Crea carpetas

En esta página, se describe cómo crear Cloud de Confiance by S3NS carpetas para agrupar y organizar proyectos en una jerarquía de recursos. Puedes usar carpetas para delegar tareas administrativas, aplicar políticas de organización específicas del entorno y optimizar la administración de costos en todos tus departamentos.

Las carpetas son nodos en la jerarquía de recursos de Cloud Platform. Una carpeta puede contener proyectos, otras carpetas o una combinación de ambos. Los recursos de organización pueden usar carpetas para agrupar proyectos en el nodo de recursos de organización en una jerarquía. Por ejemplo, tu recurso de organización puede contener varios departamentos, cada uno con su propio conjunto de recursos de Cloud de Confiance . Las carpetas te permiten agrupar estos recursos por departamento. Las carpetas se usan para agrupar los recursos que comparten políticas de permiso o denegación comunes. Mientras que una carpeta puede contener varias carpetas o recursos, una carpeta o recurso determinados pueden tener solo un superior.

En el siguiente diagrama, el recurso de organización, “Company”, tiene carpetas que representan “Standard Workloads”, “Regulated Workloads” y “Shared infrastructure”. En "Cargas de trabajo reguladas", las carpetas se organizan por entorno en "Entorno que no es de producción" y "Entorno de producción". La carpeta "Entorno de producción" se organiza en las carpetas "Orientado al cliente (restringido)" y "Solo para uso interno (estándar)" para aplicar controles de acceso centrados en las políticas. Los proyectos, como "Proyecto de prueba", "Proyecto de desarrollo" y "Proyecto de producción", contienen los recursos necesarios para el proyecto. Esto proporciona un alto grado de flexibilidad en la asignación de políticas de organización, de permiso o de denegación en el nivel de detalle correcto.

Puedes usar políticas de permiso y denegación a nivel de la carpeta para controlar el acceso a los recursos que esta contiene. Por ejemplo, si a un usuario se le otorga el rol de Administrador de instancias de Compute en una carpeta, tendrá ese rol en todos los proyectos de la carpeta.

Antes de comenzar

La funcionalidad de la carpeta solo está disponible para los clientes Google Workspace y Cloud Identity que tengan un recurso de la organización. Para obtener más información sobre cómo adquirir un recurso de organización, consulta Cómo obtener un recurso de organización.

Si exploras cómo usar mejor las carpetas, te recomendamos que sigas estos pasos:

1. Revisa el control de acceso de las carpetas que usan IAM. El tema describe cómo puedes controlar quién tiene acceso a las carpetas y los recursos que contienen.
2. Obtén información sobre cómo configurar permisos de carpeta. Las carpetas admiten varios roles de Identity and Access Management (IAM). Si deseas configurar en líneas generales los permisos para que los usuarios puedan ver la estructura de sus proyectos, otorga a todo el dominio las funciones de Visualizador de la organización y Visualizador de carpetas a nivel del recurso de organización. Para restringir la visibilidad de las ramas de la jerarquía de carpetas, otorga la función Visualizador de carpetas en la carpeta o carpetas que deseas que vean los usuarios.
3. Crea carpetas. A medida que planificas cómo organizar tus recursos de Cloud, te recomendamos que comiences con una sola carpeta como zona de pruebas en la que experimentes qué jerarquía es más adecuada para tu recurso de organización. Piensa en las carpetas en términos de los límites de aislamiento entre los recursos y los puntos de vinculación de las políticas de acceso y configuración. Puedes optar por crear carpetas que contengan los recursos que pertenecen a distintos departamentos y asignar las funciones de administrador en las carpetas para delegar privilegios de administrador. Las carpetas también se pueden usar para agrupar recursos que pertenezcan a aplicaciones o entornos diferentes, como el desarrollo, la producción o la prueba. Usa carpetas anidadas para modelar estos diferentes casos.

Un caso común es crear carpetas que, a su vez, contengan carpetas o proyectos adicionales, como se mostró anteriormente en la jerarquía de recursos. Esta estructura se denomina jerarquía de carpetas. Cuando creas una jerarquía de carpetas, ten en cuenta lo siguiente:

• Puedes anidar carpetas de hasta 10 (diez) niveles de profundidad.
• Una carpeta superior no puede contener más de 300 carpetas. Esto se refiere solo a carpetas secundarias directas. Esas carpetas secundarias pueden, a su vez, contener carpetas o proyectos adicionales.
• Los nombres de visualización de la carpeta deben ser únicos dentro del mismo nivel de la jerarquía.

Configura permisos para administrar carpetas

Para acceder a las carpetas y administrarlas, debes asignarles roles de IAM específicos de las carpetas a grupos de usuarios específicos. Para obtener más información sobre estas funciones, consulta el control de acceso a las carpetas que usan IAM. También te recomendamos que revises nuestras prácticas recomendadas a fin de ayudarte a identificar la configuración óptima para los permisos de tu carpeta.

Si quieres administrar carpetas para todo el recurso de tu organización, necesitas el rol de Administrador de carpetas. Esta función le otorga al usuario permiso para crear, editar, borrar, mover y cambiar los permisos de IAM en las carpetas, y también mover proyectos entre las carpetas.

En un principio, solo el administrador de la organización puede asignar el rol de administrador de carpetas para el recurso de la organización. Las cuentas posteriores a las que se les asigna este rol pueden otorgárselo a otras cuentas.

