Google Cloud 리소스 계층 구조는 클라우드 리소스를 체계적으로 구성하는 방법을 제공합니다. 계층 구조에서 최상위 리소스를 제외한 모든 리소스는 단 하나의 상위 요소만을 가집니다. 계층 구조는 맨 위에 조직 (루트)이 있고, 그 아래에 그룹화를 위한 폴더 (선택사항)가 있으며, 그 아래에 Compute Engine 가상 머신 및 스토리지 버킷과 같은 실제 서비스 리소스가 포함된 프로젝트가 있습니다.
구조화된 계층 구조를 사용하면 다음과 같은 이점이 있습니다.
- 소유권: 리소스의 수명 주기를 직계 상위 요소에 바인딩��니다. 프로젝트는 ���������트를 만든 개별 직원이 아닌 조직에 속합니다. 직원이 퇴사해도 프로젝트는 활성 상태로 안전하게 유지됩니다.
- 상속: 계층 구조를 따라 전달되는 액세스 제어 및 조직 정책의 연결 지점을 제공합니다. 상위 수준(예: 조직 또는 폴더)에서 역할을 부여할 수 있습니다. 이러한 역할은 모든 하위 리소스에 상속되므로 개별 프로젝트마다 권한을 수동으로 구성할 필요가 줄어듭니다.
다음 다이어그램은 Google Cloud 리소스 계층 구조를 보여줍니다.
조직 리소스
조직 리소스는 항목 (예: 회사)을 나타내며Google Cloud 리소스 계층 구조의 루트 노드 역할을 합니다. 다음과 같은 주요 기능을 제공합니다.
- 조직은 모든 폴더 및 프로젝트 리소스의 상위 요소 역할을 합니다.
- 이 수준에서 적용되는 액세스 제어 정책 (예: Identity and Access Management (IAM) 역할) 및 조직 정책은 조직의 모든 리소스에 상속됩니다.
- 모든 Google Cloud 사용자에게 반드시 필요한 것은 아니지만 특정 Resource Manager 기능을 사용하려면 조직 리소스가 필요합니다.
Google Workspace 또는 Cloud ID 계정과의 연결
Google Workspace 또는 Cloud ID 계정은 조직 리소스에 액세스하기 위한 기본 요건입니다.
- Google Workspace 또는 Cloud ID 계정은 조직 리소스 하나에만 연결될 수 있습니다.
- Google Workspace 또는 Cloud ID 계정을 가진 사용자가 Google Cloud 프로젝트 리소스를 만들면 조직 리소스가 자동으로 프로비저닝됩니다.
다음 이미지는 Google Workspace 계정, Cloud ID, Google Cloud 리소스 계층 구조 간의 연결을 보여줍니다.
Google Workspace 최고 관리자는 복구 시 도메인 소유권 확인 및 연락 담당자입니다. 이러한 이유로 Google Workspace 최고 관리자에게는 기본적으로 IAM 역할을 할당할 수 있는 권한이 부여됩니다. Google Cloud 와 관련하여 Google Workspace 최고 관리자의 주요 업무는 조직 관리자 IAM 역할을 해당 도메인의 적절한 사용자에게 할당하는 것입니다. 이렇게 하��� ���반적으로 사용자가 원하는 Google Workspace와 Google Cloud관리 책임이 분리됩니다.
관리 사용자의 프로젝트 생성 규칙
도메인에 조직 리소스가 있으면 프로젝트 생성에 엄격한 규칙이 적용됩니다.
- 관리 사용자 (계정 도메인의 구성원)는 조직 내에서 프로젝트를 만들어야 합니다. 조직 리소스와 연결된 계정은 조직 리소스와 연결되지 않은 프로젝트 리소스를 만들 수 없습니다.
- 기본적으로 새 프로젝트는 사용자와 연결된 조직에 속합니다.
- 사용자에게 적절한 권한이 있으면 프로젝트 생성 중에 다른 조직 리소스를 지정할 수 있습니다. 그렇지 않으면 기본적으로 홈 조직으로 설정됩니다.
조직 리소스의 이점
조직 리소스가 있으면 프로젝트 리소스는 프로젝트를 만든 직원이 아닌 조직에 속하게 됩니다. 즉, 직원이 퇴사해도 조직에서 프로젝트 리소스를 유지합니다. 프로젝트 리소스는 Google Cloud에서 조직 리소스의 수명 주기를 따릅니다.
