Migra proyectos desde una organización

En esta guía, se explica cómo migrar recursos de un proyecto de Google Cloud asociados con una organización a otra organización. Tendrás que trabajar con el servicio de Atención al cliente de Google para completar estos pasos.

En esta guía, se da por sentado que la organización de destino se parece mucho a la organización de origen. En esta guía, no se analizan los esfuerzos mayores de diseño para integrar aplicaciones en un ecosistema nuevo.

Planifica y realiza tu migración

Paso 1: Prepara tus proyectos

La migración de un proyecto de una organización a otra es un proceso de asistencia manual que requiere la configuración del proyecto.

Usa la siguiente lista a fin de prepararte para migrar el recurso de tu proyecto:

  • Si cambiaste el dominio principal de la Cuenta de Google de tu organización, incluye esta información cuando abras un caso con la Atención al cliente de Google.
  • Inhabilita la red de VPC compartida en el proyecto para moverlo.
  • Configura cualquier función personalizada de Cloud Identity and Access Management a nivel de organización que necesites al nivel del proyecto que deseas mover. Para obtener más detalles, consulta la sección Funciones personalizadas de Cloud IAM.
  • Configura todas las políticas de la organización que se heredarán del recurso superior y revísalas con anticipación para comprender el efecto que tendrán después de la migración. Para obtener más detalles, consulta las Políticas de la organización que se encuentran más adelante.
  • Configura el enrutamiento de correo electrónico del dominio principal asociado con la organización de destino para poder aceptar la propiedad del recurso nuevo del proyecto.
  • Proporciona las funciones de Cloud IAM que necesitarás para el recurso de la organización de destino. Por ejemplo, roles/resourcemanager.projectCreator. Todas las funciones heredadas se quitarán después de que el proyecto se haya migrado a la organización de destino.
  • Si usas en la organización de destino el uso compartido restringido al dominio, agrega a la lista blanca de la organización de destino los dominios que tengan acceso a los recursos de la organización de origen.
  • Si el recurso del proyecto está en una carpeta, muévelo para que esté directamente en el recurso de la organización. Un proyecto no se puede migrar si es secundario de un recurso de carpeta.

Paso 2: Abre un caso de ayuda

Si tienes un plan de servicios que incluye Servicios profesionales (PSO) de Google, debes trabajar con ellos para planificar la migración de tu proyecto. Un administrador técnico de cuentas (TAM) de Google puede coordinar a los grupos relevantes del lado de Google.

El usuario que realiza la solicitud debe tener la función role/resourcemanager.organizationAdmin en la organización de origen y la función roles/owner en el recurso del proyecto que desea mover.

Para iniciar el proceso de migración, abre un caso de ayuda y proporciona lo siguiente:

  1. Una lista de los ID del proyecto de cada recurso del proyecto que desees mover.
  2. Si trabajas con PSO en tu plan de migración, incluye una fecha y hora para reunirte con la Atención al cliente de Google y PSO a través de Hangouts. El TAM organizará la reunión para finalizar tu planificación.

La Atención al cliente de Google quitará los recursos que enumeraste del proyecto de su organización actual y te notificará cuando la operación se haya completado. Luego, puedes realizar la migración.

Paso 3: Realiza la migración

Para completar la migración, sigue estos pasos:

  1. Mueve los proyectos a la organización nueva una vez que Google termine de quitarlos de la organización superior.
  2. Actualiza la configuración de los servicios de tus proyectos en función de la jerarquía de la organización nueva. Para obtener más detalles, consulta las siguientes secciones relacionadas con el servicio.

Mitiga los problemas de servicio

Los recursos de los proyectos de Google Cloud son la base para el uso de todos los servicios de Google Cloud. Los recursos del proyecto dependen del recurso de la organización para muchas funciones, que pueden interrumpirse cuando mueves un recurso del proyecto de una organización a otra. Debes planificar estrategias de mitigación para cada servicio que use los recursos del proyecto que mueves.

Funciones personalizadas de Cloud IAM

Las funciones personalizadas de Cloud IAM se pueden crear a nivel de organización en la jerarquía de tus recursos de Google Cloud. Se pueden usar para otorgar acceso a los usuarios que se encuentran debajo del recurso de la organización en la jerarquía. Cuando un proyecto se mueve fuera de la organización, las funciones personalizadas configuradas a nivel de organización no se moverán con él, pero aquellas configuradas a nivel de proyecto sí lo harán.

