ניהול של כמה משאבים בארגון

המסוף

כדי להוסיף אדמין של הארגון:

1. נכנסים למסוף Cloud de Confiance בתור סופר-אדמין ב-Google Workspace או ב-Cloud Identity ועוברים לדף IAM & Admin:

   פתיחת הדף IAM & admin

2. בוחרים את משאב הארגון שרוצים לערוך:

   1. לוחצים על הרשימה הנפתחת של הפרויקטים בחלק העליון של הדף.

   2. בתיבת הדו-שיח בחירה מתוך, לוחצים על הרשימה הנפתחת של הארגון ובוחרים את המשאב הארגוני שאליו רוצים להוסיף אדמין ארגוני.

   3. ברשימה שמופיעה, לוחצים על משאב הארגון כדי לפתוח את הדף הרשאות IAM שלו.

3. לוחצים על הוספה ומזינים את כתובת האימייל של משתמש אחד או יותר שרוצים להגדיר כמנהלי ארגון.

4. ברשימה הנפתחת Select a role בוחרים באפשרות מנהל המשאבים > Organization Administrator ולוחצים על Save.

   האדמין הארגוני יכול:

   • שליטה מלאה במשאב הארגון. הפרדה של תחומי האחריות בין אדמין על ב-Google Workspace או ב-Cloud Identity לבין Cloud de Confiance אדמין מוגדרת.

   • האצלת אחריות על פונקציות קריטיות באמצעות הקצאת תפקידי IAM רלוונטיים.

המסוף

אפשר ליצור תיקיות בממשק המשתמש באמצעות הקטע 'ניהול פרויקטים ותיקיות'.

1. נכנסים לדף Manage resources במסוף Cloud de Confiance :

   פתיחת הדף Manage resources

2. מוודאים ששם משאב הארגון נבחר ברשימה הנפתחת של הארגון בחלק העליון של הדף.

3. לוחצים על Create folder ובוחרים באחת מהאפשרויות הבאות:

   • תיקייה רגילה: משאב תיקייה רגיל.
   • תיקייה תואמת: תיקייה ב-Assured Workloads, שמספקת אמצעי בקרה נוספים לצורך עמידה בדרישות רגולטוריות, אזוריות או לאומיות עבור משאבי Cloud de Confiance by S3NS . אם תבחרו באפשרות הזו, תועברו אל Assured Workloads כדי ליצור תיקייה.

4. בתיבה שם התיקייה, מזינים את השם החדש של התיקייה.

5. בקטע יעד, לוחצים על עיון, ואז בוחרים את משאב הארגון או התיקייה שרוצים ליצור בתוכם את התיקייה החדשה.

   1. לוחצים על יצירה.

gcloud

אפשר ליצור תיקיות באופן פרוגרמטי באמצעות Google Cloud CLI.

כדי ליצור תיקייה מתחת למשאב הארגון באמצעות כלי שורת הפקודה gcloud, מריצים את הפקודה הבאה.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

כדי ליצור תיקייה שהתיקייה הראשית שלה היא תיקייה אחרת:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫DISPLAY_NAME: השם המוצג של התיקייה. אי אפשר להשתמש באותו שם לתצוגה בשתי תיקיות באותה תיקייה ראשית. השם המוצג חייב להתחיל ולהסתיים באות או בספרה, יכול לכלול אותיות, ספרות, רווחים, מקפים וקווים תחתונים, ואורכו לא יכול להיות יותר מ-30 תווים.
• ‫ORGANIZATION_ID: המזהה של משאב הארגון ההורה, אם ההורה הוא משאב ארגון.
• ‫FOLDER_ID: המזהה של תיקיית ההורה, אם ההורה הוא תיקייה.

API

אפשר ליצור תיקיות באמצעות בקשת API.

