Terraform：如何将包含资源引用的ServiceAccount配置对象从本地变量转为常规变量

首先直接给你结论：不能直接把包含资源属性引用的对象转为Terraform常规变量，这么写会直接报错。下面给你拆解原因，再提供可行的解决方案。

为什么不行？ #

Terraform里的变量（variable）是用来接收外部输入的静态值，这些值必须在Terraform开始执行plan或apply之前就确定下来，根本没法引用还没创建的资源属性（比如google_organization_iam_custom_role.my_custom_role.id）。

而你之前用本地值（local）能正常运行，是因为本地值是在配置解析阶段求值的，Terraform会自动处理资源依赖关系，确保求值本地值时，相关资源已经被规划好，能拿到对应的属性值。

两种可行解决方案 #

方案1：把角色ID作为变量的外部输入 #

把角色信息的引用逻辑移到变量的调用端，让外部传入已经确定的角色ID（包括动态生成的自定义角色ID）。

变量定义

variable "service_accounts" {
  type = map(object({
    create       = bool
    project      = string
    account_id   = string
    display_name = string
    role         = string # 只接收字符串类型的角色ID
  }))
  description = "配置需要创建和管理的服务账号集合"
}

调用示例（根模块/模块引用处）

在调用模块时，直接把自定义角色的ID传入变量：

# 先定义自定义角色
resource "google_organization_iam_custom_role" "my_custom_role" {
  org_id = "your-org-id"
  title  = "Custom Cluster Scaling Role"
  # 其他自定义角色配置...
}

# 引用模块时传入完整的服务账号配置
module "service_account_setup" {
  source = "./path/to/your/module"
  
  service_accounts = {
    "gha_storage_admin_sa" = {
      create       = true
      project      = var.project_id
      account_id   = "id1"
      display_name = "GHA service account 1"
      role         = "roles/storage.admin"
    },
    "gha_cluster_scaling_sa" = {
      create       = false
      project      = var.project_id
      account_id   = "id2"
      display_name = "GHA service account 2"
      role         = google_organization_iam_custom_role.my_custom_role.id # 这里传入动态生成的角色ID
    },
  }
}

方案2：变量只传静态信息，本地值处理动态角色引用 #

如果不想让外部调用者处理角色引用逻辑，可以让变量只传递服务账号的基础静态信息，再用本地值在配置内部补充角色的动态引用。

变量定义

variable "service_accounts_base" {
  type = map(object({
    create       = bool
    project      = string
    account_id   = string
    display_name = string
    role_category = string # 标记角色类型：builtin（内置）/ custom（自定义）
    role_identifier = string # 内置角色传名称，自定义角色传资源的键名
  }))
  description = "服务账号基础配置，不含动态角色引用"
}

本地值处理动态角色

locals {
  service_accounts = {
    for k, v in var.service_accounts_base : k => merge(v, {
      # 根据角色类型动态获取角色ID
      role = v.role_category == "custom" ? google_organization_iam_custom_role[v.role_identifier].id : v.role_identifier
    })
  }
}

# 后续的资源配置和你原来的代码一致
resource "google_service_account" "service_account" {
  for_each = { for k, v in local.service_accounts : k => v if v.create }
  project      = each.value.project
  account_id   = each.value.account_id
  display_name = each.value.display_name
}

resource "google_project_iam_member" "member" {
  for_each = local.service_accounts
  project = var.project_id
  role    = each.value.role
  member  = "serviceAccount:${google_service_account.service_account[each.key].email}"
}

调用示例

module "service_account_setup" {
  source = "./path/to/your/module"
  
  service_accounts_base = {
    "gha_storage_admin_sa" = {
      create       = true
      project      = var.project_id
      account_id   = "id1"
      display_name = "GHA service account 1"
      role_category = "builtin"
      role_identifier = "roles/storage.admin"
    },
    "gha_cluster_scaling_sa" = {
      create       = false
      project      = var.project_id
      account_id   = "id2"
      display_name = "GHA service account 2"
      role_category = "custom"
      role_identifier = "my_custom_role" # 和自定义资源的名称对应
    },
  }
}

内容的提问来源于stack exchange，提问作者pkaramol