使用Terraform向GCP上传公钥失败，寻求解决方案

你遇到的问题核心是公钥格式不符合GCP的要求，文档里明确public_key_data需要的是base64编码的完整X509_PEM格式内容，而非去掉头尾换行后的纯密钥字符串。以下是完整可行的解决步骤：

1. 保留正确的公钥生成流程 #

你的openssl命令是正确的，直接复用即可生成符合要求的X509格式公钥：

openssl req -x509 -nodes -newkey rsa:2048 -days 365 \
    -keyout /path/to/private_key.pem \
    -out /path/to/public_key.pem \
    -subj "/CN=unused"

生成的public_key.pem包含完整的-----BEGIN CERTIFICATE-----、-----END CERTIFICATE-----头尾及换行，不要做任何修改，保留原文件。

2. 修正Terraform配置 #

无需手动处理公钥，直接用Terraform内置的filebase64函数读取完整PEM文件并自动完成base64编码：

resource "google_service_account_key" "service-account-key" {
  service_account_id = google_service_account.api-service-account.name
  public_key_data    = filebase64("../public_keys/public_key.pem") # 替换为你的公钥文件路径
}

错误原因解析 #

你之前手动去掉PEM头尾和换行的操作，直接破坏了GCP要求的X509_PEM结构。GCP需要的是将完整PEM文件（含头尾、换行）做base64编码后的结果，而非纯密钥文本。

额外验证方案（可选） #

若仍怀疑格式问题，可手动对public_key.pem做base64编码，将结果硬编码到配置中测试：

base64 -w 0 /path/to/public_key.pem

把输出的字符串直接赋值给public_key_data，若能成功创建资源，则说明格式问题已解决。

其他排查点 #

• 确认Terraform使用的账号拥有roles/iam.serviceAccountKeyAdmin权限
• 检查GCP Provider版本，尽量使用最新稳定版
• 确保生成证书时未遗漏-x509参数（该参数是生成X509格式证书的关键）

内容的提问来源于stack exchange，提问作者displayname