קובץ ה-JSON של הבקשה:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

בקשת ה-curl ליצירת תיקייה:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

כאשר:

• ‫DISPLAY_NAME: השם המוצג של התיקייה החדשה, לדוגמה My Awesome Folder.
• ‫ORGANIZATION_NAME: השם של משאב הארגון שמתחתיו אתם יוצרים את התיקייה, לדוגמה organizations/123.

התגובה של יצירת התיקייה:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

בקשת ה-curl של Get Operation:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

התגובה של Get Operation:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

המסוף

1. במסוף Cloud de Confiance , פותחים את הדף Manage Resources.

   פתיחת הדף 'ניהול משאבים'

2. לוחצים על הרשימה הנפתחת ארגון בפינה הימנית העליונה ובוחרים את המשאב הארגוני.

3. מסמנים את התיבה לצד הפרויקט שרוצים לשנות את ההרשאות שלו.

   1. בצד שמאל, בחלונית המידע, בקטע הרשאות, מזינים את כתובות האימייל של החברים שרוצים להוסיף.

   2. ברשימה הנפתחת Select a role, בוחרים את התפקיד שרוצים להקצות לחברים האלה.

   3. לוחצים על הוספה. תוצג התראה לאישור ההוספה או העדכון של התפקיד החדש של החברים.

gcloud

אפשר להגדיר גישה לתיקיות באופן פרוגרמטי באמצעות Google Cloud CLI או API בארכיטקטורת REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

אפשרות אחרת:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

מחליפים את מה שכתוב בשדות הבאים:

• ‫FOLDER_ID: המזהה של התיקייה החדשה
• ‫POLICY_FILE: הנתיב לקובץ מדיניות של התיקייה

API

השיטה setIamPolicy מגדירה את מדיניות בקרת הגישה בתיקייה, ומחליפה כל מדיניות קיימת. השדה resource צריך להיות שם המשאב של התיקייה, למשל folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

בקשת curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

מחליפים את FOLDER_ID בשם התיקייה שמגדירים את מדיניות ה-IAM שלה, לדוגמה folders/123.

המסוף

כדי להסיר את התפקידים שמוקצים למשתמשים כברירת מחדל באמצעות מסוף Cloud de Confiance :

1. נכנסים לדף Manage resources במסוף Cloud de Confiance :

   כניסה לדף Manage resources

2. לוחצים על הרשימה הנפתחת Organization בחלק העליון של הדף ובוחרים את משאב הארגון.

3. מסמנים את תיבת הסימון של המשאב הארגוני שרוצים לשנות את ההרשאות שלו. אם אין לכם משאב תיקייה, לא תוכלו לראות את משאב הארגון. כדי להמשיך, צריך לפעול לפי ההוראות לביטול תפקידים בדף IAM.

4. בחלונית המידע בצד שמאל, בקטע הרשאות, לוחצים כדי להרחיב את התפקיד שממנו רוצים להסיר משתמשים.

5. ברשימת התפקידים המורחבת, לצד חשבון המשתמש שרוצים להסיר מהתפקיד, לוחצים על סמל ההסרה.

6. בתיבת הדו-שיח הסרת חשבון ראשי? שמופיעה, לוחצים על הסרה כדי לאשר את הסרת התפקיד מהחשבון הראשי שצוין.

7. חוזרים על שני השלבים שלמעלה לכל תפקיד שרוצים להסיר.

המסוף

כדי להוסיף אדמין של הארגון:

1. נכנסים למסוף Cloud de Confiance בתור סופר-אדמין ב-Google Workspace או ב-Cloud Identity ועוברים לדף IAM & Admin:

   פתיחת הדף IAM & admin

2. בוחרים את משאב הארגון שרוצים לערוך:

   1. לוחצים על הרשימה הנפתחת של הפרויקטים בחלק העליון של הדף.

   2. בתיבת הדו-שיח בחירה מתוך, לוחצים על הרשימה הנפתחת של הארגון ובוחרים את המשאב הארגוני שאליו רוצים להוסיף אדמין ארגוני.

   3. ברשימה שמופיעה, לוחצים על משאב הארגון כדי לפתוח את הדף הרשאות IAM שלו.

