如何通过Terraform配置GCP Pub/Sub死信队列并解决Cloud Pub/Sub服务账号权限问题

我来帮你理清这个问题的关键点：

1. 什么是Cloud Pub/Sub Service Account？ #

这是GCP Pub/Sub服务自身使用的托管服务账号，用于执行服务层面的操作（比如死信队列的消息投递、订阅的推送等）。它的格式固定为：

service-<你的项目编号>@gcp-sa-pubsub.iam.gserviceaccount.com

2. 如何获取这个账号？ #

有几种简单的方式：

• GCP控制台：进入IAM页面，搜索“Pub/Sub Service Agent”，对应的邮箱就是这个托管账号。
• gcloud命令行：先拿到项目编号，再拼接账号格式：

  # 获取项目编号
  PROJECT_NUMBER=$(gcloud projects describe YOUR_PROJECT_ID --format="value(projectNumber)")
  # 输出Pub/Sub服务账号
  echo "service-${PROJECT_NUMBER}@gcp-sa-pubsub.iam.gserviceaccount.com"
  

• Terraform中自动获取：通过google_project数据源拿到项目编号，再拼接成账号：

  data "google_project" "current" {
    project_id = "example" # 替换成你的项目ID
  }
  
  locals {
    pubsub_service_account = "service-${data.google_project.current.number}@gcp-sa-pubsub.iam.gserviceaccount.com"
  }
  

3. 为它分配发布者角色是否必要？ #

这完全取决于你的使用场景：

• 如果你的订阅配置了死信队列（Dead Letter Policy）：这一步必须做！
  当消息达到最大投递次数后，是Pub/Sub服务本身负责把消息推送到死信主题，而不是你的自定义服务账号example-sa。如果不给Pub/Sub的托管账号授予死信主题的roles/pubsub.publisher权限，死信队列功能会失效，消息无法被投递到死信主题，还会在日志里出现权限错误。
• 如果没有使用死信队列：则不需要额外配置这个权限。

修正你的Terraform代码 #

针对你当前的死信队列配置，需要给死信主题example-parse-fail添加Pub/Sub服务账号的发布者权限：

# 先添加项目数据源（如果还没有的话）
data "google_project" "current" {
  project_id = "example"
}

locals {
  pubsub_service_account = "service-${data.google_project.current.number}@gcp-sa-pubsub.iam.gserviceaccount.com"
}

# 给Pub/Sub服务账号授予死信主题的发布者权限
resource "google_pubsub_topic_iam_binding" "example_parse_fail_pubsub_sa_binding" {
  topic  = google_pubsub_topic.example_parse_fail.id
  role   = "roles/pubsub.publisher"
  members = ["serviceAccount:${local.pubsub_service_account}"]
}

这样配置后，你的死信队列就能正常工作了。

内容的提问来源于stack exchange，提问作者orbiteleven