创建迁移计划

借助项目迁移计划,您可以在组织资源之间迁移项目之前,评估组织是否已做好准备并防止服务中断。活跃服务和依赖项的清单还有助于您预测目标资源层次结构对工作负载的影响。

在迁移过程中,Cloud Resource Manager API 会将项目及其底层服务视为一个单元,而不会更改内部配置。不过,继承的允许政策、拒绝政策和组织政策不会随项目一起迁移,而直接附加的政策和服务账号会保留。这种层次结构更改可能会导致意外行为或在目标组织中触发组织政策违规。

政策验证

迁移项目后,项目将不再继承其在资源层次结构中当前位置的政策,并且将在其目标位置接受有效政策评估。我们建议确保项目目标位置的有效政策尽可能匹配项目在其源位置中拥有的政策。

任何直接应用于项目的政策仍然会在迁移完成后附加。直接将政策应用于项目,可以很好地验证在迁移完成后是否应用了正确的政策。

允许政策、拒绝政策和组织政策通过资源层次结构继承,如果设置不当,可能会阻止服务正常运行。 确定资源层次结构中项目目标位置的有效政策,以确保该政策符合您的治理目标。

管理加密密钥

您应验证项目是否启用了客户管理的加密密钥或其他 Cloud Key Management Service。加密密钥归项目所有,对该项目具有 owner 访问权限的用户可以在 Cloud KMS 中对该项目中的密钥管理和执行加密操作。

如需了解详情,请参阅职责分离。

预览版功能

您可以在组织资源、文件夹或项目上启用预览版功能。 如果您在要迁移的项目上启用了 Alpha 版或 Beta 版功能,则此功能在迁移后应继续正常运行。如果预览版功能是私有的,并且未添加到目标组织资源的许可清单中,则在迁移完成后,您将无法进行任何配置更改。

确定新的结算账号

Cloud Billing 账号可跨组织资源使用。将项目从一个组织资源移至另一个组织资源不会影响结算。系统会继续向旧结算账号收取费用。不过,在组织资源之间迁移项目通常也需要迁移到新的结算账号。

在迁移计划中,确定是否保留现有结算账号。您还可以将项目与目标组织资源中的新结算账号相关联。

如需了解如何更改或迁移结算账号,请参阅更改结算账号。

回滚方案

如果您发现已迁移的任何项目无法正常运行,可以将其恢复到原始位置。为此,您需要具备必要的 IAM 权限并设置所需的组织政策,以便可以反向运行项目迁移。

如需查看所需权限的列表,请参阅分配权限。如需了解需要配置哪些组织政策以允许项目迁移,请参阅配置组织政策。

专用导入和导出文件夹

在迁移项目时,政策继承可能会在来源和目标组织资源中造成意外影响。您可以通过创建特定文件夹来仅存放用于导出和导入的项目,并确保两个组织资源中的文件夹继承相同的政策,从而降低此风险。您还可以对这些文件夹设置权限,这些权限将由移入其中的项目沿用,从而有助于加快项目迁移过程。

在规划迁移时,请考虑先设置一个专用源文件夹。为此,请为计划将项目导出到的每个目标组织资源创建一个文件夹。然后,在这些文件夹上设置组织政策,每个文件夹都将 constraints/resourcemanager.allowedExportDestinations 限制条件设置为要将项目导出到的单个组织资源。

例如,您可以设置 Export to Marketing Org 和 Export to Sales Org 文件夹,每个文件夹都设置了适当的组织政策限制条件。

同样,在目标组织资源中设置专用导入文件夹,每个要从中导入项目的组织资源对应一个文件夹。为此,请为计划从中导入项目的每个来源组织资源创建一个文件夹。然后,在这些文件夹上设置组织政策,每个文件夹都将 constraints/resourcemanager.allowedImportSources 限制条件设置为要从中导入项目的单个组织资源。

例如,您可以设置 Import from Marketing Org 和 Import from App Development Org 文件夹,每个文件夹都设置了适当的组织政策限制条件。

在每个导入和导出文件夹中,为将要移动项目的人员分配 roles/resourcemanager.projectMover 角色。这些文件夹内包含的任何项目都将继承此角色,从而允许用户能够对移至这些文件夹的任何项目中执行移动操作。

完成项目迁移后,您应移除这些专用文件夹。

如需了解如何设置组织政策,请参阅配置组织政策。

后续步骤

如需为在组织之间迁移项目分配 Identity and Access Management 角色和权限,请参阅分配 Identity and Access Management 角色和权限。