조직 리소스는 Google Cloud Platform 리소스 계층 구조에서 하위에 있는 프로젝트 및 폴더의 소유권을 설정합니다.
Google Workspace 또는 Cloud ID 계정은 정확히 하나의 조직 리소스에 연결됩니다. 각 Google Workspace 또는 Cloud ID 계정은 example.com과 같은 기본 도메인에도 연결됩니다. 여러 도메인 사용에 대한 자세한 내용은 사용자 별칭 도메인 또는 보조 도메인 추가하기를 참조하세요. Google Workspace 계정의 기본 도메인 변경에 대한 자세한 내용은 Google Workspace 기본 도메인 변경하기를 참조하세요.
대부분의 사용 사례에서는 조직 리소스 하위에 있는 폴더를 사용하는 것이 가장 좋습니다. 회사 내의 하위 조직 또는 부서를 중앙 관리가 없는 독립된 항목으로 유지하려면 여러 Google Workspace 또는 Cloud ID 계정을 설정하면 됩니다. 각 계정에는 기본 도메인과 연결된 단일 조직 리소스가 제공됩니다.
여러 조직 리소스 사용의 효과
하나의 Google Workspace 또는 Cloud ID 계정의 사용자가 다른 Google Workspace 또는 Cloud ID 계정의 사용자가 만든 리소스에 액세스하지 못하게 하려면 여러 조직 리소스를 사용하세요. 그러나 리소스를 여러 조직 리소스로 분리하면 다음과 같은 몇 가지 결과가 발생합니다.
기본적으로 단일 사용자가 모든 리소스에 대한 중앙 집중식 가시성 및 제어권을 확보할 수 없습니다.
하위 조직에 공통적인 정책을 각 조직 리소스에 복제해야 합니다.
폴더를 한 조직 리소스에서 다른 조직 리소스로 이동하는 작업은 지원되지 않습니다. 여기에 있는 가이드에 따라 프로젝트를 한 조직 리소스에서 다른 조직 리소스로 이동할 수 있습니다.
각 조직 리소스에는 Google Workspace 계정이 필요합니다. 따라서 여러 조직 리소스를 운영하려면 여러 개의 Google Workspace 계정이 필요하며 이러한 여러 계정을 통해 ID를 관리할 수 있어야 합니다.
단일 조직 리소스 사용
별도의 하위 조직을 유지하려는 대부분의 조직은 단일 조직 리소스 및 폴더를 사용하여 하위 조직을 별도로 유지관리할 수 있습니다. 단일 Google Workspace 계정이 있는 경우 이 계정은 조직 리소스에 매핑되고 하위 조직은 폴더에 매핑됩니다.
조직 관리자 선택
조직 리소스의 IAM 조직 관리자 역할을 수행할 사용자를 한 명 이상 선택합니다.
콘솔
조직 관리자를 추가하려면 다음 절차를 따르세요.
Google Cloud 콘솔에 Google Workspace 또는 Cloud ID 최고 관리자로 로그인하고 IAM 및 관리자 페이지로 이동합니다.
수정할 조직 리소스를 선택합니다.
페이지 상단의 프로젝트 드롭다운 목록을 클릭합니다.
다음 조직에서 선택 대화상자에서 조직 드롭다운 목록을 클릭하고 조직 관리자를 추가할 조직 리소스를 선택합니다.
나타나는 목록에서 조직 리소스를 클릭하여 IAM 권한 페이지를 엽니다.
추가를 클릭한 다음 조직 관리자로 설정할 1명 이상의 사용자 이메일 주소를 입력합니다.
역할 선택 드롭다운 목록에서 Resource Manager> 조직 관리자를 선택한 다음 저장을 클릭합니다.
조직 관리자는 다음 작업을 수행할 수 있습니다.
조직 리소스를 완전히 제어합니다. Google Workspace 또는 Cloud ID 최고 관리자와 Google Cloud 관리자 간의 책임을 분리합니다.
관련 IAM 역할을 할당하여 중요한 기능에 대한 책임을 위임합니다.
하위 조직에 폴더 만들기
각 하위 조직의 조직 리소스 아래에 폴더를 만듭니다.
폴더를 만들려면 상위 수준의 폴더 관리자 또는 폴더 생성자 역할이 있어야 합니다. 예를 들어 조직 수준에서 폴더를 만들려면 조직 수준에 이러한 역할 중 하나가 있어야 합니다.
