Como migrar projetos de uma organização

Os recursos do Google Cloud Project só poderão ser migrados para uma organização se no momento não estiverem associados a uma organização. Neste guia, você vê como trabalhar com o Suporte do Google para migrar projetos de uma organização para outra.

Neste guia, a organização de destino precisa ser muito semelhante à de origem. Não são abordadas atividades mais amplas de design para integrar aplicativos a um novo ecossistema.

Como planejar e executar a migração

Etapa 1: preparar os projetos

Migrar um projeto de uma organização para outra é uma atividade manual de suporte. Isso requer a configuração do projeto.

Siga a lista a seguir para preparar a migração do projeto:

  • Se você alterou o domínio principal da conta do Google referente à Organização, inclua essas informações ao abrir um caso com o Suporte do Google.
  • Desative a rede VPC compartilhada no projeto que será migrado.
  • Configure todos os papéis personalizados no nível da organização do Cloud Identity and Access Management necessários no nível do projeto que será migrado. Para mais detalhes, consulte Papéis personalizados do Cloud IAM.
  • Configure todas as políticas da organização para herdarem do recurso pai. Revise as políticas com antecedência para entender os efeitos que elas terão após a migração. Para mais detalhes, consulte Políticas da organização abaixo.
  • Configure o roteamento de e-mail do domínio principal associado à organização de destino. Assim, será possível aceitar a propriedade do novo projeto.
  • Conceda os papéis do Cloud IAM necessários na organização de destino. Por exemplo, roles/resourcemanager.projectCreator. Todos os papéis herdados são removidos após a migração do projeto para a organização de destino.
  • Se você usa o compartilhamento restrito de domínios na organização de destino, adicione os domínios que têm acesso a recursos na organização de origem à lista de permissões da organização de destino.
  • Se o recurso Projeto estiver em uma Pasta, mova-o para que ele fique diretamente abaixo do recurso Organização. Um projeto não pode ser migrado se for filho de um recurso Pasta.

Etapa 2: abrir um caso de suporte

Se seu plano de serviços inclui o Google Professional Services (PSO), use-o para planejar a migração do projeto. Um Gerente técnico de contas (TAM, na sigla em inglês) coordenará as partes relevantes no lado do Google.

O usuário que faz essa solicitação deve ter o papel role/resourcemanager.organizationAdmin na organização de origem e o papel roles/owner no recurso do projeto a ser movido.

Para iniciar o processo de migração, abra um caso de suporte e forneça o seguinte:

  1. uma lista dos códigos de cada projeto que será migrado;
  2. se estiver usando o PSO no plano de migração, inclua uma data e hora para entrar em contato com o Suporte do Google e o PSO usando o Hangouts. O TAM organizará a reunião para concluir seu plano.

O Suporte do Google removerá os projetos que você listou da organização atual deles e enviará uma notificação quando essa operação for concluída. Depois, será possível fazer a migração.

Etapa 3: executar a migração

Para concluir a migração, faça o seguinte:

  1. Migre os projetos para a nova organização depois que o Google terminar de removê-los da organização pai.
  2. Atualize a configuração do serviço dos projetos com base na hierarquia da nova organização. Para mais detalhes, consulte as seções abaixo relacionadas a serviços.

Como mitigar problemas no serviço

Os recursos do Google Cloud Project são a base para o uso de todos os serviços do Google Cloud. Os projetos dependem das organizações para realizar diversas funções. Elas podem ser interrompidas quando você migra um projeto de uma organização para outra. É necessário planejar estratégias de mitigação para cada serviço usado pelos projetos que serão migrados.

Papéis personalizados do Cloud IAM

Os papéis personalizados do Cloud IAM podem ser criados em um nível organizacional na sua hierarquia de recursos do Google Cloud. Use esses papéis para conceder acesso aos usuários que estiverem abaixo da organização na hierarquia. Quando um projeto é migrado, os papéis personalizados definidos no nível da organização não são movidos com ele. Já os papéis personalizados definidos no nível do projeto são migrados.

