Google Cloud の組織間プロジェクト移行をやってみた

# 組織 ID、移行するプロジェクト、作業用アカウントを変数に設定する
export ORG_A="{組織AのID}"
export ORG_B="{組織BのID}"
export PROJECT_ID="{移行するプロジェクトID}"
export USER_A="user:{アカウントAのメールアドレス}"

# ドメイン制限の組織ポリシーの設定を表示する
gcloud org-policies describe iam.allowedPolicyMemberDomains --organization=${ORG_B}

# 組織 B で、プロジェクト作成者・プロジェクト移動者・組織ポリシー管理者を付与する
for R in roles/resourcemanager.projectCreator roles/resourcemanager.projectMover roles/orgpolicy.policyAdmin; do
  gcloud organizations add-iam-policy-binding ${ORG_B} \
    --member="${USER_A}" --role="${R}" --condition=None
done

gcloud organizations get-iam-policy ${ORG_B} \
  --flatten="bindings[].members" \
  --filter="bindings.members:${USER_A}" \
  --format="value(bindings.role)"

roles/orgpolicy.policyAdmin
roles/resourcemanager.projectCreator
roles/resourcemanager.projectMover

# 移行するプロジェクトで、プロジェクト IAM 管理者と Cloud Asset 閲覧者を付与する
gcloud projects add-iam-policy-binding ${PROJECT_ID} \
  --member="${USER_A}" --role="roles/resourcemanager.projectIamAdmin" --condition=None
gcloud projects add-iam-policy-binding ${PROJECT_ID} \
  --member="${USER_A}" --role="roles/cloudasset.viewer" --condition=None

# 組織 A で、プロジェクト移動者・プロジェクト作成者・組織ポリシー管理者を付与する
for R in roles/resourcemanager.projectMover roles/resourcemanager.projectCreator roles/orgpolicy.policyAdmin; do
  gcloud organizations add-iam-policy-binding ${ORG_A} \
    --member="${USER_A}" --role="${R}" --condition=None
done

gcloud projects get-iam-policy ${PROJECT_ID} \
  --flatten="bindings[].members" \
  --filter="bindings.members:${USER_A}" \
  --format="value(bindings.role)"

gcloud organizations get-iam-policy ${ORG_A} \
  --flatten="bindings[].members" \
  --filter="bindings.members:${USER_A}" \
  --format="value(bindings.role)"

roles/orgpolicy.policyAdmin
roles/resourcemanager.projectCreator
roles/resourcemanager.projectMover

ERROR: (gcloud.organizations.get-iam-policy) [{アカウントAのメールアドレス}] does not have permission to access organizations instance [{組織BのID}:getIamPolicy] (or it may not exist): The caller does not have permission.

# 作業用のディレクトリを作って移動する
export WORK_DIR="${HOME}/org-migration"
mkdir -p "${WORK_DIR}" && cd "${WORK_DIR}"

# 移行しない作業用のプロジェクトを選択し、組織ポリシーと Cloud Asset の API を有効にする
gcloud config set project {作業用プロジェクトID}
gcloud services enable orgpolicy.googleapis.com cloudasset.googleapis.com
gcloud config list

# 移行・切り戻しで使う組織ポリシーが、両方の組織にすでに設定されていないかを確認する
for ORG in ${ORG_A} ${ORG_B}; do
  for C in resourcemanager.allowedExportDestinations resourcemanager.allowedImportSources; do
    echo "--- organizations/${ORG} ${C}"
    gcloud org-policies describe ${C} --organization=${ORG} \
      > before_${ORG}_${C}.yaml 2>&1 || echo "未設定"
  done
done

# 組織 A：組織 B へのエクスポートを許可（移行）
cat <<EOF > a-export.yaml
name: organizations/${ORG_A}/policies/resourcemanager.allowedExportDestinations
spec:
  rules:
    - values:
        allowedValues:
          - under:organizations/${ORG_B}
EOF
gcloud org-policies set-policy a-export.yaml