Las funciones personalizadas a nivel de organización que no se hayan movido ya no funcionarán, y el método getIamPolicy no mostrará estas funciones personalizadas como parte de la Política de Cloud IAM.

Cuando mueves un proyecto con funciones personalizadas, es posible que algunas de las políticas de la organización original aún afecten el proyecto. Si existe una función personalizada de la organización anterior en la nueva Política de Cloud IAM, podría invalidar la política y causar errores cuando intentes actualizar esta última. No es probable que este problema se presente de inmediato después de la migración, ya que solo ocurre cuando se intenta actualizar la Política de Cloud IAM.

Para enumerar las funciones personalizadas existentes a nivel de organización, usa el siguiente comando:

gcloud iam roles list --organization ORGANIZATION_ID

Si quieres describir una función personalizada particular en una organización, usa el siguiente comando:

gcloud iam roles describe --organization ORGANIZATION_ID /
ROLE_NAME

Donde:

Mitigación

Para reducir el riesgo de errores relacionados con las funciones personalizadas existentes de Cloud IAM, sigue estos pasos:

  1. Usa el método projects.getIamPolicy para obtener la Política de Cloud IAM del proyecto que deseas mover.
  2. Para cada función personalizada a nivel de organización en la Política de Cloud IAM del proyecto, crea una función personalizada equivalente a nivel de proyecto y actualiza la Política de Cloud IAM del proyecto a fin de que use estas nuevas funciones.
    1. Si necesitas aumentar la cuota de tu proyecto, envía una solicitud para aumentarla.
  3. Quita las vinculaciones de las funciones personalizadas de Cloud IAM a nivel de organización de los proyectos que se moverán.
  4. Migra los proyectos como se muestra arriba.
  5. Actualiza las políticas de Cloud IAM de los recursos en los proyectos que se movieron para que usen las funciones personalizadas de la organización de destino.

Para obtener más información, consulta Crea y administra funciones personalizadas.

VPC compartidas

Las VPC compartidas en Google Cloud usan el recurso de la organización para realizar agrupaciones. Los recursos del proyecto solo se pueden conectar a las VPC compartidas en la misma organización. Un proyecto que se mueve a una organización nueva no conservará la conexión de VPC compartida.

Las VPC compartidas se implementan a través de un proyecto host en el que se aprovisiona la VPC compartida, y los proyectos de servicio pueden usar las VPC compartidas.

Las máquinas virtuales (VM) de Compute Engine no se pueden mover de forma directa de una VPC a otra, se deben migrar o recrear. Por lo general, las VM se aprovisionan dentro de los proyectos de servicio de VPC compartida y no directamente dentro del proyecto host de VPC compartida.

Para enumerar todos los proyectos host de VPC compartida en un recurso de la organización, usa el siguiente comando:

gcloud beta compute shared-vpc organizations list-host-projects
ORGANIZATION_ID

En el ejemplo anterior, ORGANIZATION_ID es el ID de la organización.

Mitigación

  1. Ve a la página de VPC compartida en Cloud Console.
    Ir a la página de VPC compartida
  2. Haz una lista de los proyectos host, las redes de VPC compartidas y los proyectos de servicio adjuntos que se muestran en la página de VPC compartida.
    1. Si quieres migrar todos los proyectos de una organización, enumera todos los proyectos host de VPC compartida con el comando list-host-projects que se muestra arriba.
  3. Aprovisiona los proyectos host y las VPC compartidas equivalentes en la organización nueva. Para obtener instrucciones detalladas, consulta la sección Cómo configurar una VPC compartida.
  4. Quita los proyectos que se moverán de las VPC compartidas en la organización de origen:
    1. Toma instantáneas de los discos de VM conectados a la VPC compartida.
    2. Detén las VM que tienen conexiones con la VPC compartida.
    3. Borra las VM.
    4. Quita los balanceadores de cargas internos conectados a la VPC compartida.
  5. Restablece las VM de las instantáneas y conéctate a una VPC de alcance local en el proyecto de servicio.
  6. Realiza la migración.
  7. Conecta los proyectos que se movieron a las nuevas VPC compartidas.

