Terraform配置Cloud Functions Gen2 IAM策略不生效及验证问题

问题背景 #

尝试通过Terraform创建Cloud Functions Gen2并允许allUsers访问（作为第三方Webhook需公开），对应的IAM成员资源执行成功，但函数仍无法公开访问；使用gcloud命令添加权限绑定后则生效。同时在权限页面无法找到相关策略绑定，需验证绑定是否已创建。

Terraform中配置的IAM资源：

resource "google_cloudfunctions2_function_iam_member" "v2invoker" {
  depends_on = [google_cloudfunctions2_function.default]

  project        = google_cloudfunctions2_function.default.project
  cloud_function = google_cloudfunctions2_function.default.name
  location       = google_cloudfunctions2_function.default.location

  role   = "roles/cloudfunctions.invoker"
  member = "allUsers"
}

生效的gcloud命令：

gcloud functions add-invoker-policy-binding my_function_name \
      --region="europe-west1" \
      --member="allUsers"

权限绑定验证方法 #

1. 用gcloud命令直接查询IAM策略 #

执行以下命令查看函数的完整IAM权限配置：

gcloud functions get-iam-policy my-bot --region=europe-west1

如果绑定成功，输出内容中会包含类似以下的条目：

bindings:
- members:
  - allUsers
  role: roles/cloudfunctions.invoker

2. 通过Terraform状态验证 #

查看Terraform状态中该IAM资源的实际配置：

terraform state show google_cloudfunctions2_function_iam_member.v2invoker

检查输出中的role、member、cloud_function等字段是否与预期一致，确认Terraform已正确记录该资源。

3. 在Cloud Console中查看（注意Gen2的特殊性） #

Cloud Functions Gen2基于Cloud Run构建，权限配置可能需要在Cloud Run控制台查看：

• 打开Cloud Run控制台，找到与函数同名的服务
• 进入「权限」标签页，搜索allUsers，查看是否拥有「Cloud Functions Invoker」角色

配置问题排查建议 #

1. 确认Terraform资源字段正确性：尝试将cloud_function字段替换为函数的id或self_link，部分场景下Gen2函数需要完整资源标识：

   cloud_function = google_cloudfunctions2_function.default.id
   

2. 升级Google Provider版本：确保使用的hashicorp/google provider版本足够新（建议>=4.50.0），旧版本可能存在Gen2 IAM绑定的兼容性问题。
3. 检查Ingress设置：确认函数的service_config.ingress_settings已设为ALLOW_ALL（当前配置已包含此设置，可忽略）。

内容的提问来源于stack exchange，提问作者Georgy Grigoryev