# 組織 B：組織 A からのインポートを許可（移行）
cat <<EOF > b-import.yaml
name: organizations/${ORG_B}/policies/resourcemanager.allowedImportSources
spec:
  rules:
    - values:
        allowedValues:
          - under:organizations/${ORG_A}
EOF
gcloud org-policies set-policy b-import.yaml

# 組織 A：組織 B からのインポートを許可（切り戻し）
cat <<EOF > a-import.yaml
name: organizations/${ORG_A}/policies/resourcemanager.allowedImportSources
spec:
  rules:
    - values:
        allowedValues:
          - under:organizations/${ORG_B}
EOF
gcloud org-policies set-policy a-import.yaml

# 組織 B：組織 A へのエクスポートを許可（切り戻し）
cat <<EOF > b-export.yaml
name: organizations/${ORG_B}/policies/resourcemanager.allowedExportDestinations
spec:
  rules:
    - values:
        allowedValues:
          - under:organizations/${ORG_A}
EOF
gcloud org-policies set-policy b-export.yaml

# 組織 A・組織 B の、移行に関する組織ポリシーの許可値を表示する
for ORG in ${ORG_A} ${ORG_B}; do
  for C in resourcemanager.allowedExportDestinations resourcemanager.allowedImportSources; do
    echo "--- organizations/${ORG} ${C}"
    gcloud org-policies describe ${C} --organization=${ORG} \
      --format="value(spec.rules[].values.allowedValues)"
  done
done

# バケット名を変数に設定する（バケット名は全世界で一意にする必要があるため、プロジェクト ID を含める）
export BUCKET="${PROJECT_ID}-mig-test"

# Cloud Storage の API を有効にする
gcloud services enable storage.googleapis.com --project=${PROJECT_ID}

# 移行するプロジェクトにバケットを作る
gcloud storage buckets create gs://${BUCKET} \
  --project=${PROJECT_ID} \
  --location=asia-northeast1 \
  --uniform-bucket-level-access

# テストファイルを作ってアップロードする
echo "before migration $(date)" > before.txt
gcloud storage cp before.txt gs://${BUCKET}/

# バケット内のファイルと、ファイルの中身を表示する
gcloud storage ls gs://${BUCKET}/
gcloud storage cat gs://${BUCKET}/before.txt

# 移行するプロジェクトで、アカウント A に直接付与されているロールを表示する
gcloud projects get-iam-policy ${PROJECT_ID} \
  --flatten="bindings[].members" \
  --filter="bindings.members:${USER_A}" \
  --format="value(bindings.role)"

# 移行するプロジェクトを変数に設定する
P=${PROJECT_ID}

# 組織 B への移行を分析する
gcloud asset analyze-move --project=${P} \
  --destination-organization=${ORG_B} | tee analyze-move_${P}.txt

moveAnalysis:
- displayName: SERVICE USAGE
  error:
    code: 7
    message: "Failed to analyze the intended resource move. Permission 'serviceusage.effectivepolicy.get'\
      \ denied on resource(s): '//cloudresourcemanager.googleapis.com/projects/{プロジェクト番号}'\
      \ or '//cloudresourcemanager.googleapis.com/organizations/{組織BのID}'. The\
      \ resource(s) may not exist, or you may lack the required permission."
- analysis:
    warnings:
    - detail: |
        The current effective policies including inherited policies applied to the project: {移行するプロジェクトID} may no longer be effective after the migration. The current effective policies based on the current user's read permissions are:
        Policy set on projects/{移行するプロジェクトID}:
        version:         1
        etag: "\a\006_ZFS\273\374"
        bindings {
          role: "roles/cloudasset.viewer"
          members: "user:{別のアカウントのメールアドレス}"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/owner"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/resourcemanager.projectIamAdmin"
          members: "user:{別のアカウントのメールアドレス}"
          members: "user:{アカウントAのメールアドレス}"
        }