Para configurar los permisos de la carpeta, sigue estos pasos:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member=user:USER_ID \
    --role=roles/resourcemanager.folderAdmin

request_json= '{ policy: { version: "1", bindings: [ { role: "roles/folderAdmin",
members: [ "user:admin@myorganization.com", ] }, { role: "roles/folderCreator",
members: [ "user:admin@myorganization.com", ] } , { role: "roles/folderMover",
members: [ "user:admin@myorganization.com", ] } , ] } }'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/ORGANIZATION_NAME:setIamPolicy

Crea carpetas

Para crear carpetas, debes tener la función Administrador de carpetas o Creador de carpetas a nivel del superior. Por ejemplo, para crear carpetas a nivel de la organización, debes tener uno de estos roles a nivel de la organización.

Como parte de la creación de una carpeta, debes asignarle un nombre. Los nombres de las carpetas deben cumplir los siguientes requisitos:

• El nombre puede contener letras, dígitos, espacios, guiones y guiones bajos.
• El nombre visible de la carpeta debe comenzar y terminar con una letra o un dígito.
• El nombre debe tener entre 3 y 30 caracteres.
• El nombre debe ser distinto al de todas las demás carpetas que comparten el superior.

Para crear una carpeta, sigue estos pasos:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Agrega etiquetas durante la creación de carpetas

Las etiquetas proporcionan una forma de crear anotaciones para los recursos. Puedes agregar etiquetas cuando crees carpetas. Para ello, debes otorgar el rol de Usuario de etiquetas. Para obtener más información sobre los permisos incluidos en este rol, consulta Crea y administra etiquetas. Solo puedes agregar el espacio de nombres para los pares clave-valor de la etiqueta de una de las siguientes maneras:

  gcloud resource-manager folders create \
      --display-name=DISPLAY_NAME \
      --organization=ORGANIZATION_ID\
      --tags=KEY_VALUE_PAIRS

  POST https://cloudresourcemanager.googleapis.com/v3/folders/
  Authorization: *************
  Content-Type: application/json

  {
    "display_name": "our-folder-456",
    "parent": "organizations/123",
    "tags": {
      "123/environment": "production",
      "123/costCenter": "marketing"
    }
  }

Recupera el ID de tu carpeta

Puedes recuperar el ID de una carpeta con la consola de Cloud de Confiance o Google Cloud CLI.

gcloud resource-manager folders list --organization=ORGANIZATION_ID

Retraso en la propagación

Cuando creas una carpeta nueva, es posible que tarde un tiempo en propagarse por nuestros sistemas globales y aparecer en la consola de Cloud de Confiance . Esta demora en la propagación suele resolverse en unos minutos, pero, en casos excepcionales, puede tardar más. Puedes verificar la creación de la carpeta de inmediato con la herramienta de línea de comandos de gcloud o la API.

Borra carpetas

Para borrar una carpeta, debes tener el rol de administrador de carpetas (roles/resourcemanager.folderAdmin) o editor de carpetas (roles/resourcemanager.folderEditor). La carpeta debe estar vacía para que puedas borrarla. Para obtener instrucciones detalladas, consulta Borra carpetas.

Configura el acceso a las carpetas

Para configurar el acceso a las carpetas, debes tener la función Administrador de carpetas de IAM o Administrador de carpetas a nivel del superior.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Cómo controlar operaciones de larga duración

Ciertas operaciones de carpetas, como la creación o la migración, se procesan de forma asíncrona en Cloud de Confiance by S3NS porque requieren propagación global. Para evitar bloquear tu terminal o tus secuencias de comandos de automatización, puedes usar la marca --async.

Cuando se usa esta marca, el comando devuelve un objeto de operación de larga duración (LRO) de inmediato. Luego, puedes usar operation_id para sondear la finalización cuando te convenga. La marca --async solo es compatible con los comandos folders create y folders move.

Para usar la marca, sigue estos pasos:

1. Inicia una tarea asíncrona. Consulta el siguiente comando de ejemplo:

   gcloud resource-manager folders create \
       --display-name="Test Async Folder" \
       --organization=2518 \
       --async
   

   El resultado proporciona un nombre de operación (p.ej., fc.8572) y muestra done: false.

   Respuesta de muestra:

   name: operations/fc.8572
   metadata:
   operation_type: CREATE
   display_name: Awe-Inspiring Async Folder
   destination_parent: organizations/2518
   done: false
   

2. Verifica el estado de la operación. Para verificar si la tarea finalizó, usa el comando operations describe con el ID proporcionado en el paso anterior.

   gcloud beta resource-manager operations describe fc.8572
   

   Una vez que done sea verdadero, el bloque de respuesta contendrá todos los detalles del recurso recién creado.

   name: operations/fc.8572
   done: true
   response:
     name: folders/6428
     display_name: Awe-Inspiring Async Folder
     lifecycle_state: ACTIVE
     create_time: '2024-03-20T10:00:00Z'
   

¿Qué sigue?

• Obtén más información para ver y actualizar carpetas.
• Obtén más información para administrar proyectos dentro de carpetas.
• Obtén información sobre los roles y permisos para carpetas.
• Obtén información para enumerar todas las carpetas y proyectos en tu jerarquía de recursos.