如何将指定gcloud IAM绑定命令转换为正确的Terraform配置？

问题分析 #

你提供的原gcloud命令是给GCP服务账号dns01-solver@$PROJECT_ID.iam.gserviceaccount.com添加IAM绑定，允许Kubernetes集群中cert-manager命名空间下的cert-manager服务账号通过工作负载身份认证使用该GCP服务账号。

你的Terraform配置核心错误在于：错误地将GCP服务账号邮箱拼接到成员（member）字符串中，导致生成的成员格式完全不符合GCP工作负载身份的要求。

正确的Terraform配置 #

使用google_service_account_iam_binding资源，成员字段仅保留Kubernetes工作负载身份的标识即可，不需要附加GCP服务账号信息：

resource "google_service_account_iam_binding" "dns01_solver_binding" {
  service_account_id = google_service_account.dns01_solver.name
  role               = "roles/iam.workloadIdentityUser"

  members = [
    "serviceAccount:${var.project_id}.svc.id.goog[cert-manager/cert-manager]",
  ]
}

补充配置（必要步骤） #

完成上述IAM绑定后，需确保Kubernetes中的cert-manager服务账号添加注解，关联到目标GCP服务账号：

apiVersion: v1
kind: ServiceAccount
metadata:
  annotations:
    iam.gke.io/gcp-service-account: dns01-solver@${var.project_id}.iam.gserviceaccount.com
  name: cert-manager
  namespace: cert-manager

如果用Terraform管理K8S资源，也可通过kubernetes_service_account资源配置该注解。

错误原因解释 #

原gcloud命令中的--member参数值serviceAccount:$PROJECT_ID.svc.id.goog[cert-manager/cert-manager]是Kubernetes集群工作负载身份的唯一标识，代表集群内cert-manager命名空间下的cert-manager服务账号。你之前的配置错误地将GCP服务账号邮箱拼接至该标识后，生成了无效的服务账号格式，触发了400请求错误。

内容的提问来源于stack exchange，提问作者CommonSenseCode