Terraform GCP 将 IAM 角色分配给服务帐户

Question

我正在使用以下

resource "google_service_account" "store_user" {
  account_id   = "store-user"
  display_name = "Storage User"
}

resource "google_project_iam_binding" "store_user" {
  project = var.project_id
  role    = "roles/storage.admin"
  members = [
    "serviceAccount:${google_service_account.store_user.email}"
  ]
}

效果很好，因为它创建了 SA 并为其分配了存储管理员角色。伟大的。但我需要为这个 SA 分配大约 4 个角色。我尝试了各种方法，包括使用带有重复绑定/角色块的数据块，如下所示：

data "google_iam_policy" "store_user_roles" {
  binding {
    role = "roles/storage.admin"
    members = [
      "serviceAccount:${google_service_account.store_user.email}",
    ]
  }
  binding {
    role = "roles/pubsub.admin"
    members = [
      "serviceAccount:${google_service_account.store_user.email}",
    ]
  }
}

奇怪的是，它运行了，但 SA 没有获得角色/权限。我尝试过到处找到的各种其他示例，但没有成功。有人可以在正确的方向上推动我如何实现这一目标吗？

// 更新。以下对我有用：

resource "google_project_iam_binding" "storage-iam" {
    project = var.project_id
    role = "roles/storage.admin"
    members = [
        "serviceAccount:${google_service_account.store_user.email}",
    ]
}
resource "google_project_iam_binding" "pubsub-iam" {
    project = var.project_id
    role = "roles/pubsub.admin"
    members = [
        "serviceAccount:${google_service_account.store_user.email}",
    ]
}

Answer 1

另一种替代方法是使用循环。这是一些使用count循环的示例代码。

变量.tf

variable "rolesList" {
type =list(string)
default = ["roles/storage.admin","roles/pubsub.admin"]
}

服务帐户.tf

resource "google_service_account" "store_user" {
account_id   = "store-user"
display_name = "Storage User"
}

resource "google_project_iam_binding" "store_user" {
project = var.project_id
count = length(var.rolesList)
role =  var.rolesList[count.index]
members = [
  "serviceAccount:${google_service_account.store_user.email}"
]
}

请注意，使用count循环时，Terraform 会维护状态文件中的值的索引映射。简单来说，如果您只是因为我们不需要该角色而从列表中删除第一个元素，那么 Terraform 将从索引 2（旧列表）中删除所有元素，然后将它们应用回来。

另外，我更喜欢使用google_project_iam_member而不是因为google_project_iam_binding使用时google_project_iam_binding，如果在 Terraform 之外创建的任何用户或 SA 绑定到同一角色，GCP 会在将来的运行中删除它们（TF 应用）。