יצירת תיקיות

בדף הזה מוסבר איך ליצור תיקיות כדי לקבץ ולארגן פרויקטים בהיררכיית משאבים. Cloud de Confiance by S3NS אפשר להשתמש בתיקיות כדי להאציל משימות אדמיניסטרטיביות, לאכוף מדיניות ארגונית ספציפית לסביבה ולייעל את ניהול העלויות במחלקות.

תיקיות הן צמתים בהיררכיית המשאבים של Cloud Platform. תיקייה יכולה להכיל פרויקטים, תיקיות אחרות או שילוב של השניים. במשאבי ארגון אפשר להשתמש בתיקיות כדי לקבץ פרויקטים בצומת של משאב הארגון בהיררכיה. לדוגמה, משאב הארגון יכול להכיל כמה מחלקות, שלכל אחת מהן יש קבוצה משלה של Cloud de Confiance משאבים. באמצעות התיקיות אפשר לקבץ את המשאבים של כל מחלקה בנפרד. התיקיות משמשות לקיבוץ משאבים שיש להם מדיניות הרשאות או דחייה משותפת. בעוד שבתיקייה אפשר לכלול כמה תיקיות או משאבים, לכל תיקייה או משאב יכול להיות רק הורה אחד.

בתרשים הבא, משאב הארגון, Company, כולל תיקיות שמייצגות שני מחלקות, Dept X ו-Dept Y, ותיקייה, Shared Infrastructure, לפריטים שעשויים להיות משותפים לשתי המחלקות. בקטע 'Dept Y', הם התארגנו בשני צוותים, ובתיקיות של הצוותים הם התארגנו לפי מוצרים. התיקייה של 'מוצר 1' מכילה שלושה פרויקטים, שלכל אחד מהם יש את המשאבים שנדרשים לו. כך הם יכולים להקצות מדיניות הרשאה, דחייה או מדיניות ארגונית ברמת הפירוט הנכונה.

אפשר להשתמש בכללי מדיניות של הרשאה ודחייה ברמת התיקייה כדי לשלוט בגישה למשאבים שהתיקייה מכילה. לדוגמה, אם למשתמש מסוים הוקצה התפקיד Compute Instance Admin בתיקייה, הוא מקבל את התפקיד Compute Instance Admin בכל הפרויקטים בתיקייה.

לפני שמתחילים

הפונקציונליות של תיקיות זמינה רק ללקוחות Google Workspace ו-Cloud Identity שיש להם משאב ארגון. מידע נוסף על קבלת משאב ארגון זמין במאמר קבלת משאב ארגון.

אם אתם רוצים לדעת איך הכי כדאי להשתמש בתיקיות, מומלץ:

1. מומלץ לעיין במאמר בקרת גישה לתיקיות שמשתמשות ב-IAM. במאמר הזה מוסבר איך לקבוע למי תהיה גישה לתיקיות ולמשאבים שהן מכילות.
2. איך מגדירים הרשאות לתיקיות תיקיות תומכות במספר תפקידים שונים ב-IAM (המערכת לניהול הזהויות והרשאות הגישה). אם רוצים להגדיר הרשאות באופן רחב כדי שהמשתמשים יוכלו לראות את המבנה של הפרויקטים שלהם, צריך להקצות לדומיין כולו את התפקידים צפייה בארגון וצפייה בתיקייה ברמת משאב הארגון. כדי להגביל את הגישה לענפים בהיררכיית התיקיות, צריך להקצות את התפקיד Folder Viewer לתיקייה או לתיקיות שרוצים שהמשתמשים יוכלו לראות.
3. יצירת תיקיות כשמתכננים איך לארגן את משאבי Cloud, מומלץ להתחיל עם תיקייה אחת כארגז חול שבו אפשר להתנסות בהיררכיות שונות כדי להבין איזו היררכיה הכי מתאימה למשאב הארגוני. אפשר לחשוב על תיקיות במונחים של גבולות בידוד בין משאבים ונקודות חיבור למדיניות גישה והגדרות. אפשר ליצור תיקיות שיכילו משאבים ששייכים למחלקות שונות, ולהקצות תפקידי אדמין בתיקיות כדי להעניק הרשאות אדמין. אפשר גם להשתמש בתיקיות כדי לקבץ משאבים ששייכים לאפליקציות או לסביבות שונות, כמו פיתוח, ייצור ובדיקה. כדי לדמות את התרחישים השונים האלה, אפשר להשתמש בתיקיות מקוננות.

מצב נפוץ הוא יצירה של תיקיות שמכילות תיקיות או פרויקטים נוספים, כמו שמוצג בהיררכיית המשאבים שצוינה קודם. המבנה הזה נקרא היררכיית תיקיות. כשיוצרים היררכיית תיקיות, חשוב לזכור את הנקודות הבאות:

• אפשר להציב תיקיות בתוך תיקיות עד 10 (עשר) רמות עומק.
• תיקיית הורה לא יכולה להכיל יותר מ-300 תיקיות. הכוונה היא רק לתיקיות צאצא ישירות. תיקיות המשנה האלה יכולות להכיל תיקיות או פרויקטים נוספים.
• השמות לתצוגה של התיקיות צריכים להיות ייחודיים באותה רמה בהיררכיה.

הגדרת הרשאות לניהול תיקיות

כדי לגשת לתיקיות ולנהל אותן, צריך להקצות תפקידי IAM ספציפיים לתיקיות לקבוצות משתמשים ספציפיות. מידע נוסף על התפקידים האלה מופיע במאמר בקרת גישה לתיקיות באמצעות IAM. מומלץ גם לעיין בשיטות המומלצות שלנו כדי לזהות את ההגדרה האופטימלית להרשאות התיקיות.

