使用 terraform 将 IAM 策略分配给 Google 云中的现有 Cloud Build 服务帐户失败

Question

我正在尝试将 IAM 策略文档分配给现有的 Cloud Build 服务帐户，但由于某种原因失败了。 以下是我的 iam 政策

data "google_iam_policy" "vulznotepolicy" {
binding {
  role = "roles/containeranalysis.notes.occurrences.viewer"

  members = [
  "serviceaccount:<project_number>@cloudbuild.gserviceaccount.com"
  ]
 }
}

以下是服务帐户的策略分配

resource "google_service_account_iam_policy" "buildsa" {
service_account_id = "serviceaccount:<project_number>@cloudbuild.gserviceaccount.com"
policy_data        = data.google_iam_policy.vulznotepolicy.policy_data
}

服务帐户 ID 不接受我提供的格式。 我只给出了 <project_number> 仍然不接受。 不确定是什么问题

Answer 1

正如约翰正确建议的那样，我使用以下方法将角色添加到服务帐户

resource "google_project_iam_policy" "buildsa" {
project = var.project_id
policy_data        = data.google_iam_policy.vulznotepolicy.policy_data
}

虽然这有效，但会导致如下严重问题。 请谨慎行事

由于这是一项权威操作，如果管理不当，它会将您锁定在您的帐户之外。 这来自 terraform “不建议将 google_project_iam_policy 与您的提供商项目一起使用，以避免将自己锁定在外，并且通常只应将其用于由 Terraform 完全管理的项目。如果您确实使用此资源，建议在之前导入策略应用更改。”