        Policy set on organizations/{組織AのID}:
        version:         1
        etag: "\a\006_Y\024vO\332"
        bindings {
          role: "roles/billing.admin"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/billing.creator"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/iam.workforcePoolAdmin"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/orgpolicy.policyAdmin"
          members: "user:{別のアカウントのメールアドレス}"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/resourcemanager.organizationAdmin"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/resourcemanager.projectCreator"
          members: "user:{別のアカウントのメールアドレス}"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/resourcemanager.projectMover"
          members: "user:{別のアカウントのメールアドレス}"
          members: "user:{アカウントAのメールアドレス}"
        }
        bindings {
          role: "roles/serviceusage.serviceUsageAdmin"
          members: "user:{アカウントAのメールアドレス}"
        }
  displayName: IAM
- analysis:
    warnings:
    - detail: |-
        Any organization policy constraints inherited from ancestor resources may no longer be effective after the migration. Currently, the merged effective Org Policies including explicit and inherited policies applied on project {移行するプロジェクトID} are:
        [constraint:     "constraints/resourcemanager.allowedExportDestinations"
        list_policy {
          allowed_values: "under:organizations/{組織BのID}"
        }
        , constraint:    "constraints/compute.restrictProtocolForwardingCreationForTypes"
        list_policy {
          allowed_values: "INTERNAL"
        }
        , constraint:    "constraints/storage.uniformBucketLevelAccess"
        boolean_policy {
          enforced: true
        }
        , constraint:    "constraints/resourcemanager.allowedImportSources"
        list_policy {
          allowed_values: "under:organizations/{組織BのID}"
        }
        , constraint:    "constraints/iam.disableServiceAccountKeyUpload"
        boolean_policy {
          enforced: true
        }
        , constraint:    "constraints/iam.disableServiceAccountKeyCreation"
        boolean_policy {
          enforced: true
        }
        , constraint:    "constraints/iam.automaticIamGrantsForDefaultServiceAccounts"
        boolean_policy {
          enforced: true
        }
        , constraint:    "constraints/compute.setNewProjectDefaultToZonalDNSOnly"
        boolean_policy {
          enforced: true
        }
        ]
  displayName: ORGANIZATION POLICY
- analysis:
    warnings:
    - detail: 'Moving project: {移行するプロジェクトID} from its current location in the resource
        hierarchy might result in lower quota limits. The position of a project in
        the resource hierarchy might determine its default quota limits.'
  displayName: QUOTAS
- displayName: HIERARCHICAL FIREWALL POLICIES
  error:
    code: 7
    message: Failed to retrieve inherited firewall policies to perform analysis. Required
      'compute.organizations.listAssociations' permission for 'organizations/{組織AのID}'
- analysis:
    warnings:
    - detail: Moving this project will impact the access granted by the PAM grant(s)
        that are scoped to this project from the parent folder/organization. For more
        details, visit https://cloud.google.com/resource-manager/docs/handle-special-cases.
  displayName: Privileged Access Manager
{ユーザー名}@cloudshell:~/org-migration ({作業用プロジェクトID})$ 

# 移行前の親、IAM、組織ポリシーを記録する
gcloud projects describe ${P} --format="value(parent)" | tee parent_before_${P}.txt
gcloud projects get-iam-policy ${P} --format=json > iam_before_${P}.json
gcloud org-policies list --project=${P} --show-unset > orgpolicy_before_${P}.txt

# プロジェクトを組織 B へ移行する
gcloud beta projects move ${P} --organization=${ORG_B}

Your project will be moved. This may alter the policies enforced on your Project, either exposing your Project to more security risk through looser polices or cause an outage through stricter polices. 
See these public notes on policy implications for more information: https://cloud.google.com/resource-manager/docs/creating-managing-folders#moving-folders-policy-considerations and 
https://cloud.google.com/resource-manager/docs/migrating-projects-billing#note_on_policy_implications. Once moved, you can move the Project again so long as you have the appropriate permissions. See our
 public documentation for more information: https://cloud.google.com/resource-manager/docs/creating-managing-folders#moving_a_project_into_a_folder