Os papéis personalizados no nível da Organização que não são movidos não funcionarão mais, e o método getIamPolicy não retornará esses papéis personalizados como parte da política do Cloud IAM.

Quando você migra um projeto com papéis personalizados, algumas das políticas da organização original ainda podem afetá-lo. Se houver um papel personalizado da antiga organização na nova política do Cloud IAM, ele poderá invalidar a política e causar erros quando você tentar atualizá-la. É provável que esse problema não ocorra logo depois da migração, porque ele só acontece ao atualizar a política do Cloud IAM.

Para listar os papéis personalizados atuais no nível da organização, execute o seguinte:

gcloud iam roles list --organization ORGANIZATION_ID

Para descrever um papel personalizado específico em uma organização, execute o seguinte:

gcloud iam roles describe --organization ORGANIZATION_ID /
ROLE_NAME

Onde:

Mitigação

Para reduzir o risco de erros relacionados a papéis personalizados do Cloud IAM, faça o seguinte:

  1. Use o método projects.getIamPolicy para obter a política do Cloud IAM para o projeto que você quer mover.
  2. Para cada papel personalizado no nível da organização na política do Cloud IAM do projeto, crie outro equivalente no nível do projeto. Depois, atualize a política para usar esses novos papéis.
    1. Se você precisar aumentar a cota do projeto, envie uma solicitação.
  3. Remova as vinculações do papel personalizado do Cloud IAM no nível da organização dos projetos que serão migrados.
  4. Migre os projetos como mostrado acima.
  5. Atualize as políticas do Cloud IAM dos recursos nos projetos migrados para usarem os papéis personalizados da organização de destino.

Para mais informações, consulte Como criar e gerenciar papéis personalizados.

VPCs compartilhadas

As VPCs compartilhadas no Google Cloud usam o recurso Organização para agrupamento. Só é possível conectar projetos a VPCs compartilhadas na mesma organização. Essa conexão não é mantida em um projeto migrado para uma nova organização.

As VPCs compartilhadas são implementadas usando um projeto de host em que elas são provisionadas. Além disso, os projetos de serviço podem usá-las.

Não é possível mover diretamente as máquinas virtuais (VMs, na sigla em inglês) do Compute Engine entre as VPCs. É necessário migrá-las ou recriá-las. Geralmente, as VMs são provisionadas nos projetos de serviço da VPC compartilhada, e não diretamente no projeto de host dela.

Para listar todos os projetos de host da VPC compartilhada em uma organização, execute o seguinte:

gcloud beta compute shared-vpc organizations list-host-projects
ORGANIZATION_ID

No qual ORGANIZATION_ID é seu ID da Organização.

Mitigação

  1. Acesse a página VPC compartilhada no Console do Cloud.
    Acessar a página VPC compartilhada
  2. Faça uma lista dos projetos de host, das redes VPC compartilhadas e de quaisquer projetos de serviço anexados que são exibidos na página VPC compartilhada.
    1. Se você estiver migrando todos os projetos em uma Organização, liste todos os projetos de host da VPC compartilhada usando o comando list-host-projects acima.
  3. Provisione VPCs compartilhadas e projetos de host equivalentes na nova organização. Para instruções detalhadas, consulte Como configurar a VPC compartilhada.
  4. Remova os projetos que serão migrados das VPCs compartilhadas na Organização de origem:
    1. Crie instantâneos dos discos da VM conectados à VPC compartilhada.
    2. Encerre as VMs que têm conexões com a VPC compartilhada.
    3. Exclua as VMs.
    4. Remova quaisquer balanceadores de carga internos conectados à VPC compartilhada.
  5. Restaure as VMs dos instantâneos e conecte-se a uma VPC com escopo local no projeto de serviço.
  6. Execute a migração.
  7. Conecte os projetos migrados às novas VPCs compartilhadas.

