如何通过Terraform启用GCP服务artifactregistry.googleapis.com？

报错的核心是：terraform plan阶段会尝试读取或验证Artifact Registry仓库资源（比如你代码中定义的google_artifact_registry_repository或对应的数据源），但此时Artifact Registry API尚未启用。虽然你通过google_project_service资源定义了要启用该API，但这个资源的创建（即API启用操作）只会在terraform apply阶段执行，plan阶段不会提前触发API启用。

1. 先单独启用API再执行完整计划 #

在GitHub Actions流程中拆分步骤，先单独执行apply启用Artifact Registry API，再运行完整的plan和apply：

- name: Enable Artifact Registry API
  run: terraform apply -target=google_project_service.gcp_service_apis["artifactregistry.googleapis.com"] -auto-approve -var-file="${{ env.TF_VARS }}"
- name: Terraform Plan
  run: terraform plan -no-color -var-file="${{ env.TF_VARS }}"
- name: Terraform Apply
  run: terraform apply -auto-approve -var-file="${{ env.TF_VARS }}"

-target参数会让Terraform只处理指定的API启用资源，提前完成API激活，后续的plan就不会触发403错误。

2. 调整资源依赖与条件判断 #

如果代码中存在google_artifact_registry_repository资源或读取该仓库的数据源，需要确保其依赖API启用操作：

• 对于google_artifact_registry_repository资源，添加明确依赖：

resource "google_artifact_registry_repository" "my_repo" {
  # 其他配置项...
  depends_on = [google_project_service.gcp_service_apis["artifactregistry.googleapis.com"]]
}

• 对于读取仓库的数据源，添加条件判断避免plan阶段触发API调用：

data "google_artifact_registry_repository" "my_repo" {
  count = contains(tolist(var.gcp_service_list), "artifactregistry.googleapis.com") ? 1 : 0
  # 其他配置项...
}

注意：这种方法仅能规避数据源的提前调用，若已有仓库存在，plan阶段仍会尝试读取，因此优先推荐第一种方法。

3. 验证服务账号权限 #

确认GitHub Actions使用的GCP服务账号拥有Service Usage Admin角色（或至少包含serviceusage.services.enable权限），确保其有权限启用API。

内容的提问来源于stack exchange，提问作者Hkmtsm