3. לוחצים על הוספה ומזינים את כתובת האימייל של משתמש אחד או יותר שרוצים להגדיר כמנהלי ארגון.

4. ברשימה הנפתחת Select a role בוחרים באפשרות מנהל המשאבים > Organization Administrator ולוחצים על Save.

   האדמין הארגוני יכול:

   • שליטה מלאה במשאב הארגון. הפרדה של תחומי האחריות בין אדמין על ב-Google Workspace או ב-Cloud Identity לבין Cloud de Confiance אדמין מוגדרת.

   • האצלת אחריות על פונקציות קריטיות באמצעות הקצאת תפקידי IAM רלוונטיים.

המסוף

כדי להסיר את התפקידים שמוקצים למשתמשים כברירת מחדל באמצעות מסוף Cloud de Confiance :

1. נכנסים לדף Manage resources במסוף Cloud de Confiance :

   כניסה לדף Manage resources

2. לוחצים על הרשימה הנפתחת Organization בחלק העליון של הדף ובוחרים את משאב הארגון.

3. מסמנים את תיבת הסימון של המשאב הארגוני שרוצים לשנות את ההרשאות שלו. אם אין לכם משאב תיקייה, לא תוכלו לראות את משאב הארגון. כדי להמשיך, צריך לפעול לפי ההוראות לביטול תפקידים בדף IAM.

4. בחלונית המידע בצד שמאל, בקטע הרשאות, לוחצים כדי להרחיב את התפקיד שממנו רוצים להסיר משתמשים.

5. ברשימת התפקידים המורחבת, לצד חשבון המשתמש שרוצים להסיר מהתפקיד, לוחצים על סמל ההסרה.

6. בתיבת הדו-שיח הסרת חשבון ראשי? שמופיעה, לוחצים על הסרה כדי לאשר את הסרת התפקיד מהחשבון הראשי שצוין.

7. חוזרים על שני השלבים שלמעלה לכל תפקיד שרוצים להסיר.

המסוף

אפשר ליצור תיקיות בממשק המשתמש באמצעות הקטע 'ניהול פרויקטים ותיקיות'.

1. נכנסים לדף Manage resources במסוף Cloud de Confiance :

   פתיחת הדף Manage resources

2. מוודאים ששם משאב הארגון נבחר ברשימה הנפתחת של הארגון בחלק העליון של הדף.

3. לוחצים על Create folder ובוחרים באחת מהאפשרויות הבאות:

   • תיקייה רגילה: משאב תיקייה רגיל.
   • תיקייה תואמת: תיקייה ב-Assured Workloads, שמספקת אמצעי בקרה נוספים לצורך עמידה בדרישות רגולטוריות, אזוריות או לאומיות עבור משאבי Cloud de Confiance by S3NS . אם תבחרו באפשרות הזו, תועברו אל Assured Workloads כדי ליצור תיקייה.

4. בתיבה שם התיקייה, מזינים את השם החדש של התיקייה.

5. בקטע יעד, לוחצים על עיון, ואז בוחרים את משאב הארגון או התיקייה שרוצים ליצור בתוכם את התיקייה החדשה.

   1. לוחצים על יצירה.

gcloud

אפשר ליצור תיקיות באופן פרוגרמטי באמצעות Google Cloud CLI.

כדי ליצור תיקייה מתחת למשאב הארגון באמצעות כלי שורת הפקודה gcloud, מריצים את הפקודה הבאה.

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --organization=ORGANIZATION_ID

כדי ליצור תיקייה שהתיקייה הראשית שלה היא תיקייה אחרת:

gcloud resource-manager folders create \
   --display-name=DISPLAY_NAME \
   --folder=FOLDER_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫DISPLAY_NAME: השם המוצג של התיקייה. אי אפשר להשתמש באותו שם לתצוגה בשתי תיקיות באותה תיקייה ראשית. השם המוצג חייב להתחיל ולהסתיים באות או בספרה, יכול לכלול אותיות, ספרות, רווחים, מקפים וקווים תחתונים, ואורכו לא יכול להיות יותר מ-30 תווים.
• ‫ORGANIZATION_ID: המזהה של משאב הארגון ההורה, אם ההורה הוא משאב ארגון.
• ‫FOLDER_ID: המזהה של תיקיית ההורה, אם ההורה הוא תיקייה.