폴더를 만드는 과정에서 폴더에 이름을 지정해야 합니다. 폴더 이름은 다음 요구 사항을 충족해야 합니다.
- 이름은 문자, 숫자, 공백, 하이픈, 밑줄을 포함할 수 있습니다.
- 폴더의 표시 이름은 문자 또는 숫자로 시작하고 끝나야 합니다.
- 이름은 3~30자(영문 기준) 사이여야 합니다.
- 이름은 상위 항목을 공유하는 다른 모든 폴더와 구분되어야 합니다.
폴더를 만드는 방법은 다음과 같습니다.
콘솔
'프로젝트 및 폴더 관리' 섹션을 사용하여 UI에서 폴더를 만들 수 있습니다.
Google Cloud 콘솔에서 리소스 관리 페이지로 이동합니다.
페이지 상단의 조직 드롭다운 목록에서 조직 리소스 이름이 선택되어 있는지 확인합니다.
폴더 만들기를 클릭하고 다음 옵션 중 하나를 선택합니다.
- 표준 폴더: 표준 폴더 리소스입니다.
- 규정 준수 폴더: Google Cloud 리소스에 대해 추가적인 규제, 리전 또는 주권 제어를 제공하는 Assured Workloads 폴더입니다. 이 옵션을 선택하면 Assured Workloads로 이동하여 폴더를 만듭니다.
폴더 이름 상자에 새 폴더의 이름을 입력합니다.
대상 아래에서 찾아보기를 클릭한 다음 새 폴더를 만들 조직 리소스 또는 폴더를 선택합니다.
- 만들기를 클릭합니다.
gcloud
Google Cloud CLI를 사용하여 프로그래매틱 방식으로 폴더를 만들 수 있습니다.
gcloud 명령줄 도구를 사용하여 조직 리소스 아래에 폴더를 만들려면 다음 명령어를 실행합니다.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
상위 항목이 다른 폴더인 폴더를 만들려면 다음 명령어를 실행합니다
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
각 항목의 의미는 다음과 같습니다.
[DISPLAY_NAME]은 폴더의 표시 이름입니다. 상위 요소가 동일한 두 개의 폴더는 표시 이름을 공유할 수 없습니다. 표시 이름은 문자 또는 숫자로 시작하고 끝나야 하며 문자, 숫자, 공백, 하이픈, 밑줄을 포함할 수 있고 30자를 초과할 수 없습니다.[ORGANIZATION_ID]는 상위 요소가 조직 리소스인 경우 상위 조직 리소스의 ID입니다.[FOLDER_ID]는 상위 요소가 폴더인 경우 상위 폴더의 ID입니다.
API
폴더는 API 요청으로 만들 수 있습니다.
요청 JSON:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
폴더 생성 curl 요청:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
각 항목의 의미는 다음과 같습니다.
[DISPLAY_NAME]은 새 폴더의 표시 이름입니다(예: 'My Awesome Folder').[ORGANIZATION_NAME]은 폴더를 만드는 조직 리소스의 이름입니다(예:organizations/123).
폴더 생성 응답:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
작업 가져오기 curl 요청:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
작업 가져오기 응답:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
폴더 관리자 역할 부여
생성하는 각 하위 조직 폴더에 한 명 이상의 사용자에게 폴더 관리자 역할을 부여합니다. 이러한 사용자는 폴더 및 해당 폴더가 나타내는 하위 조직에 대해 관리 권한을 가집니다.
폴더에 대한 액세스를 구성하려면 상위 수준에 폴더 IAM 관리자 또는 폴더 관리자 역할이 있어야 합니다.
콘솔
Google Cloud 콘솔에서 리소스 관리 페이지를 엽니다.
왼쪽 상단의 조직 드롭다운 목록을 클릭한 다음 조직 리소스를 선택합니다.
권한을 변경할 프로젝트 옆에 있는 체크박스를 선택합니다.
오른쪽 정보 패널의 권한 아래에 추가할 구성원의 이메일 주소를 입력합니다.
역할 선택 드롭다운 목록에서 해당 구성원에게 부여할 역할을 선택합니다.
추가를 클릭합니다. 구성원의 새로운 역할 추가 또는 업데이트를 확인하는 알림이 나타납니다.
gcloud
Google Cloud CLI 또는 API를 사용하여 프로그래매틱 방식으로 폴더에 대한 액세스를 구성할 수 있습니다.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
다른 방법은 다음과 같습니다.
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
각 항목의 의미는 다음과 같습니다.
