物理迁移到计算巢方案
一、适用伙伴
钉钉端的上架应用部署在原钉钉云或聚石塔账号下，但其他端的业务部署在自有的阿里云账号下，多套环境部署，运维成本高。希望将钉钉端的应用迁移部署到自有的阿里云账号下。
或已经绑定了计算巢的云账号，需要变更切换成新的阿里云账号绑定到计算巢。
注：如果使用的是原钉钉云账号，优先推荐《钉钉云切换（阿里云+计算巢）方案》，只做账号维度的变更切换，不需要重新部署应用服务和数据迁移，切换过程中不停服。
﻿
二、申请条件
1、已加入“钉钉合作伙伴”的钉钉组织：如何进【钉钉合作伙伴】组织。
2、有独立的自有阿里云账号（企业认证）。
﻿
三、迁移计算巢步骤
1、发起切换计算巢申请流程
申请单入口：钉钉合作伙伴-审批-切换阿里云计算巢申请单，提交该审批单后，会引导完成切换的各个步骤。
注：如果是要物理迁移，请在“申请说明”中填写“物理迁移，上架应用部署在钉钉云（或聚石塔）”
﻿﻿
填写示例说明
﻿﻿
2、钉钉组织绑定阿里云账号
a.在开发者后台点击进入阿里云，将上架应用部署的阿里云主账号绑定到上架应用所属的钉钉组织。
i.通过阿里云主账号绑定功能把阿里云主账号绑定到钉钉组织的某个管理员身份。
ii.一个钉钉组织下的管理员身份账号只能绑定一个阿里云主账号，但支持不同的管理员身份账号绑定不同的阿里云主账号。
iii.把管理员绑定的阿里云主账号当做该组织的应用部署账号。
b.进入阿里云页面后点击“添加关联账号”，点击“去绑定”。
注意：若没有“添加关联账号”，说明此账号已经绑定了阿里云主账号，不能再添加关联主账号，需要更换其他子管理员角色的钉钉账号。
﻿﻿
c.跳转到阿里云的主账号登录，输入主账号（例如钉钉云主账号一般为dingclou-xxxx）密码，成功登录阿里云主账号，回跳刷新钉钉开发者后台，此时需要访问阿里云“三方账号绑定”页面，选择钉钉账号进行扫码绑定，
﻿https://account.console.aliyun.com/v2/#/home/person﻿
﻿﻿
注意：若在操作钉钉绑定过程中，提示“已绑定”，如下图，则说明该钉钉账号在已经有阿里云主账号绑定过，需要更换其他子管理员角色的钉钉账号或者找到已经绑定的阿里云账号进行解绑。
 ﻿
d.要求阿里云主账号的维护者必须是企业的子管理员，并且不能解除该绑定关系。
﻿﻿
﻿
3、新环境的应用部署
完成阿里云账号绑定后，在绑定的云账号下，创建测试应用，按照应用部署流程，完成迁移应用的功能测试和验证。
a.物理迁移，需要将应用程序和应用数据都迁移到新环境里，上架应用的应用程序所需云资源建议在云环境单独VPC创建、部署和维护，并将新创建的云资源导入到计算巢。
b.若需要复用已有的云资源，所复用的云资源必须单独VPC部署，并将复用的云资源都导入到计算巢里。
c.应用数据的迁移由isv自行负责，钉钉不提供保障，若支持使用阿里云的DTS服务，建议可以使用DTS服务的同步方案保持两边环境数据的一致性。若是原钉钉云环境的迁移遇到服务权限问题，请联系钉钉技术同学。
﻿
4、制定迁移计划
完成新环境功能的测试和验证后，制定迁移的时间和计划，因物理迁移需要短暂停止服务，必须对客户发布公告，并提前联系钉钉技术同学，进行必要的技术保障。
﻿
5、上架应用迁移
上架的正式应用，按照应用部署流程，重新进行部署方式的切换、云账资源的导入、安全域名的绑定和应用自检等校验，对迁移应用进行功能测试和验证。
a.安全域名绑定变更
i.若之前未申请过上架应用的安全域名，提前按照钉钉安全域名文档提交申请，新申请的安全域名配置生效需要1个工作日；
ii.若之前已经申请过安全域名，更换绑定的slb，点击“修改”，审批通过需要一定时间（1~24小时）才能生效，在生效之前，访问域名的流量会继续转发到旧的slb。
b.若“应用自检”状态为“已完成自检”，则联系钉钉技术同学核验迁移后的功能自检完成情况，并按照提供的地址重新提交“安全审核”所需的材料。
﻿﻿
