プロジェクトの移動を分析する

このガイドでは、Cloud Asset Inventory Analyze Move API を使用して、プロジェクトを実際に移動する前に、重要なポリシー システムのリストから警告と障壁に関する詳細なレポートを取得する方法について説明します。

API を有効にする

API コンシューマ プロジェクとしてプロジェクトを選択または作成し、Cloud Asset API を有効にする

このコンシューマ プロジェクトは、分析と移行を計画しているプロジェクトとは異なるものにできます。コンシューマ プロジェクトは、API リクエストを行うための認証情報の生成に使用されます。

次のセクションでは、分析するソース プロジェクトに関して付与する必要があるロールと権限について説明します。

必要な権限

プロジェクト移動分析を実行するには、cloudasset.assets.analyzeMove 権限（Cloud Asset 閲覧者や閲覧者など）を付与するロールが必要です。

サービスに関する分析を受け取るには、それらのサービスに関連するロールも必要です。権限には以下のようなものがあります。

• ソース プロジェクトの親組織リソースから継承した許可ポリシーを表示する場合、ソース プロジェクトの親組織リソースに対する resourcemanager.organizations.getIamPolicy 権限が必要です。

• ソース プロジェクトの親フォルダから継承した許可ポリシーを表示する場合、ソース プロジェクトの親フォルダに対する resourcemanager.folders.getIamPolicy 権限が必要です。

• プロジェクトの許可ポリシーを表示する場合、ソース プロジェクトに対する resourcemanager.projects.getIamPolicy 権限が必要です。

• ソース プロジェクトの親組織リソースから継承した拒否ポリシーを表示する場合、ソース プロジェクトの親組織リソースに対する iam.denypolicies.get 権限が必要です。

• このプロジェクトに継承されている組織のポリシーを表示するには、ソース プロジェクトに対する orgpolicy.policy.get 権限が必要です。

• このプロジェクトに対する継承された Compute Engine ファイアウォール ポリシーを表示するには、ソースフォルダまたは組織リソースに対する compute.organizations.setSecurityPolicy 権限が必要です。

• このプロジェクトの継承されたタグを表示する場合、ソース プロジェクトまたはその祖先ノードに対する resourcemanager.hierarchyNodes.listEffectiveTags 権限が必要です。

分析を実行する

Google Cloud CLI や API を使用して、リソース階層の現在の場所からリソースの移行を分析できます。

gcloud asset analyze-move --project=PROJECT_ID \
  (--destination-folder=FOLDER_ID \
    | --destination-organization=ORGANIZATION_ID)

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-folder=FOLDER_ID

gcloud asset analyze-move --project=PROJECT_ID \
  --destination-organization=ORGANIZATION_ID

GET https://cloudasset.googleapis.com/v1/{resource=*/*}: \
  analyzeMove?destinationParent=DESTINATION_NAME

分析のレスポンスを移動する

Move Analysis API から受信するレスポンスは、サービス名でグループ化されています。各サービスの下には、このプロジェクトの移行に適用される警告とブロッカーのリストが表示されます。この分析で返されるブロッカーは、解決前に移行を進めた場合、実行時にプロジェクトの移行がブロックされたことを意味します。

エラーのトラブルシューティング

Move Analysis API から返されたエラーがある場合、標準のgRPC コードおよび、Move Analysis API でプロジェクトの分析が失敗した理由を説明するメッセージが含まれます。

次の表に、Move Analysis API から返される可能性のあるエラーコードを示します。

エラー メッセージの例

次の例に、移行するプロジェクトの cloudasset.assets.analyzeMove 権限を持っていないユーザーに返されるエラーコードを示します。

{
  "error": {
  "code": 403,
  "message": "Failed to fetch Project: projects/test-project-service-3 to perform
              move analysis.",
  "status": "PERMISSION_DENIED"}
}

一部のポリシー システムで、リソースの移動を分析できない場合があります。次の例では、移行するプロジェクトに対する compute.organizations.setSecurityPolicy 権限をユーザーが持っていない場合に、階層型ファイアウォール サービスから返されるエラーを示します。

{
  "moveAnalysis": [{
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "name hidden",
    "analysis": {
      "warnings": [{
        "detail": "details hidden"
      }]
    }
  }, {
    "displayName": "Hierarchical Firewall",
    "error": {
      "code": 7,
      "message": "Failed to retrieve inherited security policies to perform
                  analysis. Required 'compute.organizations.setSecurityPolicy'
                  permission for {resource ID}"
     }}]
}

次のステップ

Move Analysis API は、組織リソース間でプロジェクトを移動する際に、阻害要因などの問題を軽減するのに役立つ詳細情報を提供します。組織リソース間のプロジェクトの移行の詳細については、プロジェクトの移行をご覧ください。