Peering de VPC

É possível migrar os projetos que usam o peering de VPC do Google entre as organizações porque ele não depende da assinatura da organização para funcionar. Ou seja, o projeto que for migrado para uma organização com o peering de VPC ativado poderá usar essa funcionalidade.

Mitigação

Antes de migrar um projeto para uma organização com o peering de VPC ativado, identifique o que está na outra extremidade do peering. Além disso, confirme que você quer ativar o peering de VPC nesse projeto.

Cloud Interconnect

Só será possível migrar os projetos com uma Interconexão dedicada para uma nova organização se não houver anexos da VLAN definidos no Cloud Interconnect.

Mitigação

Antes da migração, remova todos os anexos da VLAN dos projetos que serão movidos.

Domínios renomeados

Se você já tiver alterado qualquer nome de domínio na organização de origem, talvez seja necessário seguir outras etapas do Google para migrar os projetos.

Mitigação

Ao abrir um caso de suporte para migrar projetos, forneça os detalhes da operação de alteração de domínio, incluindo o nome original e o novo. O Google conta com ferramentas para processar esse cenário, mas pode precisar de mais tempo para concluir a migração.

Políticas da organização

Migrar um projeto para uma nova organização pode alterar as políticas aplicadas a ele com base na herança. As políticas na organização de origem podem ser diferentes daquelas na organização de destino. Além disso, é possível que a política atual da organização afete o projeto de outra forma após a migração.

Mitigação

Em todos os projetos que serão migrados, configure a política da organização para herdar do recurso pai. Revise as políticas com antecedência para planejar a criação de um novo conjunto de políticas da organização que incluirá a política em vigor que você quer na nova organização.

Para mais detalhes sobre como as políticas da organização são herdadas, consulte Noções básicas sobre a avaliação da hierarquia.

Cloud Billing

É possível usar as contas do Cloud Billing nas organizações. Migrar um projeto de uma organização para outra não afeta o faturamento, e as cobranças continuarão sendo feitas na conta antiga. No entanto, as movimentações de organização costumam incluir também um requisito de migração para uma nova conta de faturamento.

Alterar a conta de faturamento de um projeto

Para alterar a conta de faturamento de um projeto existente, é necessário ter o papel roles/owner no projeto e o papel roles/billing.admin na conta de faturamento de destino. Para alterar a conta de faturamento, faça o seguinte:

  1. Acesse a Página de faturamento no Console do Cloud.
    Acessar a página Faturamento
  2. Clique no nome da conta de faturamento que você quer alterar.
  3. Em Projetos vinculados a esta conta de faturamento, localize o nome do projeto que será migrado e clique no botão de menu à direita.
  4. Clique em Alterar faturamento e selecione a nova conta de faturamento.
  5. Clique em Definir conta.

As cobranças já incorridas, mas que ainda não apareceram no histórico de faturamento, serão efetuadas na conta de faturamento anterior. Isso pode incluir cobranças de até dois dias antes da migração do projeto.

Como mover uma conta de faturamento entre Organizações

É possível migrar uma conta de faturamento de uma organização para outra, mesmo que isso não seja uma etapa necessária. A maioria das organizações atuais já tem uma conta de faturamento para ser usada. Se você precisar migrar uma conta de faturamento atual, faça o seguinte:

  1. Consiga as permissões necessárias para a migração:
    1. role/resourcemanager.organizationAdmin na Organização de origem.
    2. roles/billing.admin para a Organização de origem ou para as contas de faturamento específicas a serem movidas.
    3. role/resourcemanager.organizationAdmin na Organização de destino.
    4. roles/billing.admin ou roles/billing.creator na Organização de destino.
  2. Acesse a Página de faturamento no Console do Cloud.
    Acessar a página Faturamento
  3. Clique no nome da conta de faturamento que você quer migrar.
  4. Na parte superior da página Visão geral, clique em Alterar organização.
  5. Selecione a organização de destino e clique em Ok.

A conta de faturamento agora está associada à organização especificada.