또한 조직 관리자는 모든 리소스를 중앙에서 제어합니다. 또한 회사의 모든 프로젝트 리소스를 보고 관리할 수 있습니다. 이렇게 하면 비공식 프로젝트 또는 확인되지 않은 관리자가 있을 수 없습니다.
또한 조직 리소스의 모든 프로젝트 및 폴더 리소스에 상속되는 역할을 조직 수준에서 부여할 수 있습니다. 예를 들어 조직 수준에서 네트워킹 팀에 네트워크 관리자 역할을 부여할 수 있습니다. 그러면 각 개별 프로젝트 리소스에 대한 역할을 부여하지 않고도 회사의 모든 프로젝트 리소스에서 모든 네트워크를 관리하도록 할 수 있습니다.
조직 리소스는 다음 속성으로 정의됩니다.
- 조직의 고유한 식별자인 조직 리소스 ID
- Google Workspace 또는 Cloud ID의 기본 도메인 이름에서 생성되는 표시 이름
- 조직 생성 시간
- 조직의 마지막 수정 시간
- 조직 리소스의 소유자이며, Directory API의 Google Workspace 고객 ID입니다. 조직 리소스를 만들 때 소유자를 지정하며, 소유자는 변경할 수 없습니다.
다음 코드 스니펫은 조직 리소스의 구조를 보여줍니다.
{
"creationTime": "2020-01-07T21:59:43.314Z",
"displayName": "my-organization",
"lifecycleState": "ACTIVE",
"name": "organizations/34739118321",
"owner": {
"directoryCustomerId": "C012ba234"
}
}
새 조직 리소스의 초기 허용 정책은 프로젝트 생성자 및 결제 계정 생성자 역할을 전체 Google Workspace 도메인에 부여합니다. 즉, 사용자는 조직 리소스가 있기 전과 같이 프로젝트 리소스와 결제 계정을 계속 만들 수 있습니다. 조직 리소스를 만들 때 다른 리소스는 만들어지지 않습니다. 허용, 거부, 조직 정책은 계층 구조를 통�� 상속되며, 계층 구조에서 각 리소스의 유효 정책은 해당 리소스에 직접 적용된 정책과 상위 항목에서 상속된 정책의 결과입니다.
폴더 리소스
폴더 리소스는 조직 리소스와 프로젝트 리소스 간의 선택적 그룹화 메커니즘입니다. 폴더를 사용하려면 조직 리소스가 필요합니다. 폴더 리소스와 하위 프로젝트 리소스는 조직 리소스 아래에 있습니다.
폴더 리소스는 프로젝트 간에 격리 경계를 제공할 수 있습니다. 폴더는 조직 리소스 내에서 하위 조직으로 작동합니다. 폴더 리소스는 회사 내의 다양한 법인, 부서, 팀을 모델링할 수 있습니다. 예를 들어 폴더의 첫 번째 수준은 조직의 주요 부서를 나타낼 수 있습니다. 폴더에는 프로젝트와 다른 폴더가 포함될 수 있으므로 각 폴더에는 다른 팀을 나타내는 하위 폴더가 포함될 수 있습니다. 각 팀 폴더는 다른 애플리케이션을 나타내는 추가적인 하위 폴더를 포함할 수 있습니다. 폴더 리소스 사용에 대한 자세한 내용은 폴더 만들기를 참조하세요.
조직 리소스에 폴더 리소스가 있고 적절한 보기 권한이 있으면 Google Cloud 콘솔에서 폴더 리소스를 볼 수 있습니다. 자세한 내용은 폴더 보기, 업데이트, 삭제를 참조하세요.
폴더 리소스를 사용하면 관리 권한을 위임할 수 있습니다. 예를 들어 각 부서 책임자에게 해당 부서의 모든 Google Cloud 리소스에 대한 완전한 소유권을 부여할 수 있습니다. 마찬가지로 폴더 리소스는 리소스에 대한 액세스를 제한할 수 있습니다. 즉, 한 부서의 사용자는 해당 폴더 리소스 내에서만 Google Cloud리소스에 액세스하고 만들 수 있습니다.
다음 코드 스니펫은 폴더 리소스의 구조를 보여줍니다.
