通过Terraform为多项目中的GCP组添加多个角色

问题根源 #

Terraform资源块不允许同时使用count和for_each，这是语法层面的硬性限制。要实现「多项目 × 多角色」的批量授权，需要构建包含所有项目-角色组合的集合，通过单一for_each遍历完成资源创建。

修改方案 #

1. 生成项目-角色组合集合

在locals.tf中添加代码，生成所有项目与角色的笛卡尔积，并转换为for_each可用的映射结构：

locals {
  # 先生成项目与角色的所有组合（笛卡尔积）
  bigtable_project_role_pairs = flatten([
    for project_name, project_id in local.bigtable : [
      for role in var.group_bigtable_roles : {
        project_name = project_name
        project_id   = project_id
        role         = role
      }
    ]
  ])

  # 为每个组合生成唯一键，确保for_each能识别独立实例
  bigtable_project_role_map = {
    for pair in local.bigtable_project_role_pairs : "${pair.project_name}-${pair.role}" => pair
  }
}

2. 重构IAM成员资源块

修改specificgroup.tf中的资源定义，使用上述映射作为for_each的遍历对象：

resource "google_project_iam_member" "specific_group_bigtable_roles" {
  for_each = local.bigtable_project_role_map
  project  = each.value.project_id
  member   = var.specific_group
  role     = each.value.role
}

关键说明 #

• flatten函数用于将嵌套的项目-角色列表展开为一维结构，确保每个组合都是独立元素
• 映射的键${pair.project_name}-${pair.role}保证了每个项目-角色组合的唯一性，避免Terraform实例冲突
• 原代码中role = "var.group_bigtable_roles[count.index]"的引号是错误写法，会被识别为字符串而非变量引用，重构后无需再处理该问题

内容的提问来源于stack exchange，提问作者throwawaythecoal