En esta guía, se describe cómo usar la API de análisis de movimiento Cloud Asset Inventory para obtener un informe detallado sobre las advertencias y los bloqueadores de una lista de sistemas de políticas esenciales antes de mover el proyecto.
Habilitar API
Selecciona o crea un proyecto como tu proyecto consumidor de la API y habilita la API de Cloud Asset.
Este proyecto de consumidor puede ser diferente del proyecto que planeas analizar y migrar. El proyecto del consumidor se usará para generar credenciales y realizar una solicitud a la API.
En la siguiente sección, se describen las funciones y los permisos necesarios que se deben otorgar en el proyecto de origen que planeas analizar.
Asignación de permisos
Para realizar un análisis de movimiento de proyectos, necesitas una función que otorgue el permiso cloudasset.assets.analyzeMove
, como Visualizador de recursos de Cloud o Visualizador.
Para recibir análisis de un servicio, también necesitas roles relacionados con esos servicios. Estos permisos incluyen lo siguiente:
Si deseas ver las políticas de IAM heredadas del recurso de la organización superior del proyecto de origen, necesitas el permiso
resourcemanager.organizations.getIamPolicy
en el recurso de organización superior del proyecto de origen.Si deseas ver las políticas de IAM heredadas desde la carpeta superior del proyecto de origen, necesitas el permiso
resourcemanager.folders.getIamPolicy
en la carpeta superior del proyecto de origen.Si deseas ver las políticas de IAM en el proyecto, necesitas el permiso
resourcemanager.projects.getIamPolicy
en el proyecto de origen.Si deseas ver las políticas de la organización que se heredan en este proyecto, necesitas el permiso
orgpolicy.policy.get
en el proyecto de origen.Si deseas ver las políticas de firewall de Compute Engine que se heredan en este proyecto, necesitas el permiso
compute.organizations.setSecurityPolicy
en la carpeta de origen o en el recurso de la organización.Si deseas ver las etiquetas heredadas en este proyecto, necesitas el permiso
resourcemanager.hierarchyNodes.listEffectiveTags
en el proyecto de origen o en sus nodos principales.
Realiza el análisis
Puedes usar Google Cloud CLI o la API para analizar la migración de un recurso desde su lugar actual en la jerarquía de recursos.
gcloud
Para analizar los impactos de migrar un proyecto desde su posición actual en la jerarquía de recursos, usa el comando gcloud asset analyze-move
:
gcloud asset analyze-move --project=PROJECT_ID \ (--destination-folder=FOLDER_ID \ | --destination-organization=ORGANIZATION_ID)
Para analizar los impactos de mover un proyecto a una carpeta diferente, ejecuta el comando con --destination-folder
:
gcloud asset analyze-move --project=PROJECT_ID \ --destination-folder=FOLDER_ID
Para analizar los impactos de mover un proyecto a una organización diferente, ejecuta el comando con --destination-organization
:
gcloud asset analyze-move --project=PROJECT_ID \ --destination-organization=ORGANIZATION_ID
Donde:
PROJECT_ID
es el ID del proyecto único del proyecto que estás migrando. Por ejemplo,--myProject123
FOLDER_ID
es el ID numérico de la carpeta de destino en la que se realiza el análisis. Por ejemplo,45678901123
ORGANIZATION_ID
es el ID numérico de la organización de destino en la que se realizará el análisis. Por ejemplo,78901123456
API
Para analizar los impactos de migrar un proyecto desde su posición actual en la jerarquía de recursos sin realizar el traslado, usa el método cloudasset.analyzeMove:
GET https://cloudasset.googleapis.com/v1/{resource=*/*}: \ analyzeMove?destinationParent=DESTINATION_NAME
Donde:
resource
es el nombre del recurso en el que se realizará el análisis. Solo se admiten los recursos del proyecto, por lo que debe ser el ID o el número del proyecto. Por ejemplo,projects/my-project-id
oprojects/12345
.DESTINATION_NAME
es el nombre del recurso de la organización o de la carpeta de Google Cloud en el que se debe cambiar el campo superior del recurso de destino. El análisis se realizará sobre los impactos de mover el recurso al elemento superior de destino especificado. El destino debe ser un número de carpeta o de recursos de la organización. Por ejemplo,folders/123
oorganizations/123
.
Mover las respuestas del análisis
La respuesta que recibes de la API de Move Analysis se agrupa por nombre de servicio. Debajo de cada servicio, hay una lista de advertencias y bloqueadores aplicables a esta migración de proyecto. Cualquier bloqueador que muestre este análisis significa que la migración del proyecto se bloqueará en el tiempo de ejecución si continúas con el movimiento antes de resolverlos.
Solución de errores
Si la API de análisis de movimiento muestra un error, incluye un código gRPC estándar, así como un mensaje que describe el motivo del error de la API de análisis de movimiento para analizar el proyecto.
En la siguiente tabla, se describen los códigos de error que podría mostrar la API de Move Analysis:
Nombre del error | Código de error | Descripción |
---|---|---|
Argumento no válido | 3 | Se muestra si llamas a la API en un proyecto con un argumento no válido, como un nombre de recurso incorrecto. |
Permiso denegado | 7 | Se muestra si no tienes los permisos necesarios para realizar el análisis o si el proyecto de origen no existe. |
Interno | 13 | Se muestra si hay un problema con una llamada a un sistema de políticas, como Identity and Access Management o una política de la organización. Esto no indica que no se pueda realizar la migración, y puedes reintentar el análisis después de verificar el servicio en busca de una interrupción. |
No disponible | 14 | Se muestra si un sistema interno no está sincronizado. Esto no indica que no se pueda realizar la migración, y puedes reintentar el análisis. |
Sin autenticar | 16 | Se muestra si no proporcionaste las credenciales correctas para realizar este análisis. |
Ejemplo de mensaje de error
En el siguiente ejemplo, ilustra el código de error que se muestra para un usuario que no tiene el permiso cloudasset.assets.analyzeMove
en el proyecto que se migrará:
{ "error": { "code": 403, "message": "Failed to fetch Project: projects/test-project-service-3 to perform move analysis.", "status": "PERMISSION_DENIED"} }
Es posible que algunos de los sistemas de políticas no analicen el traslado de recursos. En el siguiente ejemplo, se muestra el error que muestra el servicio de firewall jerárquico cuando el usuario no tiene el permiso compute.organizations.setSecurityPolicy
en el proyecto que se migrará:
{ "moveAnalysis": [{ "displayName": "name hidden", "analysis": { "warnings": [{ "detail": "details hidden" }] } }, { "displayName": "name hidden", "analysis": { "warnings": [{ "detail": "details hidden" }] } }, { "displayName": "Hierarchical Firewall", "error": { "code": 7, "message": "Failed to retrieve inherited security policies to perform analysis. Required 'compute.organizations.setSecurityPolicy' permission for {resource ID}" }}] }
¿Qué sigue?
La API de Move Analysis proporciona detalles que ayudan a mitigar los bloqueadores y otros problemas cuando se mueve un proyecto de un recurso de la organización a otro. Para obtener más información sobre la migración de proyectos entre recursos de la organización, consulta la sección Migra proyectos.