Terraform管理GCP IAM权限：手动改权限后Plan无差异问题求助

我尝试通过Terraform在GCP项目中添加用户和组，示例代码如下：

resource "google_project_iam_binding" "this" {
  project = var.project_id
  role    = "roles/serviceusage.apiKeysAdmin"
  members = ["group:adminapi@example.com"]
}

我通过循环实现了批量添加多个用户和组。但当用户或组的权限被手动修改（例如新增roles/ml.developer角色）后，terraform plan并未显示该角色的变更差异。我也尝试过google_project_iam_member资源，但结果相同。请问针对该场景应使用何种资源？

你碰到的问题是因为google_project_iam_binding和google_project_iam_member都是局部管理型的IAM资源：

• google_project_iam_binding仅管控单个角色下的成员列表，完全不关心该用户/组的其他角色；
• google_project_iam_member仅管控单个用户/组与单个角色的绑定关系，同样不会追踪该主体的其他权限变更。

要检测到手动新增角色这类全量IAM策略的变化，你需要使用**google_project_iam_policy**资源——它会接管整个GCP项目的IAM策略管理，Terraform会将你定义的策略与项目实际的IAM策略做全量对比，任何手动修改的权限都会在terraform plan中清晰显示差异。

示例配置如下：

# 定义完整的IAM策略
data "google_iam_policy" "project_iam" {
  binding {
    role = "roles/serviceusage.apiKeysAdmin"
    members = [
      "group:adminapi@example.com",
      # 其他需要的成员
    ]
  }

  # 如果你需要保留手动添加的roles/ml.developer角色，必须在这里一并定义
  binding {
    role = "roles/ml.developer"
    members = [
      "group:adminapi@example.com",
      # 其他拥有该角色的成员
    ]
  }
}

# 将策略应用到项目
resource "google_project_iam_policy" "main" {
  project     = var.project_id
  policy_data = data.google_iam_policy.project_iam.policy_data
}

⚠️ 注意：google_project_iam_policy是全量覆盖式管理，所有未在Terraform配置中定义的IAM绑定关系都会被移除。如果想保留手动添加的权限，必须将它们同步写入配置文件。

如果不想全量管控，另一种变通方式是将手动添加的权限通过terraform import导入到Terraform状态中，比如导入google_project_iam_member资源，让Terraform开始追踪这些绑定，但这种方式需要手动维护，适合权限变更频率低的场景。

内容的提问来源于stack exchange，提问作者Mayank