如何用Terraform为Pub/Sub死信主题正确配置发布订阅权限

你的死信功能失效核心原因是Pub/Sub服务账号缺少死信主题的发布权限，同时配置中存在资源引用错误和冗余权限设置，以下是具体问题和修复方案：

1. 死信主题IAM绑定的资源引用错误 #

你在google_pubsub_topic_iam_binding.pubsub_sa_publish_deadletter_topic中使用了google_pubsub_topic.dead_letter.name作为topic字段值，仅传入主题短名称会导致IAM权限绑定到错误的资源路径（正确路径应为projects/{project-id}/topics/{topic-name}），直接导致权限失效。

修正代码：

resource "google_pubsub_topic_iam_binding" "pubsub_sa_publish_deadletter_topic" {
  topic   = google_pubsub_topic.dead_letter.id  // 使用完整资源ID而非短名称
  role    = "roles/pubsub.publisher"
  members = [
    "serviceAccount:service-${data.google_project.project.number}@gcp-sa-pubsub.iam.gserviceaccount.com"
  ]
}

2. 移除冗余的权限配置 #

• GCS服务账号无需死信主题的发布权限：死信消息由Pub/Sub系统自动转发，与GCS无关，因此移除配置中的GCS服务账号成员。
• GCS服务账号无需订阅的拉取权限：GCS仅负责将事件发布到主题，不参与消息拉取流程，google_pubsub_subscription_iam_binding.pubsub_sa_pull_request_sub中可移除GCS服务账号，仅保留Pub/Sub服务账号（若使用推送模式，该绑定甚至可以直接删除，因为推送由Pub/Sub系统自行处理）。

修正后的订阅IAM绑定示例（若保留）：

resource "google_pubsub_subscription_iam_binding" "pubsub_sa_pull_request_sub" {
  subscription = google_pubsub_subscription.request.id
  role         = "roles/pubsub.subscriber"
  members      = [
    "serviceAccount:service-${data.google_project.project.number}@gcp-sa-pubsub.iam.gserviceaccount.com"
  ]
}

3. 修复主题命名冲突 #

你配置中的google_pubsub_topic.requests和google_pubsub_topic.dead_letter使用了相同的name = "example_name"，同一GCP项目下主题名称必须唯一，会导致资源创建失败，需修改死信主题名称：

resource "google_pubsub_topic" "dead_letter" {
  name = "example_name-dead-letter"
}

4. 推送配置的额外权限（可选） #

若推送端点依赖OIDC token验证，需确保Pub/Sub服务账号拥有推送目标服务账号的roles/iam.serviceAccountTokenCreator权限，否则无法生成有效token导致推送失败，进而触发死信。可添加以下配置：

resource "google_service_account_iam_binding" "pubsub_token_creator" {
  service_account_id = "projects/${var.SOME_PROJECT}/serviceAccounts/example@${var.SOME_PROJECT}.iam.gserviceaccount.com"
  role               = "roles/iam.serviceAccountTokenCreator"
  members = [
    "serviceAccount:service-${data.google_project.project.number}@gcp-sa-pubsub.iam.gserviceaccount.com"
  ]
}

内容的提问来源于stack exchange，提问作者Newton Nthiga