Terraform中PostgreSQL Provider配置、凭证管理及用户授权咨询

一、Google服务账号凭证的其他配置方式 #

除了设置GOOGLE_APPLICATION_CREDENTIALS环境变量，还有几种更灵活的方式在Terraform中配置服务账号凭证：

• 直接在provider块引用凭证文件：在Google或PostgreSQL Provider块里通过file()函数指定凭证文件路径，示例：

  provider "google" {
    credentials = file("./service-account.json")
    project     = "your-project-id"
    region      = "us-central1"
  }
  

  注意：凭证文件不要提交到版本控制，记得在.gitignore中添加对应文件。
• 通过Terraform变量传递：先定义变量，再通过命令行或tfvars文件传入凭证内容：
  1. 定义变量：

     variable "google_credentials" {
       type        = string
       description = "Google service account credentials JSON"
     }
     

  2. 在provider中引用：

     provider "google" {
       credentials = var.google_credentials
       project     = "your-project-id"
     }
     

  3. 命令行传递：terraform apply -var google_credentials=$(cat ./service-account.json)，或者在terraform.tfvars文件中设置（同样要忽略该文件）。
• 使用GCP默认应用凭证：如果本地已经通过gcloud auth application-default login登录GCP账号，Terraform会自动读取默认应用凭证，无需额外配置参数或环境变量。
• TF_VAR前缀环境变量：通过TF_VAR_前缀的环境变量传递变量值，比如：

  export TF_VAR_google_credentials=$(cat ./service-account.json)
  

  之后Terraform会自动识别并赋值给var.google_credentials。

二、非机器/非应用类用户授权的合理性判断 #

针对非机器、非应用类的人类用户，是否用Terraform通过PostgreSQL Provider授权要分场景来看：

• 场景1：使用Cloud SQL本地数据库用户
  如果是给PostgreSQL本地用户（非GCP IAM账号）授权表权限，用Terraform的postgresql_grant资源完全可行，示例：

  resource "postgresql_grant" "user_table_access" {
    database   = "your-db"
    role       = google_sql_user.human_user.name
    schema     = "public"
    table      = "your-table"
    privileges = ["SELECT", "INSERT"]
  }
  

  但要注意：这类用户的密码建议用Terraform的random_password生成，并存储到GCP Secret Manager，避免明文暴露。
• 场景2：使用GCP IAM用户登录Cloud SQL
  对于人类用户，更推荐用Cloud SQL的IAM认证功能：
  1. 给GCP IAM用户授予roles/cloudsql.client角色，允许其连接Cloud SQL；
  2. 用户通过自己的GCP凭证登录PostgreSQL后，再通过postgresql_grant（或手动SQL）授予表权限。
     这种方式无需管理独立的数据库密码，安全性更高，也更符合GCP的IAM体系。

总结：如果是本地数据库用户，Terraform授权方式正确；如果是IAM用户，优先用IAM角色控制连接权限，再配合表级权限授予。

内容的提问来源于stack exchange，提问作者user21860332