如何在GitHub Action中复用Terraform输出配置GCP工作负载身份池

核心思路 #

利用Terraform的for_each和远程状态数据，将集中管理的GitHub仓库列表动态渲染为GCP身份池的属性映射规则，实现仓库变更时自动同步。

解决步骤 #

1. 正确配置terraform_remote_state获取仓库列表 #

先确保能正常拉取存储git_repos的远程状态，之前失败可从以下几点排查：

• 远程状态存储后端（如GCS、S3）配置正确，执行账号有足够读取权限
• 确认远程状态的git_repos输出是仓库名称列表格式，示例：

  output "git_repos" {
    value = ["example-repo1", "example-repo2", "example-repo3"]
  }
  

• 远程状态引用代码示例：

  data "terraform_remote_state" "github_repos" {
    backend = "gcs" # 替换为你的实际后端类型
    config = {
      bucket = "your-terraform-state-bucket"
      prefix = "path/to/github/repos/state"
    }
  }
  
  # 过滤出以example开头的目标仓库
  locals {
    target_repos = [
      for repo in data.terraform_remote_state.github_repos.outputs.git_repos : repo
      if startswith(repo, "example-")
    ]
  }
  

2. 动态生成attribute.repository映射规则 #

GCP身份池的attribute.repository需匹配GitHub仓库完整路径（example-github-organization/<仓库名>），通过join和字符串拼接生成完整映射条件：

resource "google_iam_workload_identity_pool_provider" "github" {
  name                      = "github-provider"
  workload_identity_pool_id = "your-pool-id"
  attribute_mapping = {
    "google.subject"       = "assertion.sub"
    # 动态生成多仓库匹配规则
    "attribute.repository" = join(" || ", [
      for repo in local.target_repos : "assertion.repository == 'example-github-organization/${repo}'"
    ])
  }
  oidc {
    issuer_uri = "https://token.actions.githubusercontent.com"
  }
}

3. 确保变更自动触发 #

• 集中管理仓库的Terraform模块更新git_repos输出后，远程状态会同步更新
• 运行当前GCP身份池模块的terraform plan/apply时，Terraform会检测到local.target_repos的变化，自动更新attribute.repository的映射规则

常见问题排查 #

• terraform_remote_state拉取不到数据：检查后端配置的bucket/prefix是否正确，确认执行账号有读取远程状态的权限
• 映射规则生成异常：用terraform console查看local.target_repos的输出是否符合预期
• 仓库变更后映射未更新：确保执行GCP模块的Terraform命令前，集中管理仓库的模块已完成apply并推送状态

内容的提问来源于stack exchange，提问作者Antham