Terraform管理GCS Bucket：动态绑定IAM拒绝策略限制控制台修改

核心思路 #

要实现仅限制Terraform创建的Bucket被控制台修改、不影响手动创建的Bucket，关键是动态获取Terraform管理的所有Bucket实例，再为每个实例绑定拒绝策略，无需硬编码桶名。

步骤1：动态获取Terraform管理的Bucket列表 #

不管你是单个定义Bucket资源，还是批量创建，都可以通过values()函数提取所有由Terraform管理的GCS Bucket资源：

locals {
  # 自动获取所有Terraform创建的GCS Bucket
  managed_buckets = values(google_storage_bucket)
}

步骤2：为每个Bucket创建IAM拒绝策略 #

使用google_storage_bucket_deny_policy资源（而非iam_binding，因为我们需要的是拒绝规则），通过for_each遍历动态获取的Bucket列表，批量绑定拒绝策略：

resource "google_storage_bucket_deny_policy" "restrict_console_changes" {
  # 遍历所有Terraform管理的Bucket，用桶名作为唯一键
  for_each = { for bucket in local.managed_buckets : bucket.name => bucket }
  bucket   = each.value.name
  name     = "restrict-console-modifications" # 每个桶的拒绝策略名称需唯一

  rule {
    deny_rule {
      # 拒绝所有用户的修改操作
      denied_principals = ["allUsers"]
      # 定义需要限制的操作（可根据需求调整）
      denied_permissions = [
        "storage.buckets.delete",
        "storage.buckets.update",
        "storage.objects.create",
        "storage.objects.delete",
        "storage.objects.update"
      ]
      # 条件：仅当请求来自控制台且操作账号不是Terraform服务账号时生效
      condition {
        title       = "Block Console Modifications"
        description = "Deny changes to this bucket via Google Cloud Console, except for Terraform service account"
        expression  = <<EOT
request.auth.origin == 'https://console.cloud.google.com' && 
request.auth.claims['email'] != '${var.tf_serviceaccount_email}'
EOT
      }
    }
  }
}

批量创建Bucket的优化方案（可选） #

如果你还在逐个定义Bucket资源，建议改用批量方式，后续新增Bucket只需修改变量，无需重复写资源块：

# variables.tf
variable "buckets" {
  type = map(object({
    location = string
  }))
  description = "Map of GCS Buckets to create"
}

# terraform.tfvars
buckets = {
  "bucket-1" = { location = "us-east1" }
  "bucket-2" = { location = "us-east1" }
  # 新增Bucket直接在这里添加即可
}

# buckets.tf
resource "google_storage_bucket" "managed" {
  for_each               = var.buckets
  name                   = each.key
  location               = each.value.location
  force_destroy          = true
  uniform_bucket_level_access = true # 必须启用，拒绝策略依赖此设置
}

这种情况下，local.managed_buckets只需改为values(google_storage_bucket.managed)即可。

关键注意事项 #

1. 统一桶级访问：必须确保Bucket启用了uniform_bucket_level_access = true，否则拒绝策略无法生效。
2. 条件准确性：request.auth.origin == 'https://console.cloud.google.com'是识别控制台请求的可靠方式，若需覆盖其他控制台域名可扩展条件。
3. 权限范围：根据实际需求调整denied_permissions列表，比如是否需要限制对象读取（一般不需要，所以示例中未包含）。

内容的提问来源于stack exchange，提问作者adk