[FOLDER_ID]는 새 폴더의 ID입니다.[POLICY_FILE]은 폴더에 대한 정책 파일의 경로입니다.
API
setIamPolicy 메서드는 폴더에 대한 액세스 제어 정책을 설정하여 모든 기존 정책을 대체합니다. resource 필드는 폴더의 리소스 이름이어야 합니다(예: folders/1234).
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
curl 요청:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
각 항목의 의미는 다음과 같습니다.
[FOLDER_NAME]은 IAM 정책을 설정하는 폴더의 이름입니다(예: folders/123).
하위 조직 역할 제한
각 폴더 관리자는 프로젝트 생성자 역할을 하위 조직의 구성원으로 제한할 수 있습니다. 또한 조직 리소스의 IAM 정책에 있는 프로젝트 생성자 역할에서 도메인을 삭제할 수 있습니다.
Google Workspace 최고 관리자에게는 취소 불가능한 조직 관리자 권한이 있습니다. 이러한 최고 관리자는 일반적으로 Google Cloud 리소스 및 리소스 정책을 관리하는 대신 ID 및 ID 정책을 관리합니다.
콘솔
Google Cloud 콘솔을 사용하여 기본적으로 사용자에게 할당된 역할을 삭제하려면 다음 단계를 따르세요.
Google Cloud 콘솔에서 리소스 관리 페이지로 이동합니다.
페이지 상단의 조직 드롭다운 목록을 클릭한 다음 조직 리소스를 선택합니다.
권한을 변경할 조직 리소스의 체크박스를 선택합니다. 폴더 리소스가 없으면 조직 리소스가 표시되지 않습니다. 계속하려면 IAM 페이지에서 역할 취소에 대한 안내를 확인하세요.
오른쪽 정보 패널의 권한에서 사용자를 삭제할 역할을 클릭해 펼칩니다.
펼쳐진 역할 목록에서 삭제할 주 구성원 옆에 있는 삭제를 클릭합니다.
주 구성원을 삭제하시겠어요? 대화상자가 나타나면 삭제를 클릭하여 지정된 주 구성원에서 역할을 삭제합니다.
삭제하려는 각 역할에 대해 위의 두 단계를 반복합니다.
예
아래 다이어그램은 폴더를 사용하여 두 부서를 구분한 조직을 보여줍니다. 엔지니어링 및 재무 부서의 책임자는 관리 권한을 갖고 있으며 다른 사용자는 프로젝트를 만들 수 없습니다.
기본 조직 리소스 하위의 여러 조직 관리
조직에 여러 개의 Google Workspace 계정이 있는 경우 기본적으로 여러 개의 조직 리소스가 있습니다. 중앙 집중식 가시성 및 제어권을 유지하려면 조직 리소스 하나를 기본 조직 리소스로 선택해야 합니다. 기본 조직 리소스와 연결된 Google Workspace 계정의 최고 관리자는 모든 리소스에 대한 관리 권한을 가집니다(다른 Google Workspace 계정의 사용자가 만든 리소스 포함). 이러한 Google Workspace 계정의 사용자는 기본 조직 리소스 아래에 있는 폴더에 대한 액세스 권한이 부여받고 여기에 프로젝트를 만들 수 있게 됩니다.
조직 관리자 선택
조직 리소스의 IAM 조직 관리자 역할을 수행할 사용자를 한 명 이상 선택합니다.
콘솔
조직 관리자를 추가하려면 다음 절차를 따르세요.
Google Cloud 콘솔에 Google Workspace 또는 Cloud ID 최고 관리자로 로그인하고 IAM 및 관리자 페이지로 이동합니다.
수정할 조직 리소스를 선택합니다.
페이지 상단의 프로젝트 드롭다운 목록을 클릭합니다.
다음 조직에서 선택 대화상자에서 조직 드롭다운 목록을 클릭하고 조직 관리자를 추가할 조직 리소스를 선택합니다.
나타나는 목록에서 조직 리소스를 클릭하여 IAM 권한 페이지를 엽니다.
추가를 클릭한 다음 조직 관리자로 설정할 1명 이상의 사용자 이메일 주소를 입력합니다.
역할 선택 드롭다운 목록에서 Resource Manager> 조직 관리자를 선택한 다음 저장을 클릭합니다.
조직 관리자는 다음 작업을 수행할 수 있습니다.
조직 리소스를 완전히 제어합니다. Google Workspace 또는 Cloud ID 최고 관리자와 Google Cloud 관리자 간의 책임을 분리합니다.
