册 Google 工作区。
• Cloud Identity：注册 Cloud Identity。

创建 Google Workspace 或 Cloud Identity 账号并将其与网域关联后，系统将自动为您创建组织资源。资源将根据您的账号状态在不同的时间进行预配：

• 如果您刚接触 Google Cloud，但尚未创建项目，则当您登录 Google Cloud 控制台并接受条款及条件时，系统会为您创建组织资源。

• 如果您是现有 Google Cloud 用户，则当您创建新项目或结算账号时，系统会为您创建组织资源。您之前创建的所有项目都会列在“无组织”下，这属于正常情况。系统会显示组织资源，并且您创建的新项目会自动链接到该资源。

  您需要将在“无组织”下创建的所有项目移动到新组织资源中。如需了解如何移动项目，请参阅将项目迁移至组织资源。

创建的组织资源将与您创建的具有项目或结算账号的 Google Workspace 或 Cloud Identity 账号关联，这些项目和结算账号被设置为子资源。在您的 Google Workspace 或 Cloud Identity 网域下创建的所有项目和结算账号都将成为该组织资源的子级。

• 如需了解如何迁移现有项目，请参阅迁移现有项目。

每个 Google Workspace 或 Cloud Identity 账号只能与一个组织资源关联。一个组织资源只能与一个网域关联，该网域在创建组织资源时设置。

创建组织资源后，我们会向 Google Workspace 或 Cloud Identity 超级用户通知组织资源的可用性。这些 应谨慎使用超级用户账号，因为它们拥有大量控制权 组织资源及其下的所有资源为此，我们不建议您使用 Google Workspace 或 Cloud Identity 超级用户账号来执行组织资源的日常管理工作。如需详细了解如何在 Google Cloud 中使用 Google Workspace 或 Cloud Identity 超级用户账号，请参阅超级用户最佳做法。

如要主动采用组织资源，Google Workspace 或 Cloud Identity 超级用户需要 Organization Administrator (roles/resourcemanager.organizationAdmin) Identity and Access Management (IAM) 角色 用户或群组。如需了解设置组织资源的步骤，请参阅 设置组织资源。

• 在您创建组织资源后，系统会在组织资源层级为您网域中的所有用户自动授予 Project Creator (roles/resourcemanager.projectCreator) 和 Billing Account Creator (roles/billing.creator) IAM 角色。因此，您网域中的用户可以继续创建项目，没有任何中断。
• 组织管理员将决定何时开始积极使用组织资源。然后，他们可以根据需要更改默认权限并实施更严格的政策。
• 如果组织资源可用，但您没有查看该组织资源的 IAM 权限，您仍可以创建项目和结算账号。即使您无法看到，这些项也都会在组织资源下自动创建。

获取组织资源 ID

组织资源 ID 是组织资源的唯一标识符，在创建组织资源时自动创建。组织资源 ID 采用十进制数字的格式，且不能以零开头。

您可以使用 Google Cloud 控制台、 gcloud CLI 或 Cloud Resource Manager API。

gcloud organizations list

GET https://cloudresourcemanager.googleapis.com/v3/organizations:search{query=domain:altostrat.com}

设置组织资源

如果您是 Google Workspace 或 Cloud Identity 客户， 资源

Google Workspace 或 Cloud Identity 超级用户是第一批可以在组织创建后访问组织资源的用户。所有其他用户或群组将能够像以前一样使用 Google Cloud。他们将能够看到 组织资源，但只有在设置了正确的响应之后， 权限。

Google Workspace 或 Cloud Identity 超级用户和 Google Cloud Organization Administrator 是设置过程中的关键角色，用于对组织资源进行生命周期控制。这两种角色 通常会被分配给不同的用户或群组， 组织资源的结构和需求。

Google Workspace 或 Cloud Identity 超级用户的责任，具体如下： Google Cloud 组织资源设置的上下文如下：

• 向部分用户分配 Organization Administrator 角色
• 担任恢复问题的联系人
• 如删除组织资源中所述，控制 Google Workspace 或 Cloud Identity 账号和组织资源的生命周期

分配的 Organization Administrator 可以为其他用户分配 Identity and Access Management 角色。Organization Administrator 角色的责任包括：

• 定义 IAM 政策并将 IAM 角色授予其他用户。
• 确定资源层次结构的结构

该角色遵循最小权限原则，不包括执行其他操作的权限，如创建文件夹或项目。如需获得这些权限，Organization Administrator 必须为其账号分配其他角色。

拥有两个不同的角色可确保 Google Workspace 或 Cloud Identity 超级用户和 Google Cloud Organization Administrator 之间的职责分离。我们通常会要求满足该条件，因为这两个 Google 产品通常由客户组织中的不同部门管理。

如需开始积极使用组织资源，请按以下步骤添加 Organization Administrator：

添加 Organization Administrator

如获取组织资源中所述，在创建组织时， 网域中的所有用户都会被授予“Project Creator”和“Billing Account Creator”角色 默认分配角色。这样可以确保 。Organization Administrator 获得控制权后，他们可能想要移除这些组织层级权限，开始将访问权限锁定到更精细的级别（例如，文件夹或项目级层）。请注意，由于 IAM 政策按层次结构继承， 分配给整个网域的 Project Creator 角色 (domain:mycompany.com) 意味着每个用户 可以在层次结构中的任何位置创建项目。

在组织资源中创建项目

...

project = crm.projects().create(
    body={
        'project_id': flags.projectId,
        'name': 'My New Project',
        'parent': {
            'type': 'organization',
            'id': flags.organizationId
         }
}).execute()

...

查看组织资源中的项目

用户只能通过 IAM 角色查看和列出他们有权访问的项目。Organization Administrator 可以查看和列出组织资源中的所有项目。

gcloud projects list --filter 'parent.id=[ORGANIZATION_ID] AND \
    parent.type=organization'

...

filter = 'parent.type:organization parent.id:%s' % flags.organizationId
projects = crm.projects().list(filter=filter).execute()

...

删除组织资源

组织资源与您的 Google Workspace 或 Cloud Identity 账号绑定。

如果您不希望使用组织资源，我们建议您使用 使用 操作步骤：

1. 将您的网域添加到 Project Creator 和 Billing Account Creator 角色。
2. 移除组织资源 IAM 政策中的所有其他条目。

这样一来，您的用户便可继续创建项目和结算账号，并且 Google Workspace 或 Cloud Identity 超级用户之后也可以恢复集中管理。

如果您删除 Google Workspace 账号，则您的组织资源以及与之关联的所有资源也将一并删除。因此，如果您想删除组织资源，可以通过删除 Google Workspace 账号来实现。对于 Cloud Identity 用户，请取消其他所有 Google 服务，然后删除您的 Google 账号。此操作具有非常强的破坏性，可能无法完全逆转，因此建议您仅在确定没有资源正在使用后执行此操作。