כדי לנהל תיקיות עבור משאב הארגון כולו, צריך את התפקיד Folder Admin (אדמין תיקיות). התפקיד הזה מעניק למשתמש הרשאה ליצור, לערוך, למחוק, להעביר ולשנות הרשאות IAM בתיקיות, וגם הרשאה להעביר פרויקטים בין תיקיות.

בהתחלה, רק אדמינים ארגוניים יכולים להקצות את התפקיד 'Folder Admin' למשאב הארגון. חשבונות נוספים שמוקצה להם התפקיד הזה יכולים להעניק אותו לחשבונות אחרים.

כדי להגדיר הרשאות לתיקייה:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member=user:USER_ID \
    --role=roles/resourcemanager.folderAdmin

request_json= '{ policy: { version: "1", bindings: [ { role: "roles/folderAdmin",
members: [ "user:admin@myorganization.com", ] }, { role: "roles/folderCreator",
members: [ "user:admin@myorganization.com", ] } , { role: "roles/folderMover",
members: [ "user:admin@myorganization.com", ] } , ] } }'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/ORGANIZATION_NAME:setIamPolicy

יצירת תיקיות

כדי ליצור תיקיות, צריך להיות לכם התפקיד Folder Admin או יוצר תיקיות ברמה הראשית. לדוגמה, כדי ליצור תיקיות ברמת הארגון, צריך להיות לכם אחד מהתפקידים האלה ברמת הארגון.

כשיוצרים תיקייה, צריך להקצות לה שם. שמות התיקיות צריכים לעמוד בדרישות הבאות:

• השם יכול להכיל אותיות, ספרות, רווחים, מקפים וקווים תחתונים.
• השם המוצג של התיקייה צריך להתחיל ולהסתיים באות או בספרה.
• השם צריך לכלול בין 3 ל-30 תווים.
• השם צריך להיות שונה מכל שאר התיקיות שמשותפות עם תיקיית ההורה.

כדי ליצור תיקייה, פועלים לפי השלבים הבאים:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

הוספת תגים במהלך יצירת תיקייה

תגים מאפשרים ליצור הערות למשאבים. אפשר להוסיף תגים כשיוצרים תיקיות. כדי לעשות את זה, צריך להעניק את התפקיד Tag User. מידע נוסף על ההרשאות שכלולות בתפקיד הזה זמין במאמר יצירה וניהול של תגים. אפשר להוסיף את מרחב השמות לצמדי מפתח/ערך של התג רק באחת מהדרכים הבאות:

  gcloud resource-manager folders create \
      --display-name=DISPLAY_NAME \
      --organization=ORGANIZATION_ID\
      --tags=KEY_VALUE_PAIRS

  POST https://cloudresourcemanager.googleapis.com/v3/projects/
  Authorization: *************
  Content-Type: application/json

  {
    "display_name": "our-folder-456",
    "parent": "organizations/123",
    "tags": {
      "key": "123/environment"
      "value": "production"
    },
"tags": {
      "key": "123/costCenter"
      "value": "marketing"
    }
  }

הגדרת הגישה לתיקיות

כדי להגדיר גישה לתיקיות, צריך להיות לכם תפקיד אדמין IAM של תיקייה או אדמין תיקייה ברמת ההורה.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

טיפול בפעולות ממושכות

פעולות מסוימות בתיקיות, כמו יצירה או העברה, מעובדות באופן אסינכרוני על ידי Cloud de Confiance by S3NS כי הן דורשות הפצה גלובלית. כדי למנוע חסימה של הטרמינל או של סקריפטים לאוטומציה, אפשר להשתמש בדגל --async.

כשמשתמשים בדגל הזה, הפקודה מחזירה מיד אובייקט פעולה ממושכת (LRO). אחר כך תוכלו להשתמש ב-operation_id כדי לבדוק אם הפעולה הסתיימה בזמן שנוח לכם. הסימון הבוליאני --async נתמך רק בפקודות folders create ו-folders move.

כדי להשתמש בדגל, פועלים לפי השלבים הבאים:

1. מתחילים משימה אסינכרונית. אפשר לעיין בדוגמה הבאה של פקודה:

   gcloud resource-manager folders create \
       --display-name="Test Async Folder" \
       --organization=2518 \
       --async
   

   הפלט מספק שם פעולה (למשל, fc.8572) ומציג done: false.

   דוגמה לתשובה:

   name: operations/fc.8572
   metadata:
   operation_type: CREATE
   display_name: Awe-Inspiring Async Folder
   destination_parent: organizations/2518
   done: false
   

2. בודקים את סטטוס הפעולה. כדי לבדוק אם המשימה הסתיימה, משתמשים בפקודה operations describe עם המזהה שסופק בשלב הקודם.

   gcloud beta resource-manager operations describe fc.8572
   

   אם הערך של done הוא true, בלוק התגובה יכיל את הפרטים המלאים של המשאב החדש שנוצר.

   name: operations/fc.8572
   done: true
   response:
     name: folders/6428
     display_name: Awe-Inspiring Async Folder
     lifecycle_state: ACTIVE
     create_time: '2024-03-20T10:00:00Z'
   

המאמרים הבאים

• מידע נוסף על הצגה ועדכון של תיקיות
• ניהול פרויקטים בתוך תיקיות
• מידע נוסף על תפקידים והרשאות בתיקיות
• מידע נוסף על הצגת כל התיקיות והפרויקטים בהיררכיית המשאבים