{
"createTime": "2030-01-07T21:59:43.314Z",
"displayName": "Engineering",
"lifecycleState": "ACTIVE",
"name": "folders/634792535758",
"parent": "organizations/34739118321"
}
조직 및 프로젝트 리소스와 마찬가지로 폴더 리소스도 허용, 거부, 조직 정책의 정책 상속 지점 역할을 합니다. 폴더 리소스에 부여된 IAM 역할은 해당 폴더의 모든 프로젝트 및 폴더 리소스에 상속됩니다.
프로젝트 리소스
프로젝트 리소스는 기본 구성 항목입니다. 조직 및 폴더 리소스에는 여러 프로젝트가 포함될 수 있습니다. Google Cloud를 사용하려면 프로젝트 리소스가 필요합니다. 모든Google Cloud 서비스 생성, 사용 설정, 사용, API 관리, 결제 사용 설정, 공동작업자 추가 및 삭제, 권한 관리에 필수적입니다.
모든 프로젝트 리소스는 다음으로 구성됩니다.
- 식별자 2개:
- 프로젝트 리소스의 고유 식별자인 프로젝트 리소스 ID
- 프로젝트를 만들 때 자동으로 할당되는 프로젝트 리소스 번호. 읽기 전용입니다.
- 변경 가능한 표시 이름 1개
- 프로젝트 리소스의 수명 주기 상태(예: ACTIVE 또는 DELETE_REQUESTED)
- 프로젝트를 필터링하는 데 사용할 수 있는 라벨 컬렉션
- 프로젝트 리소스가 생성된 시간
다음 코드 스니펫은 프로젝트 리소스의 구조를 보여줍니다.
{
"createTime": "2020-01-07T21:59:43.314Z",
"lifecycleState": "ACTIVE",
"name": "my-project",
"parent": {
"id": "634792535758",
"type": "folder"
},
"projectId": "my-project",
"labels": {
"my-label": "prod"
},
"projectNumber": "464036093014"
}
대부분의 Google Cloud 리소스와 상호작용하려면 모든 요청에 대해 프로젝트 리소스 식별자를 제공해야 합니다. 프로젝트 리소스는 프로젝트 리소스 ID 또는 프로젝트 리소스 번호로 식별할 수 있습니다. 코드 스니펫에서 이러한 값은 projectId 및 projectNumber입니다.
프로젝트 리소스 ID는 프로젝트를 만들 때 선택하는 맞춤설정된 이름입니다. 프로젝트가 필요한 API를 활성화하면 프로젝트 리소스 ID를 사용하여 새 프로젝트를 만들거나 기존 프로젝트를 선택할 수 있습니다. UI에 표시되는 name 문자열은 프로젝트 리소스 ID와 동일하지 않습니다.
Google Cloud 는 프로젝트 리소스 번호를 자동으로 생성합니다.Google Cloud 콘솔의 프로젝트 대시보드에서 프로젝트 리소스 ID와 번호를 찾을 수 있습니다. 프로젝트 리소스에 대한 프로젝트 식별자 및 기타 관리 작업을 가져오는 방법은 프로젝트 만들기를 참조하세요.
새로 만든 프로젝트 리소스의 초기 IAM 정책은 소유자 역할을 프로젝트 생성자에게 부여합니다.
무료 체험판 사용자, 무료 등급 사용자, Google Workspace 및 Cloud ID 고객을 포함한 모든 사용자가 프로젝트 리소스를 만들 수 있습니다. Google Cloud 무료 프로그램 사용자는 프로젝트 내에서 프로젝트 리소스 및 서비스 리소스만 만들 수 있습니다. 프로젝트 리소스는 계층 구조의 최상위 요소일 수 있지만 무료 체험판 사용자 또는 무료 등급 사용자가 만든 경우에만 해당됩니다. Google Workspace 및 Cloud ID 고객은 조직 및 폴더 리소스와 같은 Google Cloud 리소스 계층 구조의 추가 기능에 액세스할 수 있습니다. Cloud ID 개요에서 자세히 알아보세요. 계층 구조의 맨 위에 있는 프로젝트 리소스에는 상위 리소스가 없지만 도메인에 생성된 리소스는 조직 리소스로 마이그레이션할 수 있습니다. 프로젝트 리소스 마이그레이션에 대한 자세한 내용은 조직 리소스 간에 프로젝트 마이그레이션을 참조하세요.
다음 단계
- Google Cloud 리소스 계층 구조를 만드는 방법 알아보기
- 관리 경계 및 기능 구성에 대해 알아보기
- 계층 구조의 모든 프로젝트, 폴더, 조직을 나열하는 방법 알아보기