使用gcloud与Terraform管理Identity-Aware Proxy用户的问题

一、为什么gcloud CLI无法查看IAP权限？ #

你遇到的问题大概率是命令参数不全或资源范围指定错误，具体原因和修正方案如下：

• 缺少区域/全局参数：Kubernetes通过Ingress生成的Backend Service默认是区域级资源，必须指定--region（全局资源用--global）才能定位到目标资源。
• 未指定具体Backend Service：gcloud iap web get-iam-policy需要明确指定要查询的Backend Service名称，仅加--resource-type=backend-services不足以定位到具体资源。
• 权限不足：当前账号需拥有roles/iap.admin或roles/iam.securityReviewer权限才能读取IAP的IAM策略，权限不足会返回空结果。

正确的命令格式示例：

gcloud iap web get-iam-policy --resource-type=backend-services \
  --backend-service=k8s1-xxxx-production-admin-80-yyyy \
  --region=us-central1 \
  --project=your-project-id

二、如何识别K8s生成的Backend Service并通过Terraform管理权限？ #

1. 定位目标Backend Service #

K8s生成的Backend Service名称格式为k8s1-<hash>-<namespace>-<app name>-80-<hash>，可以通过以下方式快速找到：

• 通过K8s Ingress关联查询：
  执行kubectl describe ingress <your-ingress-name>，找到对应服务的命名空间和应用名，再用gcloud过滤：

  gcloud compute backend-services list --filter="name~production-admin-80" --region=us-central1
  

• 通过GCP控制台确认：进入「Security > Identity-Aware Proxy」页面，找到受保护的服务，点击详情即可查看关联的Backend Service名称和区域。

2. Terraform配置示例 #

使用google_iap_web_backend_service_iam_member资源，并结合data source动态关联Backend Service，避免硬编码名称：

# 动态查询目标Backend Service（根据命名空间和应用名过滤）
data "google_compute_backend_service" "admin_service" {
  filter  = "name:*-production-admin-80-*"
  region  = "us-central1"
  project = "your-project-id"
}

# 为admins组添加IAP访问权限
resource "google_iap_web_backend_service_iam_member" "admin_access" {
  web_backend_service = data.google_compute_backend_service.admin_service.id
  role                = "roles/iap.httpsResourceAccessor"
  member              = "group:admins@xyz.com"
}

3. 避免重新部署时权限丢失 #

由于K8s重新部署Ingress可能生成新的Backend Service，建议将Ingress的Terraform配置与IAP权限配置绑定，始终通过data source动态查询最新的Backend Service，而非硬编码名称。

内容的提问来源于stack exchange，提问作者mroach