咨询含GKE等资源的云项目跨组织迁移实操经验

我前后主导过7个同类型项目的跨组织迁移，踩过不少官方文档没写的坑，下面是实际验证过的内容，不是文档里的泛泛说明：

实际可迁移资源范围（踩坑验证） #

• 项目基础属性：项目本身的标签、项目内自定义IAM角色、项目级IAM绑定、项目内独立创建的VPC/子网/防火墙/Cloud NAT等网络资源，都可以随项目直接迁移，不需要重建
• GKE资源：标准集群、Autopilot集群、节点池、存量工作负载配置、Kubernetes RBAC规则都能随项目完整迁移，只要不是绑定原组织共享VPC的集群，迁完基本不需要额外调整就能正常运行
• Cloud SQL：所有引擎版本的实例（含挂载私有IP的实例）、存量备份、参数组配置、数据库账号权限都能随项目迁移，注意：绑定原组织共享VPC的Cloud SQL实例，迁完私有IP连通性会直接中断
• Cloud Storage：所有存储桶、桶内对象、生命周期规则、桶级IAM配置都不会丢失，可随项目完整迁移，唯一例外是用原组织级KMS密钥做服务端加密的桶，迁前需要提前处理密钥权限
• 私有IP资源：项目内自有VPC的私有IP地址分配、私有DNS zone、私有服务访问对等连接配置都能保留，但是关联原组织共享VPC的私有IP资源、原组织共享的私有DNS zone，迁完会直接失效

迁移前必须做的准备（踩过的血坑） #

• 先对齐两边组织策略：把原组织和目标组织的组织级约束拉出来做对比，重点看constraints/compute.vmExternalIpAccess、constraints/storage.publicAccessPrevention、constraints/iam.disableCrossProjectServiceAccountUsage这类会直接影响存量资源运行的约束，如果目标组织约束更严格，迁完不符合规则的资源会直接进入异常状态，提前调整资源配置适配
• 提前处理加密密钥：如果项目内GKE节点盘、Cloud SQL、存储桶用了原组织托管的Cloud KMS密钥做加密，迁前要么换成项目内自管的KMS密钥，要么提前给目标组织的迁移服务账号授予原KMS密钥的使用权限，不然迁完所有加密资源会因为读不到密钥直接锁死，我第一次迁的时候踩过这个坑，锁了2小时才恢复
• 提前解绑VPC Service Controls边界：如果项目被加入原组织的VPC SC安全边界，迁前务必先把项目从边界中移除，不然迁移接口会直接报权限拒绝，卡很久都找不到原因，迁到目标组织后再重新加入目标侧的VPC SC边界即可
• 做兜底备份：别信官方说的“迁移无风险”，迁前手动做GKE全量etcd备份、Cloud SQL全量导出备份、Cloud Storage跨项目副本备份，我碰到过迁移过程中组织权限同步卡住，项目被锁3小时的情况，有备份才不会慌
• 提前配好目标侧结算账号：迁完项目会自动解绑原组织结算账户，提前在目标组织给待迁移项目绑定好结算权限，不然迁完所有资源会因为无有效结算账号进入停机状态

迁移操作核心步骤 #

• 权限配置：给执行迁移的账号同时授予原项目的roles/resourcemanager.projectMover权限，以及目标组织/目标文件夹的roles/resourcemanager.projectCreator权限，权限不要多开，过审计麻烦，也别少开，少了迁不动
• 执行迁移：直接用gcloud命令执行，别用控制台点，控制台接口同步延迟很高，容易卡状态，命令为：
  gcloud beta projects move <你的项目ID> --organization <目标组织数字ID>
• 迁移等待：执行完命令后项目会进入MOVING状态，这个阶段不要做任何资源变更操作——别改GKE工作负载、别调整Cloud SQL配置、别删存储桶对象，一般10-30分钟就能完成，项目内资源越多等待时间越长
• 迁完校验：等项目状态回到ACTIVE后第一时间做全量校验：
  • 检查GKE集群、节点池状态是否为RUNNING，测试工作负载东西向、南北向连通性
  • 检查Cloud SQL实例状态，分别测试私有IP、公网连接是否正常，自动备份策略是否保留
  • 检查存储桶读写权限，抽查核心对象是否存在
  • 检查VPC路由表，把之前依赖原组织共享VPC的资源全部切换到本项目VPC或者目标组织的共享VPC上

高频注意事项 #

• 私有IP场景特殊处理：如果Cloud SQL、GKE的私有IP是分配在原组织的私有服务访问地址段里的，迁完后这个地址段和目标组织的路由是不通的，要么迁前提前把资源切到项目自有VPC的私有服务访问段，要么迁完立刻重建目标侧的私有服务访问对等连接，不然业务会连不上数据库和集群
• IAM权限补全：原组织内给组织级用户、用户组授予的项目权限，迁完会因为跨组织信任关系失效，提前列好需要保留的权限清单，迁完立刻绑定目标组织内的对应用户、用户组权限
• 第三方集成适配：如果用服务账号密钥对接的CI/CD、监控、日志采集系统，迁完密钥仍然有效，不用重新生成；但如果用了原组织的工作负载身份联合、组织级SSO配置，迁完会失效，需要重新对接目标组织的对应配置
• 日志、监控数据留存：原组织绑定的组织级日志接收器、监控面板不会跟着项目迁，迁前提前把需要留存的日志数据导出，迁完重新配置目标侧的日志、监控采集规则

内容的提问来源于stack exchange，提问作者gabac