如何在Terraform中禁止GCP资源管理服务账号修改自身权限

需求是否可以实现？ #

可以实现。你之前的IAM条件代码无法生效，核心原因是resource.name的属性格式理解有误。GCP IAM条件中，服务账号的resource.name完整格式为projects/{PROJECT_ID}/serviceAccounts/{SA_EMAIL}，而非仅邮箱前缀。

正确的Terraform配置示例 #

resource "google_service_account" "resource_manager_sa" {
  account_id   = "resource-manager-sa"
  display_name = "Resource Manager Service Account"
}

resource "google_project_iam_member" "service_account_admin_with_restriction" {
  project = var.project
  role    = "roles/iam.serviceAccountAdmin"
  member  = "serviceAccount:${google_service_account.resource_manager_sa.email}"

  condition {
    title      = "Prevent self-management"
    # 匹配服务账号资源路径不包含当前SA的邮箱
    expression = "!resource.name.contains('${google_service_account.resource_manager_sa.email}')"
  }
}

这个配置会给resource-manager-sa赋予项目级的roles/iam.serviceAccountAdmin权限（包含创建、编辑、删除服务账号的能力），同时通过条件限制它无法操作自身的服务账号资源。

方案是否推荐？ #

这个方案是推荐的，属于符合IAM最小权限原则的良好实践：

• 既满足了Terraform批量管理新服务账号的需求（无需逐个配置目标SA的IAM），
• 又通过条件限制避免了该SA提升自身权限的风险（比如给自己添加更高权限的角色）。

额外注意事项 #

• 确保使用的Terraform Google Provider版本支持IAM条件（建议v3.50.0及以上）；
• 可通过GCP IAM权限测试工具验证权限是否符合预期；
• 如果需要更精细的控制，也可以拆分角色（比如单独赋予roles/iam.serviceAccountCreator+roles/iam.serviceAccountDeleter等），再配合条件限制。

内容的提问来源于stack exchange，提问作者Prusdrum