## GCP專案之間移轉

1.專案移轉機構前置說明及事前準備
2.移轉時所需的權限
3.特殊情況
4.分析專案移轉測試

1 專案移轉機構前置說明及事前準備

 遷移[1]不會對專案進行直接的配置更改，但資源層次結構的更改可能會對專案的功能及其運行服務產生影響(參見特殊情況)。

 繼承的策略（例如身份和訪問管理或機構策略）在遷移期間不會隨專案一起移動，只會移動直接附加到資源的策略和服務帳戶。
這可能會導致遷移完成後出現意外行為，所以我們必須確保專案內的策略沒有使用自定義的策略。

[1]項目遷移
https://cloud.google.com/resource-manager/docs/project-migration

2 移轉時所需的權限
2.1移動者：
需要專案(Project)、其父資源和目標資源的以下角色：
 原機構及目標機構皆須給予機構策略管理員
roles/orgpolicy.policyAdmin
 要移動專案的專案 IAM 管理員
roles/resourcemanager.projectIamAdmin
 專案父資源上的Project Mover
roles/resourcemanager.projectMover

 如果目標資源是文件夾，即給予目標資源上的Project Mover ( roles/resourcemanager.projectMover)
如果目標資源是機構，即給予目標資源上的Project Creator ( roles/resourcemanager.projectCreator)

在2邊的組織都要加上Project Mover 和 Project Creator
https://cloud.google.com/resource-manager/docs/project-migration-checklist?hl=zh-cn


2.2原機構
在機構IAM裡機構策略中「Allowed Destinations for Exporting Resources」及「Allowed Sources for Importing Resources」添加允許目標機構的ID

2.3目標機構
在機構IAM裡機構策略中「Allowed Destinations for Exporting Resources」及「Allowed Sources for Importing Resources」添加允許原機構的ID




執行指令 開始遷移：

gcloud beta projects move PROJECT_ID --organization ORGANIZATION_ID


3 特殊情況
1.共享 VPC
移動專案有使用Share VPC，若有使用此服務，會造成移轉失敗，需要確認每個專案的使用狀況。
2.機構防火牆政策
移轉專案若是有使用機構防火牆政策，需要先將防火牆機構策略建置到專案中，以免移轉後防火牆政策不同造成漏洞。

4 分析專案移轉測試
使用 Cloud Asset Inventory Analyze Move API 在實際移動項目之前從關鍵策略列表中獲取有關警告和阻止程序的詳細報告。

權限需求：
cloudasset.assets.analyzeMove

使用gcloud cli:
gcloud asset analyze-move --project=PROJECT_ID \
--destination-organization=ORGANIZATION_ID

測試顯示範例：

5 下一步
目前要移轉專案已有權限：
 專案擁有者(已包含cloudasset.assets.analyzeMove所需權限)

缺少權限：
 原機構
1. 機構策略中「Allowed Destinations for Exporting Resources」及「Allowed Sources for Importing Resources」添加允許目標機構的ID(蓋亞機構ID : 1079141620148)。
2. 機構IAM中添加“機構檢視者“，用來確認是否有使用Share VPC功能
 目標機構策略中「Allowed Destinations for Exporting Resources」及「Allowed Sources for Importing Resources」添加允許原機構的ID，需要提供原組織ID給我司。

完成添加權限後，先確認是否有使用到特殊情況之內容，會再使用分析移轉專案測試，來確認是否符合移轉條件，以上都確認完成後，會再請原廠Support協助移轉。