crea le cartelle

Questa pagina descrive come creare Cloud de Confiance by S3NS cartelle per raggruppare e organizzare i progetti in una gerarchia delle risorse. Puoi utilizzare le cartelle per delegare le attività amministrative, applicare criteri dell'organizzazione specifici per l'ambiente e semplificare la gestione dei costi nei tuoi reparti.

Le cartelle sono nodi nella gerarchia delle risorse di Cloud Platform. Una cartella può contenere progetti, altre cartelle o una combinazione di entrambi. Le risorse dell'organizzazione possono utilizzare le cartelle per raggruppare i progetti sotto il nodo della risorsa dell'organizzazione in una gerarchia. Ad esempio, la risorsa organizzazione potrebbe contenere più reparti, ognuno con il proprio insieme di risorse Cloud de Confiance . Le cartelle ti consentono di raggruppare queste risorse in base al reparto. Le cartelle vengono utilizzate per raggruppare le risorse che condividono criteri di autorizzazione o negazione comuni. Anche se una cartella può contenere più cartelle o risorse, una determinata cartella o risorsa può avere esattamente un elemento principale.

Nel seguente diagramma, la risorsa organizzazione "Company" ha cartelle che rappresentano due reparti, "Dept X" e "Dept Y", e una cartella, "Shared Infrastructure", per gli elementi che potrebbero essere comuni a entrambi i reparti. In "Reparto Y", i file sono organizzati in due team e, all'interno delle cartelle dei team, sono ulteriormente organizzati per prodotto. La cartella "Prodotto 1" contiene a sua volta tre progetti, ognuno con le risorse necessarie. Ciò offre loro un elevato grado di flessibilità nell'assegnazione di policy di autorizzazione, negazione o policy dell'organizzazione al giusto livello di granularità.

Puoi utilizzare le policy di autorizzazione e negazione a livello di cartella per controllare l'accesso alle risorse contenute nella cartella. Ad esempio, se a un utente viene concesso il ruolo Amministratore istanze Compute in una cartella, l'utente ha il ruolo Amministratore istanze Compute per tutti i progetti nella cartella.

Prima di iniziare

La funzionalità delle cartelle è disponibile solo per i clienti di Google Workspace e Cloud Identity che dispongono di una risorsa dell'organizzazione. Per saperne di più sull'acquisizione di una risorsa dell'organizzazione, consulta Ottenere una risorsa dell'organizzazione.

Se stai cercando il modo migliore per utilizzare le cartelle, ti consigliamo di:

1. Consulta Controllo dell'accesso per le cartelle tramite IAM. L'argomento descrive come controllare chi ha accesso alle cartelle e alle risorse che contengono.
2. Scopri come impostare le autorizzazioni per le cartelle. Le cartelle supportano diversi ruoli Identity and Access Management (IAM). Se vuoi configurare le autorizzazioni in modo generico in modo che gli utenti possano vedere la struttura dei loro progetti, concedi all'intero dominio i ruoli Visualizzatore organizzazione e Visualizzatore cartelle a livello di risorsa dell'organizzazione. Per limitare la visibilità ai rami della gerarchia di cartelle, assegna il ruolo Visualizzatore cartelle alla cartella o alle cartelle che vuoi che gli utenti vedano.
3. Creazione di cartelle. Quando pianifichi come organizzare le risorse Cloud, ti consigliamo di iniziare con una singola cartella come sandbox in cui puoi sperimentare quale gerarchia è più adatta alla risorsa della tua organizzazione. Considera le cartelle come limiti di isolamento tra le risorse e punti di collegamento per le norme di accesso e configurazione. Puoi scegliere di creare cartelle per contenere risorse appartenenti a diversi dipartimenti e assegnare ruoli amministrativi alle cartelle per delegare il privilegio di amministratore. Le cartelle possono essere utilizzate anche per raggruppare le risorse appartenenti ad applicazioni o ambienti diversi, ad esempio sviluppo, produzione, test. Utilizza cartelle nidificate per modellare questi diversi scenari.

Una situazione comune è quella di creare cartelle che a loro volta contengono altre cartelle o progetti, come mostrato in precedenza nella gerarchia delle risorse. Questa struttura è chiamata gerarchia di cartelle. Quando crei una gerarchia di cartelle, tieni presente quanto segue:

• Puoi nidificare le cartelle fino a 10 (dieci) livelli.
• Una cartella principale non può contenere più di 300 cartelle. Si riferisce solo alle cartelle secondarie dirette. Queste cartelle secondarie possono, a loro volta, contenere altre cartelle o progetti.
• I nomi visualizzati delle cartelle devono essere univoci all'interno dello stesso livello della gerarchia.

Configurare le autorizzazioni per gestire le cartelle

Per accedere alle cartelle e gestirle, assegna ruoli IAM specifici per le cartelle a gruppi specifici di utenti. Per saperne di più su questi ruoli, consulta Controllo dell'accesso per le cartelle utilizzando IAM. Ti consigliamo inoltre di consultare le nostre best practice per identificare la configurazione ottimale per le autorizzazioni delle cartelle.