Intercambio de tráfico entre VPC

Los proyectos que usan el intercambio de tráfico entre VPC de Google se pueden mover entre las organizaciones, ya que el intercambio de tráfico entre VPC no depende de la membresía de la organización para funcionar. Esto significa que mover un proyecto a una organización con el intercambio de tráfico entre VPC habilitado permitirá el intercambio de tráfico en ese proyecto.

Mitigación

Si mueves un proyecto a una organización que tenga el intercambio de tráfico entre VPC habilitado, identifica qué se encuentra al otro extremo del intercambio de tráfico antes de la migración y verifica que el proyecto tenga habilitado el intercambio de tráfico entre VPC.

Cloud Interconnect

Los proyectos que contienen una interconexión dedicada solo se pueden mover a una organización nueva si no hay archivos adjuntos de VLAN definidos para Cloud Interconnect.

Mitigación

Quita los adjuntos de VLAN de los proyectos que se moverán antes de realizar la migración.

Cambios de nombre del dominio

Si alguna vez se cambió el nombre de dominio de la organización de origen, es posible que Google necesite pasos adicionales para migrar los proyectos de esa organización.

Mitigación

Cuando abres un caso de ayuda para migrar tus proyectos, proporciona los detalles de la operación de cambio de dominio, incluidos los nombres de dominio nuevo y original. Google cuenta con herramientas para manejar esta situación, pero es posible que necesite tiempo adicional a fin de completar la migración.

Políticas de la organización

Mover un proyecto a una organización nueva podría cambiar las políticas que se aplican a ese proyecto en función de la herencia. Las políticas de la organización de origen pueden ser distintas de las de la organización de destino, y la política de la organización vigente puede afectar el proyecto de manera diferente después de la migración.

Mitigación

Configura la política de la organización para que cada proyecto que se mueva herede del recurso superior. Debes revisar las políticas con anticipación para poder planificar la creación de un conjunto nuevo de políticas de la organización que tenga la política vigente que deseas en la organización nueva.

Para obtener más detalles sobre cómo se heredan las políticas de la organización, consulta la documentación sobre la evaluación de jerarquías.

Facturación de Cloud

Las cuentas de Cloud Billing se pueden usar en todas las organizaciones. Mover un proyecto de una organización a otra no afectará la facturación, y los cargos se seguirán generando en la cuenta de facturación anterior. Sin embargo, mover la organización a menudo también incluye el requisito de moverse a una cuenta de facturación nueva.

Cambia la cuenta de facturación de un proyecto

Para cambiar la cuenta de facturación de un proyecto existente, debes tener la función roles/owner en el proyecto y la función roles/billing.admin en la cuenta de facturación de destino. Para cambiar la cuenta de facturación, haz lo siguiente:

  1. Ve a la página Facturación en Cloud Console.
    Ir a la página Facturación
  2. Haz clic en el nombre de la cuenta de facturación que deseas cambiar.
  3. En Proyectos vinculados a esta cuenta de facturación, busca el nombre del proyecto que deseas mover y haz clic en el botón de menú que se encuentra a la derecha.
  4. Haz clic en Cambiar facturación y, luego, selecciona la cuenta de facturación nueva.
  5. Haz clic en Establecer la cuenta.

Los cargos que ya se realizaron, pero que todavía no se informaron en el historial de transacciones se facturarán a la cuenta de facturación anterior. Esto puede incluir cargos de hasta dos días antes del momento en que se movió el proyecto.

Mueve una cuenta de facturación entre las organizaciones

Una cuenta de facturación se puede mover de una organización a otra, aunque esto no suele ser un paso necesario. La mayoría de las organizaciones existentes ya tienen una cuenta de facturación que se debe usar en su lugar. Si necesitas migrar una cuenta de facturación existente, sigue estos pasos:

  1. Obtén los permisos necesarios para la migración:
    1. roles/billing.admin en la organización de origen.
    2. roles/billing.creator en la organización de destino.
  2. Ve a la página Facturación en Cloud Console.
    Ir a la página Facturación
  3. Haz clic en el nombre de la cuenta de facturación que deseas mover.
  4. En la parte superior de la página Descripción general, haz clic en Cambiar organización.
  5. Selecciona la organización de destino y haz clic en Aceptar.

La cuenta de facturación ahora está asociada a la organización especificada.