如何使用 Terraform 在不同项目中为 Google Cloud 中的其他项目服务帐户添加 IAM 角色

Question

具体来说，我有两个项目 A 和 B。我想在项目 B 中从项目 A 向服务帐户添加一个 IAM 角色。我正在从 bitbucket 管道执行 terraform 脚本

下面是我尝试实现的资源块。

resource "google_project_iam_member" "role1" {
  project = var.project
  role = "roles/dialogflow.admin"
  member = "user:cui-server-service-account@cproject.iam.gserviceaccount.com"
}

project 是用于项目 B 的变量，cproject 是用于项目 A 的变量，我将在 bitbucket 管道执行期间传递项目名称。

Answer 1

member = "serviceAccount:<<service account email>>"

前缀是serviceAccount而不是您示例中的user - 请参阅 member/members 参数的描述方式

并检查运行 terraform 'apply' 的用户（或服务帐户）是否具有相关的 IAM 角色来分配您想要的内容。