Analizar el traslado de proyectos

En esta guía se describe cómo usar la API Analyze Move de Cloud Asset Inventory para obtener un informe detallado sobre las advertencias y los bloqueos de una lista de sistemas de políticas críticas antes de mover tu proyecto.

Habilitar APIs

Selecciona o crea un proyecto que actúe como consumidor de la API, habilita la API Cloud Asset

Este proyecto de consumidor puede ser diferente del proyecto que quieras analizar y migrar. El proyecto de consumidor se usará para generar credenciales con las que hacer solicitudes a la API.

En la siguiente sección se describen los roles y permisos necesarios que se deben conceder en el proyecto de origen que quieras analizar.

Permisos obligatorios

Para realizar un análisis de movimiento de proyectos, necesitas un rol que conceda el permiso cloudasset.assets.analyzeMove, como Lector de Cloud Asset o Lector.

Para recibir análisis sobre un servicio, también necesitas roles relacionados con esos servicios. Estos permisos incluyen los siguientes:

• Si quieres ver las políticas de permiso heredadas del recurso de organización superior del proyecto de origen, necesitas el permiso resourcemanager.organizations.getIamPolicy en el recurso de organización superior del proyecto de origen.

• Si quieres ver las políticas de permiso heredadas de la carpeta superior del proyecto de origen, necesitas el permiso resourcemanager.folders.getIamPolicy en la carpeta superior del proyecto de origen.

• Si quieres ver las políticas de permiso del proyecto, necesitas el permiso resourcemanager.projects.getIamPolicy en el proyecto de origen.

• Si quieres ver las políticas de denegación heredadas del recurso de organización superior del proyecto de origen, necesitas el permiso iam.denypolicies.get en el recurso de organización superior del proyecto de origen.

• Si quieres ver las políticas de organización que se heredan en este proyecto, debes tener el permiso orgpolicy.policy.get en el proyecto de origen.

• Si quieres ver las políticas de cortafuegos de Compute Engine que se han heredado en este proyecto, necesitas el permiso compute.organizations.setSecurityPolicy en el recurso de la carpeta o la organización de origen.

• Si quieres ver las etiquetas heredadas de este proyecto, necesitas el permiso resourcemanager.hierarchyNodes.listEffectiveTags en el proyecto de origen o en sus nodos antecesores.

Realizar el análisis

Puedes usar Google Cloud CLI o la API para analizar la migración de un recurso desde su ubicación actual en la jerarquía de recursos.

gcloud asset analyze-move --project=PROJECT_ID \
  (--destination-folder=FOLDER_ID \
    | --destination-organization=ORGANIZATION_ID)

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-folder=FOLDER_ID

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-organization=ORGANIZATION_ID

GET https://cloudasset.googleapis.com/v1/{resource=*/*}: \
  analyzeMove?destinationParent=DESTINATION_NAME

Mover respuestas de análisis

La respuesta que recibes de la API Move Analysis se agrupa por nombre de servicio. Debajo de cada servicio, se muestra una lista de advertencias y bloqueos aplicables a esta migración de proyecto. Si este análisis devuelve algún bloqueo, significa que la migración del proyecto se bloqueará en el tiempo de ejecución si continúas con el traslado antes de resolverlos.

Solucionar errores

Si la API Move Analysis devuelve un error, incluye un código gRPC estándar, así como un mensaje que describe el motivo por el que la API Move Analysis no ha podido analizar el proyecto.

En la siguiente tabla se describen los códigos de error que podría devolver la API Move Analysis:

Ejemplo de mensaje de error

En el siguiente ejemplo se muestra el código de error devuelto para un usuario que no tiene el permiso cloudasset.assets.analyzeMove en el proyecto que se va a migrar:

{
  "error": {
  "code": 403,
  "message": "Failed to fetch Project: projects/test-project-service-3 to perform
              move analysis.",
  "status": "PERMISSION_DENIED"}
}

Es posible que algunos de los sistemas de políticas no puedan analizar el movimiento de recursos. En el siguiente ejemplo se muestra el error devuelto por el servicio de cortafuegos jerárquico cuando el usuario no tiene permiso compute.organizations.setSecurityPolicy en el proyecto que se va a migrar:

{
  "moveAnalysis": [{
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "Hierarchical Firewall",
    "error": {
      "code": 7,
      "message": "Failed to retrieve inherited security policies to perform
                  analysis. Required 'compute.organizations.setSecurityPolicy'
                  permission for {resource ID}"
     }}]
}

Siguientes pasos

La API Move Analysis proporciona detalles que ayudan a mitigar los bloqueos y otros problemas al mover un proyecto de un recurso de organización a otro. Para obtener más información sobre cómo migrar proyectos entre recursos de organización, consulta el artículo Migrar proyectos.