如何通过Terraform为Google Cloud MIG实例绑定roles/iap.tunnelResourceAccessor角色

针对MIG动态实例无法直接使用google_iap_tunnel_instance_iam_*资源的问题，目前可以通过条件IAM绑定+实例标签的方式实现精准的实例级权限控制，替代全项目授权的方案，具体实现如下：

核心思路 #

通过实例模板为所有MIG实例统一添加标签，然后在项目级IAP隧道IAM绑定中设置条件，仅允许指定用户访问带有目标标签的实例，既适配MIG实例动态创建的特性，又实现了近似实例级的权限范围。

实现步骤 #

1. 在实例模板中添加统一标签 #

在创建MIG的实例模板时，为所有实例配置唯一标识的标签，用于后续IAM条件匹配：

resource "google_compute_instance_template" "mig_template" {
  name_prefix = "prod-web-template-"
  machine_type = "e2-medium"

  # 为MIG实例添加统一标签
  tags = ["mig-prod-web"]

  # 其他实例配置（镜像、磁盘、网络等）
  disk {
    source_image = "debian-cloud/debian-11"
  }
  network_interface {
    network = "default"
  }
}

resource "google_compute_instance_group_manager" "mig_manager" {
  name = "prod-web-mig"
  zone = "europe-west2-a"
  version {
    instance_template = google_compute_instance_template.mig_template.self_link
    name              = "primary"
  }
  target_size = 3
}

2. 创建带条件的IAP隧道IAM绑定 #

使用项目级的google_iap_tunnel_iam_member资源，添加带有标签匹配条件的权限绑定，限制用户仅能访问指定标签的MIG实例：

resource "google_iap_tunnel_iam_member" "mig_iap_access" {
  project = "my-project"
  role    = "roles/iap.tunnelResourceAccessor"
  member  = "user:foo@bar.com"

  # 条件：仅允许访问带有mig-prod-web标签的实例
  condition {
    title       = "Restrict IAP access to MIG prod web instances"
    description = "Allow IAP tunnel access only to instances tagged with mig-prod-web"
    expression  = "resource.tags.contains('mig-prod-web')"
  }
}

方案说明 #

• 动态适配：MIG自动创建的新实例会继承模板的标签，无需手动更新IAM配置，自动纳入权限范围
• 精准控制：通过标签条件缩小权限范围，避免全项目授权的过度开放，达到近似实例级的权限控制效果
• 灵活性：可以通过调整标签和条件表达式，实现多组MIG的权限隔离

目前Terraform暂无原生资源直接支持MIG实例级的IAP IAM绑定，上述方案是当前适配动态实例场景的最优解。

内容的提问来源于stack exchange，提问作者Matt Dunn