Per gestire le cartelle per l'intera risorsa dell'organizzazione, devi disporre del ruolo Amministratore cartelle. Questo ruolo concede all'utente l'autorizzazione per creare, modificare, eliminare, spostare e modificare le autorizzazioni IAM per le cartelle, nonché l'autorizzazione per spostare i progetti tra le cartelle.

Inizialmente, solo l'amministratore dell'organizzazione può assegnare il ruolo di Amministratore cartelle per la risorsa organizzazione. Gli account successivi a cui viene assegnato questo ruolo possono concederlo ad altri account.

Per configurare le autorizzazioni delle cartelle:

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member=user:USER_ID \
    --role=roles/resourcemanager.folderAdmin

request_json= '{ policy: { version: "1", bindings: [ { role: "roles/folderAdmin",
members: [ "user:admin@myorganization.com", ] }, { role: "roles/folderCreator",
members: [ "user:admin@myorganization.com", ] } , { role: "roles/folderMover",
members: [ "user:admin@myorganization.com", ] } , ] } }'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/ORGANIZATION_NAME:setIamPolicy

crea le cartelle

Per creare cartelle, devi disporre del ruolo Amministratore cartelle o Creatore cartelle a livello principale. Ad esempio, per creare cartelle a livello di organizzazione, devi disporre di uno di questi ruoli a livello di organizzazione.

Quando crei una cartella, devi assegnarle un nome. I nomi delle cartelle devono soddisfare i seguenti requisiti:

• Il nome può contenere lettere, cifre, spazi, trattini e trattini bassi.
• Il nome visualizzato della cartella deve iniziare e terminare con una lettera o un numero.
• Il nome deve essere compreso tra 3 e 30 caratteri
• Il nome deve essere diverso da tutte le altre cartelle che condividono l'elemento padre.

Per creare una cartella:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

Aggiungere tag durante la creazione della cartella

I tag forniscono un modo per creare annotazioni per le risorse. Puoi aggiungere tag al momento della creazione delle cartelle. Per farlo, devi concedere il ruolo Tag User. Per saperne di più sulle autorizzazioni contenute in questo ruolo, consulta Crea e gestisci i tag. Puoi aggiungere lo spazio dei nomi per le coppie chiave-valore dei tag solo in uno dei seguenti modi:

  gcloud resource-manager folders create \
      --display-name=DISPLAY_NAME \
      --organization=ORGANIZATION_ID\
      --tags=KEY_VALUE_PAIRS

  POST https://cloudresourcemanager.googleapis.com/v3/projects/
  Authorization: *************
  Content-Type: application/json

  {
    "display_name": "our-folder-456",
    "parent": "organizations/123",
    "tags": {
      "key": "123/environment"
      "value": "production"
    },
"tags": {
      "key": "123/costCenter"
      "value": "marketing"
    }
  }

Configurare l'accesso alle cartelle

Per configurare l'accesso alle cartelle, devi disporre del ruolo Amministratore IAM cartella o Folder Admin a livello principale.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

Gestire le operazioni a lunga esecuzione

Alcune operazioni sulle cartelle, come la creazione o la migrazione, vengono elaborate in modo asincrono da Cloud de Confiance by S3NS perché richiedono la propagazione globale. Per evitare di bloccare il terminale o gli script di automazione, puoi utilizzare il flag --async.

Quando viene utilizzato questo flag, il comando restituisce immediatamente un oggetto operazione a lunga esecuzione (LRO). Puoi quindi utilizzare operation_id per verificare il completamento quando preferisci. Il flag --async è supportato solo per i comandi folders create e folders move.

Per utilizzare il flag, segui questi passaggi:

1. Avviare un'attività asincrona. Fai riferimento al seguente comando di esempio:

   gcloud resource-manager folders create \
       --display-name="Test Async Folder" \
       --organization=2518 \
       --async
   

   L'output fornisce un nome operazione (ad es. fc.8572) e mostra done: false.

   Esempio di risposta:

   name: operations/fc.8572
   metadata:
   operation_type: CREATE
   display_name: Awe-Inspiring Async Folder
   destination_parent: organizations/2518
   done: false
   

2. Controlla lo stato dell'operazione. Per verificare se l'attività è stata completata, utilizza il comando operations describe con l'ID fornito nel passaggio precedente.

   gcloud beta resource-manager operations describe fc.8572
   

   Una volta che done è true, il blocco della risposta conterrà tutti i dettagli della risorsa appena creata.

   name: operations/fc.8572
   done: true
   response:
     name: folders/6428
     display_name: Awe-Inspiring Async Folder
     lifecycle_state: ACTIVE
     create_time: '2024-03-20T10:00:00Z'
   

Passaggi successivi

• Scopri di più su come visualizzare e aggiornare le cartelle.
• Scopri di più sulla gestione dei progetti all'interno delle cartelle.
• Scopri di più su ruoli e autorizzazioni per le cartelle.
• Scopri di più sull'elenco di tutte le cartelle e i progetti nella gerarchia delle risorse.