如何在Terraform Cloud中为Google Cloud服务账号添加权限范围？

操作步骤 #

1. 在GCP控制台配置服务账号权限 #

• 登录GCP控制台，定位到GOOGLE_CREDENTIALS变量对应的服务账号
• 进入服务账号的权限页签，点击「添加权限」，搜索并添加Drive File Viewer或Drive Editor角色（根据实际需求选择，至少需要读取Google Sheet的权限）
• 同时在GCP API库中启用Google Drive API，确保服务账号能调用该API

2. 在Terraform Provider中显式指定权限范围 #

在你的Terraform代码里，给Google Provider添加scopes参数，包含Drive的权限范围：

provider "google" {
  project = var.gcp_project_id
  region  = var.gcp_region
  scopes = [
    "https://www.googleapis.com/auth/bigquery",
    "https://www.googleapis.com/auth/drive",
    "https://www.googleapis.com/auth/cloud-platform"
  ]
}

若已有scopes配置，直接追加https://www.googleapis.com/auth/drive即可；若无则新增该参数。

3. 验证并重新执行Terraform任务 #

• 确认GOOGLE_CREDENTIALS对应的服务账号已完成步骤1的权限配置，无需修改变量本身
• 在Terraform Cloud中触发新的计划或应用，此时Provider会携带指定的Drive权限范围完成认证，即可正常从Google Sheet创建BigQuery表

额外检查项 #

• 确保目标Google Sheet已共享给该服务账号邮箱，赋予至少查看权限
• 若问题仍存在，可查看GCP审计日志，确认服务账号请求的权限范围是否正确

内容的提问来源于stack exchange，提问作者Javier Lopez Tomas