c.完成自检状态后，无需再点击“我要定向分发应用”和“我要上架应用”。
﻿
6、【重点注意事项】
若“事件与回调”使用的推送方式是“RDS推送”，需要变更推送数据接收的RDS实例，需要提前走下架申请流程进行临时下架后，才可以变更推送方式。在未完成变更之前，建议通过DTS服务或者编写脚本实现新推送数据的同步。
若推送方式为“SycnHttp推送”的不受影响。
a.提前应用下架审批单，审批单内选择短期下架；
具体可以参考《应用下架》。
短期下架的影响：已安装应用的客户，还可以正常使用应用，只不过老客户不能继续在应用内进行续费和升级操作，新客户不能订购安装应用了。
﻿﻿
b.rds推送变更完成后，再重新提交上架流程，让类目小二再手动操作一下上架即可。
﻿﻿
c.应用重新上架后，在“伙伴自运营平台”页面，依次单击“应用管理 > 商品上架 > 已上架应用”，检查以下检查项为“已完成”即可在应用市场搜索到。
﻿﻿
﻿
四、FAQ
1、物理迁移是否需要停服
答：需要临时停服，主要涉及到应用服务和数据迁移，原先云账号下的云资源和数据无法平滑变更到新环境，建议在业务量低谷期间操作。
2、迁移的耗时
答：应用架构的复杂度、应用服务的部署、应用的数据量、流程的熟悉程度等都不一样，迁移耗时会不一样。在准备充分情况下：
a.若使用DTS服务提前做了数据同步，主要时间在钉钉开发者后台的“应用部署”环节的部署切换、资源导入、安全域名变更，完成后进行测试和验证。
b.若使用脚本做数据迁移，则在“应用部署”环节耗时之前，增加数据迁移的耗时。
3、钉钉侧提供的保障
答：钉钉侧只提供指导方案和建议，以及迁移过程中钉钉侧配置问题的解答，但应用服务和数据的迁移及一致性、测试验证等由isv自行制定方案保障。
4、物理迁移提前准备的事项
答：
a.若部署在钉钉云，找回钉钉云主账号，绑定新手机号，具体流程参考：如何找回钉钉云解封至阿里云账号的登录密码（需准备材料，请ISV提前查阅）﻿
b.钉钉开发者后台绑定新部署环境的阿里云账号
c.将应用服务部署到新账号下的环境，配置DTS服务同步数据。
d.利用测试应用，熟悉部署流程和验证新环境部署的应用服务。
e.未申请安全域名，则提前申请安全域名。
f.若已经申请安全域名但未配置接入到应用中，可以提前修改绑定的slb，并在新环境配置服务端接收或转发安全域名流量。
g.若已经申请安全域名且配置接入到应用中，因安全域名的新架构不支持实时切换到新的slb，导致安全域名切换绑定的SLB过程中，从提交安全域名的切换到真正切换会有一段时间差（1~24小时不定），在时间差内访问安全域名的流量会一直转发到旧的SLB。跨云账号的物理迁移建议在安全域名绑定的新的slb生效之前，使用其他域名访问。
h.若涉及到推送方式的变更，提前联系钉钉同学，定向跟进迁移应用的下架&上架操作流程。
5、物理迁移是否支持回滚
答：理论上支持，但都需要人工操作，关键点在于应用访问入口（即开发者后台“应用能力”下的“网页应用”或“小程序”的应用首页或访问地址等配置）的域名配置和事件回调的推送。
a.应用访问入口域名配置
i.若迁移应用已经在使用安全域名，安全域名绑定的slb切换到新环境的slb后，无法跨账号绑回原账号的slb。若原环境同时支持自有域名，可以将开发管理的首页地址更换为自有域名。
ii.若迁移应用使用的是自有域名，切换到安全域名有问题情况下，回滚自有域名即可。
b.事件回调推送方式
i.若使用的SycnHttp推送方式，跟随域名配置进行回滚。
ii.若使用的RDS推送方式，无法直接回滚绑定原账号下的RDS，通过DTS服务或者自编写的脚本保障数据一致。
6、不迁移到计算巢的影响
答：
a.多套环境部署，资源和运维成本高。
b.钉钉云和聚石塔环境使用体验差，功能和权限有缺失，无人维护，稳定性&安全性无法保障。
c.钉钉生态应用的安全认证体系基于计算巢，也将计算巢打造为对企业客户的安全PaaS平台，非计算巢环境无法满足安全准入&评估要求，也不能建立对客的安全体感。
﻿