관련 IAM 역할을 할당하여 중요한 기능에 대한 책임을 위임합니다.
프로젝트 생성자 역할 삭제
다른 조직 리소스에서 리소스가 생성되지 않도록 하려면 조직 리소스에서 프로젝트 생성자 역할을 삭제합니다.
콘솔
Google Cloud 콘솔을 사용하여 기본적으로 사용자에게 할당된 역할을 삭제하려면 다음 단계를 따르세요.
Google Cloud 콘솔에서 리소스 관리 페이지로 이동합니다.
페이지 상단의 조직 드롭다운 목록을 클릭한 다음 조직 리소스를 선택합니다.
권한을 변경할 조직 리소스의 체크박스를 선택합니다. 폴더 리소스가 없으면 조직 리소스가 표시되지 않습니다. 계속하려면 IAM 페이지에서 역할 취소에 대한 안내를 확인하세요.
오른쪽 정보 패널의 권한에서 사용자를 삭제할 역할을 클릭해 펼칩니다.
펼쳐진 역할 목록에서 삭제할 주 구성원 옆에 있는 삭제를 클릭합니다.
주 구성원을 삭제하시겠어요? 대화상자가 나타나면 삭제를 클릭하여 지정된 주 구성원에서 역할을 삭제합니다.
삭제하려는 각 역할에 대해 위의 두 단계를 반복합니다.
Google Workspace 계정의 폴더 만들기
각 Google Workspace 계정의 조직 리소스 아래에 폴더를 만듭니다.
폴더를 만들려면 상위 수준의 폴더 관리자 또는 폴더 생성자 역할이 있어야 합니다. 예를 들어 조직 수준에서 폴더를 만들려면 조직 수준에 이러한 역할 중 하나가 있어야 합니다.
폴더를 만드는 과정에서 폴더에 이름을 지정해야 합니다. 폴더 이름은 다음 요구 사항을 충족해야 합니다.
- 이름은 문자, 숫자, 공백, 하이픈, 밑줄을 포함할 수 있습니다.
- 폴더의 표시 이름은 문자 또는 숫자로 시작하고 끝나야 합니다.
- 이름은 3~30자(영문 기준) 사이여야 합니다.
- 이름은 상위 항목을 공유하는 다른 모든 폴더와 구분되어야 합니다.
폴더를 만드는 방법은 다음과 같습니다.
콘솔
'프로젝트 및 폴더 관리' 섹션을 사용하여 UI에서 폴더를 만들 수 있습니다.
Google Cloud 콘솔에서 리소스 관리 페이지로 이동합니다.
페이지 상단의 조직 드롭다운 목록에서 조직 리소스 이름이 선택되어 있는지 확인합니다.
폴더 만들기를 클릭하고 다음 옵션 중 하나를 선택합니다.
- 표준 폴더: 표준 폴더 리소스입니다.
- 규정 준수 폴더: Google Cloud 리소스에 대해 추가적인 규제, 리전 또는 주권 제어를 제공하는 Assured Workloads 폴더입니다. 이 옵션을 선택하면 Assured Workloads로 이동하여 폴더를 만듭니다.
폴더 이름 상자에 새 폴더의 이름을 입력합니다.
대상 아래에서 찾아보기를 클릭한 다음 새 폴더를 만들 조직 리소스 또는 폴더를 선택합니다.
- 만들기를 클릭합니다.
gcloud
Google Cloud CLI를 사용하여 프로그래매틱 방식으로 폴더를 만들 수 있습니다.
gcloud 명령줄 도구를 사용하여 조직 리소스 아래에 폴더를 만들려면 다음 명령어를 실행합니다.
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--organization=[ORGANIZATION_ID]
상위 항목이 다른 폴더인 폴더를 만들려면 다음 명령어를 실행합니다
gcloud resource-manager folders create \
--display-name=[DISPLAY_NAME] \
--folder=[FOLDER_ID]
각 항목의 의미는 다음과 같습니다.
[DISPLAY_NAME]은 폴더의 표시 이름입니다. 상위 요소가 동일한 두 개의 폴더는 표시 이름을 공유할 수 없습니다. 표시 이름은 문자 또는 숫자로 시작하고 끝나야 하며 문자, 숫자, 공백, 하이픈, 밑줄을 포함할 수 있고 30자를 초과할 수 없습니다.[ORGANIZATION_ID]는 상위 요소가 조직 리소스인 경우 상위 조직 리소스의 ID입니다.[FOLDER_ID]는 상위 요소가 폴더인 경우 상위 폴더의 ID입니다.
