Analiza el movimiento de proyectos

En esta guía, se describe cómo usar la API de análisis de movimiento Cloud Asset Inventory para obtener un informe detallado sobre las advertencias y los bloqueadores de una lista de sistemas de políticas esenciales antes de mover el proyecto.

Habilitar API

Selecciona o crea un proyecto como tu proyecto de consumidor de la API, habilita API de Cloud Asset

Este proyecto de consumidor puede ser diferente del proyecto que planeas analizar y migrar. El proyecto de consumidor se usará para generar credenciales y realizar solicitudes a la API.

En la siguiente sección, se describen los roles y permisos necesarios otorgadas en el proyecto fuente que planeas analizar.

Asignación de permisos

Para realizar un análisis de movimiento de proyectos, necesitas una función que otorgue el permiso cloudasset.assets.analyzeMove, como Visualizador de recursos de Cloud o Visualizador.

Para recibir el análisis de un servicio, también necesitas roles relacionados con esos servicios. Entre estos permisos, se incluyen los siguientes:

• Si deseas ver las políticas de IAM heredadas del recurso de la organización superior del proyecto fuente, necesitas el permiso resourcemanager.organizations.getIamPolicy en el recurso de la organización superior del proyecto fuente.

• Si quieres ver las políticas de IAM heredadas la carpeta superior del proyecto, necesitas el archivo resourcemanager.folders.getIamPolicy permiso en la carpeta superior del proyecto de origen.

• Si deseas ver las políticas de IAM en el proyecto, necesitas el permiso resourcemanager.projects.getIamPolicy en el proyecto de origen.

• Si deseas ver las políticas de la organización que se heredan en este proyecto, necesitas el permiso orgpolicy.policy.get en el proyecto de origen.

• Si deseas ver las políticas de firewall de Compute Engine que se heredan en este proyecto, necesitas el permiso compute.organizations.setSecurityPolicy en la organización o carpeta de origen.

• Si quieres ver las etiquetas heredadas en este proyecto, necesitas el permiso resourcemanager.hierarchyNodes.listEffectiveTags en el proyecto de origen o sus nodos principales.

Realiza el análisis

Puedes usar Google Cloud CLI o la API para analizar la migración de un recurso desde su ubicación actual en la jerarquía de recursos.

Nota: Esta API no realiza ninguna verificación en el recurso de la organización de destino. Incluso si el recurso de la organización de destino especificado en la llamada a la API no existe, aún se realiza el análisis del proyecto que se va a mover.

gcloud

Para analizar los impactos de migrar un proyecto desde su posición actual en la jerarquía de recursos, usa el comando gcloud asset analyze-move:

gcloud asset analyze-move --project=PROJECT_ID \
  (--destination-folder=FOLDER_ID \
    | --destination-organization=ORGANIZATION_ID)

Para analizar los impactos de mover un proyecto a una carpeta diferente, ejecuta el comando con --destination-folder:

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-folder=FOLDER_ID

Para analizar los impactos de mover un proyecto a una organización diferente, haz lo siguiente: Ejecuta el comando con --destination-organization:

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-organization=ORGANIZATION_ID

Aquí:

• PROJECT_ID es el ID único del proyecto que migras. Por ejemplo, --myProject123

• FOLDER_ID es el ID numérico de la carpeta de destino en la que se realizará el análisis. Por ejemplo, 45678901123

• ORGANIZATION_ID es el ID numérico de la organización de destino en la que se realizará el análisis. Por ejemplo, 78901123456

Nota: Se debe indicar exactamente uno de los valores FOLDER_ID o ORGANIZATION_ID especificar.

API

Para analizar los impactos de migrar un proyecto desde su posición actual en la jerarquía de recursos sin realizar el traslado, usa el método cloudasset.analyzeMove:

GET https://cloudasset.googleapis.com/v1/{resource=*/*}: \
  analyzeMove?destinationParent=DESTINATION_NAME

Aquí:

• resource es el nombre del recurso en el que se realizará la acción. realizar el análisis. Solo se admiten recursos de proyecto, por lo que debe ser el ID o el número del proyecto. Por ejemplo, projects/my-project-id o projects/12345.

• DESTINATION_NAME es el nombre de la carpeta de Google Cloud o el recurso de organización para volver a establecer la pertenencia del recurso de destino. El análisis se realizará sobre los impactos de mover el recurso al elemento superior de destino especificado. El destino debe ser un número de carpeta o un número de recurso de la organización. Por ejemplo, folders/123 o organizations/123.

Mueve las respuestas del análisis

La respuesta que recibes de la API de Move Analysis se agrupa por nombre de servicio. En cada servicio, hay una lista de advertencias y bloqueadores aplicables a esta la migración de proyectos. Cualquier bloqueador que devuelva este análisis significa que el La migración del proyecto se bloqueará en el tiempo de ejecución si continúas con el traslado antes de resolverlos.

Nota: Es posible que los resultados del análisis no incluyan la funcionalidad de los servicios y las funciones que están en versión preliminar. Si tus proyectos forman parte de alguna vista previa, consulta la guía del usuario de esa función.

Solución de errores

Si la API de análisis de movimiento muestra un error, incluye un código gRPC estándar, así como un mensaje que describe el motivo del error de la API de análisis de movimiento para analizar el proyecto.

En la siguiente tabla, se describen los códigos de error que podría mostrar la API de Move Analysis:

Nombre del error	Código de error	Descripción
Argumento no válido	3	Se muestra si llamas a la API en un proyecto con un argumento no válido, como un recurso incorrecto de la fuente de datos.
Permiso denegado	7	Se muestra si no tienes los permisos necesarios para realizar el análisis o si no existe el proyecto fuente.
Interno	13	Se devuelve si hay un problema con una llamada a un de políticas, como Identity and Access Management o política de la organización. Esto no indica que la migración no sea posible, y puedes volver a intentar el análisis después de verificar si hay una interrupción en el servicio.
No disponible	14	Se muestra si un sistema interno no está sincronizado. Esto no indica que la migración y puedes volver a realizar el análisis.
Sin autenticar	16	Se devolverá si no proporcionaste la correcta credenciales para realizar este análisis.

Ejemplo de mensaje de error

En el siguiente ejemplo, ilustra el código de error que se muestra para un usuario que no tiene el permiso cloudasset.assets.analyzeMove en el proyecto que se migrará:

{
  "error": {
  "code": 403,
  "message": "Failed to fetch Project: projects/test-project-service-3 to perform
              move analysis.",
  "status": "PERMISSION_DENIED"}
}

Es posible que algunos de los sistemas de políticas no analicen el traslado de recursos. En el siguiente ejemplo, se muestra el error que muestra el servicio de firewall jerárquico cuando el usuario no tiene el permiso compute.organizations.setSecurityPolicy en el proyecto que se migrará:

{
  "moveAnalysis": [{
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "Hierarchical Firewall",
    "error": {
      "code": 7,
      "message": "Failed to retrieve inherited security policies to perform
                  analysis. Required 'compute.organizations.setSecurityPolicy'
                  permission for {resource ID}"
     }}]
}

¿Qué sigue?

La API de Move Analysis proporciona detalles que ayudan a mitigar bloqueos y otras problemas cuando se traslada un proyecto de un recurso de la organización a otro. Para ver más sobre la migración de proyectos entre recursos de la organización, consulta Migra proyectos.