Google Cloud Platform

Google Cloud 조직 리소스 이해하기

Google Cloud Platform (GCP)은 리소스를 계층적으로 구조화하며, 조직 리소스가 기본 계층으로 작용합니다. 이 모델은 기업이 실제 환경에서 팀, 부서 및 프로젝트를 관리하는 방식을 반영합니다. 조직 리소스는 루트 노드 역할을 하여 중앙 집중식 거버넌스를 가능하게 하면서도 개별 단위에 대한 유연성을 제공합니다.

조직 리소스는 도메인이 Google Workspace 또는 Cloud Identity에 연결될 때 자동으로 생성됩니다. 이 연결은 이후의 모든 프로젝트 및 청구 계정이 조직의 정책 및 접근 제어를 상속받도록 보장합니다. 기존 Google Cloud 사용자에게는 새로운 프로젝트나 청구 계정을 생성할 때 조직 리소스가 나타나며, 레거시 프로젝트는 초기에는 "조직 없음" 아래에 나타날 수 있습니다.

조직 리소스의 유형

GCP는 두 가지 뚜렷한 조직 모델을 제공합니다: Cloud Identity 조직과 독립형 조직. 각 모델은 서로 다른 운영 요구 사항과 거버넌스 요구 사항을 충족합니다.

• Cloud Identity 조직은 검증된 도메인이 필요하며 Google Workspace 또는 Cloud Identity 계정에 연결되어 있습니다. 이들은 불가역적인 슈퍼 관리자 소유권 및 Principal Access Boundary (PAB) 정책 지원 등 강력한 거버넌스 기능을 제공합니다. 이러한 조직은 엄격한 규정 준수와 중앙 집중식 관리가 필요한 기업에 적합합니다.
• 독립형 조직은 Cloud Identity가 필요하지 않은 사용자를 위해 설계되었습니다. Google 이메일 주소로 가입할 때 자동으로 생성되며, 계정 소유자에게 조직 소유자 역할을 부여합니다. 이 모델은 연합된 아이덴티티를 조직 소유자로 지정할 수 있어 단일 관리자에 대한 의존도를 줄입니다. 독립형 조직은 여러 소유자를 지원하여 직원 이직과 관련된 위험을 완화합니다.

독립형 조직은 조직을 삭제하고 복원할 수 있는 기능, 표시 이름 변경, 여러 조직에서 기능 테스트를 할 수 있는 추가적인 유연성을 제공합니다. 그러나 이들은 규제 산업에 중요할 수 있는 불가역적인 슈퍼 관리자 소유권과 같은 일부 거버넌스 기능이 부족합니다.

조직 내 리소스 구조화

GCP의 리소스 계층 구조는 조직, 폴더 및 프로젝트라는 세 가지 주요 컨테이너 리소스로 구성됩니다. 이 구조는 세분화된 접근 제어 및 리소스 분리를 가능하게 합니다.

• 조직은 루트 노드 역할을 하며 모든 하위 리소스에 정책을 적용합니다. 이 수준에서 설정된 정책은 폴더와 프로젝트로 전파되어 중복 구성 없이 일관성을 보장합니다.
• 폴더는 프로젝트를 그룹화하기 위한 선택적 레이어를 제공합니다. 이들은 부서, 팀 또는 법인을 분리하면서 중앙 집중식 감독을 유지하는 데 유용합니다. 폴더는 프로젝트와 하위 폴더를 모두 포함할 수 있어 중첩된 계층 구조를 허용합니다.
• 프로젝트는 가상 머신, 데이터베이스 및 AI 작업과 같은 서비스 리소스를 포함하는 기본 수준의 엔티티입니다. 각 프로젝트는 독립적인 단위로 운영되며, 자체 청구 및 접근 제어를 갖습니다.

이 계층적 모델은 관리자가 가장 관련성 높은 수준에서 정책을 적용할 수 있도록 하여 거버넌스를 단순화합니다. 예를 들어, 조직 수준에서 시행된 보안 정책은 모든 프로젝트에 자동으로 적용되어 수동 복제를 제거합니다. 조직 아래에서 생성된 프로젝트는 조직에 계속 연결되어 있어 개별 사용자가 제거되더라도 연속성을 보장합니다.

조직 정책으로 거버넌스 맞춤화하기

GCP의 조직 정책 서비스는 관리자가 리소스에 대한 사용자 정의 제약 조건을 정의하고 시행할 수 있도록 합니다. 이러한 정책은 Vertex AI 훈련 작업에서 특정 필드를 제한하거나 특정 리소스 유형의 생성을 제한하는 등의 운영에 대한 프로그래밍적 제어를 제공합니다.

사용자 정의 제약 조건은 내장 관리 제약 조건을 넘어서는 세분화된 제어를 가능하게 합니다. 예를 들어, 조직은 AI 작업에서 비규정 준수 기계 유형의 사용을 방지하는 규칙을 시행하거나 특정 지역에 대한 접근을 제한할 수 있습니다. 정책은 기본적으로 상속되므로 폴더에 적용된 제약 조건은 자동으로 해당 프로젝트와 하위 폴더로 확장됩니다.

정책 변경은 기존 리소스에 소급 적용되지 않습니다. 새로 시행된 제약 조건은 향후 구성에만 적용되며, 기존 리소스는 정책을 위반하도록 수정되지 않는 한 유효성을 유지합니다. 이는 운영의 연속성을 보장하면서 리소스를 업데이트된 거버넌스 기준에 점진적으로 맞추는 데 도움을 줍니다.

관리자는 Google Cloud 콘솔이나 API를 통해 조직 리소스를 보고 관리할 수 있습니다. 콘솔은 청구 계정, 프로젝트 및 접근 제어를 모니터링하기 위한 시각적 인터페이스를 제공하며, API는 대규모 배포를 위한 프로그래밍적 관리를 가능하게 합니다. 예를 들어, 조직 아래에서 새로운 프로젝트를 생성하는 것은 콘솔의 "리소스 관리" 페이지를 통해 하거나 API에서 `parent` 필드를 조직의 ID로 설정하여 수행할 수 있습니다.