Analiza el movimiento de proyectos

En esta guía, se describe cómo usar la API de análisis de movimiento Cloud Asset Inventory para obtener un informe detallado sobre las advertencias y los bloqueadores de una lista de sistemas de políticas esenciales antes de mover el proyecto.

Habilitar API

Selecciona o crea un proyecto como tu proyecto de consumidor de la API, habilita API de Cloud Asset

Este proyecto de consumidor puede ser diferente del proyecto que planeas analizar y migrar. El proyecto de consumidor se usará para generar credenciales para hacer que la API para cada solicitud.

En la siguiente sección, se describen los roles y permisos necesarios otorgadas en el proyecto fuente que planeas analizar.

Asignación de permisos

Para realizar un análisis de movimiento de proyectos, necesitas una función que otorgue el permiso cloudasset.assets.analyzeMove, como Visualizador de recursos de Cloud o Visualizador.

Para recibir el análisis de un servicio, también necesitas roles relacionados con esos servicios. Estos permisos incluyen lo siguiente:

• Si quieres ver las políticas de IAM heredadas recurso de organización superior del proyecto, necesitas el resourcemanager.organizations.getIamPolicy en la recurso de la organización superior del proyecto de origen.

• Si quieres ver las políticas de IAM heredadas la carpeta superior del proyecto, necesitas el archivo resourcemanager.folders.getIamPolicy permiso en la carpeta superior del proyecto de origen.

• Si deseas ver las políticas de IAM en el proyecto, necesitas el permiso resourcemanager.projects.getIamPolicy en el proyecto de origen.

• Si quieres ver las políticas de la organización que se heredan necesitas el permiso orgpolicy.policy.get en el proyecto de origen.

• Si quieres ver las políticas de firewall de Compute Engine que se heredaron en este proyecto, necesitas el compute.organizations.setSecurityPolicy en la carpeta de origen o en el recurso de la organización.

• Si quieres ver las etiquetas heredadas en este proyecto, necesitas el permiso resourcemanager.hierarchyNodes.listEffectiveTags en el proyecto de origen o sus nodos principales.

Realiza el análisis

Puedes usar Google Cloud CLI o la API para analizar la migración de un recurso desde su lugar actual en la jerarquía de recursos.

gcloud asset analyze-move --project=PROJECT_ID \
  (--destination-folder=FOLDER_ID \
    | --destination-organization=ORGANIZATION_ID)

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-folder=FOLDER_ID

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-organization=ORGANIZATION_ID

GET https://cloudasset.googleapis.com/v1/{resource=*/*}: \
  analyzeMove?destinationParent=DESTINATION_NAME

Mueve las respuestas del análisis

La respuesta que recibes de la API de Move Analysis se agrupa por nombre de servicio. Debajo de cada servicio, se muestra una lista de advertencias y bloqueadores aplicables a esta migración de proyectos. Cualquier bloqueador que devuelva este análisis significa que el La migración del proyecto se bloqueará en el tiempo de ejecución si continúas con el traslado antes de resolverlos.

Solución de errores

Si la API de análisis de movimiento muestra un error, incluye un código gRPC estándar, así como un mensaje que describe el motivo del error de la API de análisis de movimiento para analizar el proyecto.

En la siguiente tabla, se describen los códigos de error que se podrían mostrar con la API de Move Analysis:

Ejemplo de mensaje de error

En el siguiente ejemplo, ilustra el código de error que se muestra para un usuario que no tiene el permiso cloudasset.assets.analyzeMove en el proyecto que se migrará:

{
  "error": {
  "code": 403,
  "message": "Failed to fetch Project: projects/test-project-service-3 to perform
              move analysis.",
  "status": "PERMISSION_DENIED"}
}

Es posible que algunos de los sistemas de políticas no puedan analizar el traslado de recursos. Lo siguiente el ejemplo demuestra el error que muestra el servicio de firewall jerárquico cuando el usuario no tiene compute.organizations.setSecurityPolicy permiso en el proyecto que se migrará:

{
  "moveAnalysis": [{
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "Hierarchical Firewall",
    "error": {
      "code": 7,
      "message": "Failed to retrieve inherited security policies to perform
                  analysis. Required 'compute.organizations.setSecurityPolicy'
                  permission for {resource ID}"
     }}]
}

¿Qué sigue?

La API de Move Analysis proporciona detalles que ayudan a mitigar bloqueos y otras problemas cuando se traslada un proyecto de un recurso de la organización a otro. Para obtener más información sobre la migración de proyectos entre recursos de la organización, consulta Migra proyectos.