如何在Terraform中从GCP Secret Manager读取密钥？报错求助

常见问题及修复方案 #

1. 未指定Secret版本号 #

google_secret_manager_secret_version 数据源必须明确指定要读取的密钥版本，默认不会自动拉取最新版本。修改你的数据源配置：

data "google_secret_manager_secret_version" "postgres_password" {
  provider = google-beta
  secret   = "postgres_password"
  project  = local.project_id
  version  = "latest" # 可指定具体版本号如"1"，或用"latest"拉取最新版本
}

2. 服务账号权限不足 #

Terraform执行所用的服务账号必须拥有 roles/secretmanager.secretAccessor 角色才能读取Secret Manager中的密钥：

• 登录GCP控制台，进入「IAM与管理员」→「IAM」页面
• 找到Terraform使用的服务账号，添加「Secret Manager > Secret Manager Secret Accessor」角色

3. Google-beta Provider未正确配置 #

确保你的根Terraform模块中已正确初始化google-beta provider，示例配置：

provider "google-beta" {
  project     = local.project_id
  region      = "us-central1" # 替换为你的资源部署区域
  # 若未使用默认凭据，需指定服务账号密钥文件路径
  # credentials = file("./service-account-key.json")
}

4. 密钥名称或Project ID不匹配 #

• 确认secret字段填写的是Secret Manager中密钥的ID（而非显示名称）
• 验证local.project_id变量已正确赋值，且目标密钥确实存在于该项目下

内容的提问来源于stack exchange，提问作者Aseem