API

אפשר ליצור תיקיות באמצעות בקשת API.

קובץ ה-JSON של הבקשה:

request_json= '{
  display_name: DISPLAY_NAME,
  parent: ORGANIZATION_NAME
}'

בקשת ה-curl ליצירת תיקייה:

curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders

כאשר:

• ‫DISPLAY_NAME: השם המוצג של התיקייה החדשה, לדוגמה My Awesome Folder.
• ‫ORGANIZATION_NAME: השם של משאב הארגון שמתחתיו אתם יוצרים את התיקייה, לדוגמה organizations/123.

התגובה של יצירת התיקייה:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  }
}

בקשת ה-curl של Get Operation:

curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789

התגובה של Get Operation:

{
  "name": "operations/fc.123456789",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
    "displayName": "DISPLAY_NAME",
    "operationType": "CREATE"
  },
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
    "name": "folders/12345",
    "parent": "organizations/123",
    "displayName": "DISPLAY_NAME",
    "lifecycleState": "ACTIVE",
    "createTime": "2017-07-19T23:29:26.018Z",
    "updateTime": "2017-07-19T23:29:26.046Z"
  }
}

המסוף

1. במסוף Cloud de Confiance , פותחים את הדף Manage Resources.

   פתיחת הדף 'ניהול משאבים'

2. לוחצים על הרשימה הנפתחת ארגון בפינה הימנית העליונה ובוחרים את המשאב הארגוני.

3. מסמנים את התיבה לצד הפרויקט שרוצים לשנות את ההרשאות שלו.

   1. בצד שמאל, בחלונית המידע, בקטע הרשאות, מזינים את כתובות האימייל של החברים שרוצים להוסיף.

   2. ברשימה הנפתחת Select a role, בוחרים את התפקיד שרוצים להקצות לחברים האלה.

   3. לוחצים על הוספה. תוצג התראה לאישור ההוספה או העדכון של התפקיד החדש של החברים.

gcloud

אפשר להגדיר גישה לתיקיות באופן פרוגרמטי באמצעות Google Cloud CLI או API בארכיטקטורת REST.

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderEditor

gcloud resource-manager folders \
    add-iam-policy-binding FOLDER_ID \
    --member=user:email1@example.com \
    --role=roles/resourcemanager.folderViewer

אפשרות אחרת:

gcloud resource-manager folders \
    set-iam-policy FOLDER_ID POLICY_FILE

מחליפים את מה שכתוב בשדות הבאים:

• ‫FOLDER_ID: המזהה של התיקייה החדשה
• ‫POLICY_FILE: הנתיב לקובץ מדיניות של התיקייה

API

השיטה setIamPolicy מגדירה את מדיניות בקרת הגישה בתיקייה, ומחליפה כל מדיניות קיימת. השדה resource צריך להיות שם המשאב של התיקייה, למשל folders/1234.

 request_json= '{
   policy: {
     version: "1",
     bindings: [
       {
         role: "roles/resourcemanager.folderEditor",
         members: [
           "user:email1@example.com",
           "user:email2@example.com",
         ]
       }
     ]
   }
 }'

בקשת curl:

   curl -X POST -H "Content-Type: application/json" \
   -H "Authorization: Bearer ${bearer_token}" \
   -d "$request_json" \
   https://cloudresourcemanager.googleapis.com/v3/FOLDER_ID:setIamPolicy

מחליפים את FOLDER_ID בשם התיקייה שמגדירים את מדיניות ה-IAM שלה, לדוגמה folders/123.