API
폴더는 API 요청으로 만들 수 있습니다.
요청 JSON:
request_json= '{
display_name: DISPLAY_NAME,
parent: ORGANIZATION_NAME
}'
폴더 생성 curl 요청:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/folders
각 항목의 의미는 다음과 같습니다.
[DISPLAY_NAME]은 새 폴더의 표시 이름입니다(예: 'My Awesome Folder').[ORGANIZATION_NAME]은 폴더를 만드는 조직 리소스의 이름입니다(예:organizations/123).
폴더 생성 응답:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
}
}
작업 가져오기 curl 요청:
curl -H "Authorization: Bearer ${bearer_token}" \
https://cloudresourcemanager.googleapis.com/v3/operations/fc.123456789
작업 가져오기 응답:
{
"name": "operations/fc.123456789",
"metadata": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.FolderOperation",
"displayName": "[DISPLAY_NAME]",
"operationType": "CREATE"
},
"done": true,
"response": {
"@type": "type.googleapis.com/google.cloud.resourcemanager.v3.Folder",
"name": "folders/12345",
"parent": "organizations/123",
"displayName": "[DISPLAY_NAME]",
"lifecycleState": "ACTIVE",
"createTime": "2017-07-19T23:29:26.018Z",
"updateTime": "2017-07-19T23:29:26.046Z"
}
}
폴더 관리자 역할 부여
생성된 각 폴더에 대해 한 명 이상의 사용자에게 폴더 관리자 역할을 부여합니다. 이러한 사용자는 폴더 및 해당 폴더가 나타내는 하위 조직에 대해 관리 권한을 위임 받습니다.
폴더에 대한 액세스를 구성하려면 상위 수준에 폴더 IAM 관리자 또는 폴더 관리자 역할이 있어야 합니다.
콘솔
Google Cloud 콘솔에서 리소스 관리 페이지를 엽니다.
왼쪽 상단의 조직 드롭다운 목록을 클릭한 다음 조직 리소스를 선택합니다.
권한을 변경할 프로젝트 옆에 있는 체크박스를 선택합니다.
오른쪽 정보 패널의 권한 아래에 추가할 구성원의 이메일 주소를 입력합니다.
역할 선택 드롭다운 목록에서 해당 구성원에게 부여할 역할을 선택합니다.
추가를 클릭합니다. 구성원의 새로운 역할 추가 또는 업데이트를 확인하는 알림이 나타납니다.
gcloud
Google Cloud CLI 또는 API를 사용하여 프로그래매틱 방식으로 폴더에 대한 액세스를 구성할 수 있습니다.
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderEditor
gcloud resource-manager folders \
add-iam-policy-binding [FOLDER_ID] \
--member=user:email1@example.com \
--role=roles/resourcemanager.folderViewer
다른 방법은 다음과 같습니다.
gcloud resource-manager folders \
set-iam-policy [FOLDER_ID] [POLICY_FILE]
각 항목의 의미는 다음과 같습니다.
[FOLDER_ID]는 새 폴더의 ID입니다.[POLICY_FILE]은 폴더에 대한 정책 파일의 경로입니다.
API
setIamPolicy 메서드는 폴더에 대한 액세스 제어 정책을 설정하여 모든 기존 정책을 대체합니다. resource 필드는 폴더의 리소스 이름이어야 합니다(예: folders/1234).
request_json= '{
policy: {
version: "1",
bindings: [
{
role: "roles/resourcemanager.folderEditor",
members: [
"user:email1@example.com",
"user:email2@example.com",
]
}
]
}
}'
curl 요청:
curl -X POST -H "Content-Type: application/json" \
-H "Authorization: Bearer ${bearer_token}" \
-d "$request_json" \
https://cloudresourcemanager.googleapis.com/v3/[FOLDER_NAME]:setIamPolicy
각 항목의 의미는 다음과 같습니다.
[FOLDER_NAME]은 IAM 정책을 설정하는 폴더의 이름입니다(예: folders/123).
그런 다음 각 폴더 관리자는 사용자에게 연결된 도메인의 프로젝트 생성자 역할을 부여할 수 있습니다.
예
아래 다이어그램은 획득한 보조 도메인에서 격리된 기본 도메인이 있는 조직을 보여줍니다. 두 도메인에는 각각 자체 Google Workspace 계정이 있으며 hypothetical.com은 기본 조직 리소스입니다.