通过Terraform创建关联Firestore的App Engine应用遇403权限错误求助

问题背景 #

服务账号已拥有以下角色：

• App Engine Admin
• App Engine Creator
• Cloud Datastore Owner
• Editor
• Owner

尝试通过以下Terraform配置创建关联Cloud Firestore的App Engine应用：

resource "google_app_engine_application" "app" {
  project     = var.project_id #"my-project-id-xxxxx"
  location_id = var.region # "us-central1"
  database_type = "CLOUD_FIRESTORE"
}

执行时抛出403权限错误：

│ Error: Error creating App Engine application: googleapi: Error 403: The caller does not have permission, forbidden
│
│   with google_app_engine_application.app,
│   on main.tf line 28, in resource "google_app_engine_application" "app":
│   28: resource "google_app_engine_application" "app" {

注：使用个人GCP账号，无组织管理，其他Terraform资源（如Cloud Functions、API网关等）创建均正常。

排查与解决要点 #

1. 启用Cloud Firestore API
   创建关联Firestore的App Engine应用依赖Cloud Firestore API，即使拥有Editor/Owner角色，也可能存在API未自动启用的情况。需手动在GCP控制台的API库中搜索并启用该API。

2. 验证服务账号密钥有效性
   确认Terraform使用的服务账号密钥未过期、未被撤销。可重新生成密钥文件，并更新GOOGLE_APPLICATION_CREDENTIALS环境变量指向新密钥。

3. 检查项目是否已有App Engine应用
   GCP每个项目仅允许创建一个App Engine应用，若此前已通过手动或其他方式创建过，再次执行Terraform会触发权限类错误（实际是资源已存在，但报错信息可能混淆）。前往GCP控制台App Engine页面确认是否已有应用存在。

4. 调整资源创建顺序
   部分场景下，需先确保Firestore数据库实例存在，再创建App Engine应用。可在Terraform配置中添加Firestore数据库资源并设置依赖关系：

   resource "google_firestore_database" "default" {
     project     = var.project_id
     location_id = var.region
     type        = "CLOUD_FIRESTORE"
   }
   
   resource "google_app_engine_application" "app" {
     project     = var.project_id
     location_id = var.region
     database_type = "CLOUD_FIRESTORE"
     depends_on = [google_firestore_database.default]
   }
   

5. 确认账号状态正常
   检查个人GCP账号是否完成身份验证（如绑定有效支付方式），确保项目未处于受限状态，这可能导致Owner角色权限无法正常生效。

内容的提问来源于stack exchange，提问作者Vololodymyr