如何避免新的GCP IAM权威绑定资源覆盖现有绑定？

问题现象 #

使用Terraform的google_bigquery_dataset_iam_policy这类完整IAM策略管理资源时，存在一个危险的默认行为：当目标GCP资源已经有现有IAM绑定时，直接创建该Terraform资源不会检测现有绑定，而是直接用定义的policy_data完全覆盖所有现有绑定。

比如以下代码：

resource "google_bigquery_dataset_iam_policy" "iam_policy" {
  dataset_id  = "<已有绑定的数据集ID>"
  policy_data = data.google_iam_policy.iam_policy.policy_data
}

执行terraform plan时，只会显示添加data.google_iam_policy中定义的绑定，但不会提示现有20+个绑定将被彻底清除，执行apply后这些绑定会被直接删除且无错误提示。

临时解决方法 #

通过添加import块，可以让Terraform先导入资源的现有IAM策略状态，此时执行plan就能看到完整的差异对比（包括现有绑定的变更）：

import {
  id = "<已有绑定的数据集ID>"
  to = google_bigquery_dataset_iam_policy.iam_policy
}

resource "google_bigquery_dataset_iam_policy" "iam_policy" {
  dataset_id  = var.google_bigquery_dataset_id
  policy_data = data.google_iam_policy.iam_policy.policy_data
}

但这种默认需要手动导入的体验非常糟糕，且import块无法放入Terraform模块中，难以规模化复用。

替代解决方案 #

1. 使用增量式IAM资源（推荐） #

放弃使用完整策略管理的iam_policy资源，改用增量式的iam_binding或iam_member资源。这类资源只会管理指定角色的成员关系，不会影响其他现有绑定：

# 管理单个角色的绑定，不干扰其他角色的现有设置
resource "google_bigquery_dataset_iam_binding" "data_editor" {
  dataset_id = var.google_bigquery_dataset_id
  role       = "roles/bigquery.dataEditor"

  members = [
    "user:dev@example.com",
    "serviceAccount:dev-sa@example-project.iam.gserviceaccount.com",
  ]
}

# 管理单个成员的单个角色
resource "google_bigquery_dataset_iam_member" "viewer_member" {
  dataset_id = var.google_bigquery_dataset_id
  role       = "roles/bigquery.dataViewer"
  member     = "group:viewers@example.com"
}

2. 手动/脚本化导入现有策略 #

如果必须使用iam_policy资源管理完整策略，可以通过terraform import命令手动导入现有状态，或者编写脚本批量处理：

terraform import google_bigquery_dataset_iam_policy.iam_policy "your-project-id:your-dataset-id"

导入后Terraform会将现有策略纳入状态管理，后续变更会基于现有状态做对比，不会直接覆盖。

3. 合并现有策略到Terraform定义 #

通过google_iam_policy数据源结合google_bigquery_dataset_iam_policy的现有策略，手动合并新绑定到现有策略中，但这种方式需要额外处理策略合并逻辑，复杂度较高，不推荐大规模使用。

内容的提问来源于stack exchange，提问作者red888