# 親が組織 B になっていることを確認する
gcloud projects describe ${P} --format="value(parent)"

# IAM が移行前と同じであることを確認する（差分が etag 行だけなら問題なし）
gcloud projects get-iam-policy ${P} --format=json > iam_after_${P}.json
diff iam_before_${P}.json iam_after_${P}.json

# 移行後に適用される組織ポリシーを記録する
gcloud org-policies list --project=${P} --show-unset > orgpolicy_after_${P}.txt

# 移行前のファイルが残っているか、中身を読めるかを確認する
gcloud storage ls gs://${BUCKET}/
gcloud storage cat gs://${BUCKET}/before.txt

# 移行後も書き込みと削除ができるかを確認する
echo "after migration $(date)" > after.txt
gcloud storage cp after.txt gs://${BUCKET}/
gcloud storage ls gs://${BUCKET}/
gcloud storage rm gs://${BUCKET}/after.txt

# 移行前の親を表示する
cat parent_before_${P}.txt

# プロジェクトを組織 A へ戻す
gcloud beta projects move ${P} --organization=${ORG_A}

# 親が組織 A に戻ったことを確認する
gcloud projects describe ${P} --format="value(parent)"

# IAM が移行前と同じであることを確認する（差分が etag 行だけなら問題なし）
gcloud projects get-iam-policy ${P} --format=json > iam_rollback_${P}.json
diff iam_before_${P}.json iam_rollback_${P}.json

# 移行・切り戻しを許可する4つの組織ポリシーを削除する
gcloud org-policies delete resourcemanager.allowedExportDestinations --organization=${ORG_A}
gcloud org-policies delete resourcemanager.allowedImportSources --organization=${ORG_A}
gcloud org-policies delete resourcemanager.allowedExportDestinations --organization=${ORG_B}
gcloud org-policies delete resourcemanager.allowedImportSources --organization=${ORG_B}

# 4つの組織ポリシーが削除されたことを確認する
for ORG in ${ORG_A} ${ORG_B}; do
  for C in resourcemanager.allowedExportDestinations resourcemanager.allowedImportSources; do
    echo "--- organizations/${ORG} ${C}"
    gcloud org-policies describe ${C} --organization=${ORG} 2>&1 | head -1
  done
done

# 組織 B で、アカウント A のロールを削除する（アカウント B で実行）
for R in roles/resourcemanager.projectCreator roles/resourcemanager.projectMover roles/orgpolicy.policyAdmin; do
  gcloud organizations remove-iam-policy-binding ${ORG_B} \
    --member="${USER_A}" --role="${R}" --condition=None
done

gcloud organizations get-iam-policy ${ORG_B} \
  --flatten="bindings[].members" \
  --filter="bindings.members:${USER_A}" \
  --format="value(bindings.role)"

# 組織 A で、アカウント A のロールを削除する（アカウント A で実行）
for R in roles/resourcemanager.projectMover roles/resourcemanager.projectCreator roles/orgpolicy.policyAdmin; do
  gcloud organizations remove-iam-policy-binding ${ORG_A} \
    --member="${USER_A}" --role="${R}" --condition=None
done

# 移行したプロジェクトで、プロジェクト IAM 管理者と Cloud Asset 閲覧者を削除する
gcloud projects remove-iam-policy-binding ${PROJECT_ID} \
  --member="${USER_A}" --role="roles/resourcemanager.projectIamAdmin" --condition=None
gcloud projects remove-iam-policy-binding ${PROJECT_ID} \
  --member="${USER_A}" --role="roles/cloudasset.viewer" --condition=None

gcloud organizations get-iam-policy ${ORG_A} \
  --flatten="bindings[].members" \
  --filter="bindings.members:${USER_A}" \
  --format="value(bindings.role)"

# テスト用のバケットを、中のファイルごと削除する
gcloud storage rm --recursive gs://${BUCKET}