跨GCP项目Terraform配置IAM：Cloud Run访问其他项目Bucket求助

核心配置检查（先确认你已做的步骤是否踩坑） #

• 权限绑定要直接挂在项目B的Bucket上，而非项目B的全局IAM层级（遵循最小权限原则），推荐用roles/storage.objectCreator（仅写入权限），避免过度授权的roles/storage.admin
• 确保项目A的Cloud Run服务确实使用了你创建的专属服务账号——默认Cloud Run会用Compute Engine默认服务账号，这是新手常犯的错误

分Terraform项目的具体配置 #

项目B的Terraform配置（管理Bucket与跨项目权限） #

这里负责创建目标GCS Bucket，并给项目A的服务账号授权：

# 项目B的Terraform配置
resource "google_storage_bucket" "target_bucket" {
  name          = "unique-bucket-name-123" # GCS Bucket名需全局唯一
  location      = "us-central1" # 替换为你的Bucket区域
  force_destroy = true # 测试环境可用，生产环境请移除
}

# 绑定项目A的Cloud Run服务账号到Bucket，赋予写入权限
resource "google_storage_bucket_iam_member" "bucket_writer" {
  bucket = google_storage_bucket.target_bucket.name
  role   = "roles/storage.objectCreator"
  # 替换为项目A中Cloud Run服务账号的完整邮箱
  member = "serviceAccount:cloud-run-writer-sa@project-a-xxx.iam.gserviceaccount.com"
}

项目A的Terraform配置（管理Cloud Run与服务账号） #

这里负责创建专属服务账号，并让Cloud Run以该账号运行：

# 项目A的Terraform配置
# 创建Cloud Run专属服务账号
resource "google_service_account" "cloud_run_sa" {
  account_id   = "cloud-run-writer-sa" # 自定义账号ID
  display_name = "Cloud Run Service Account for Cross-Project GCS Write"
}

# 创建Cloud Run服务，指定使用上述服务账号
resource "google_cloud_run_service" "demo_service" {
  name     = "gcs-writer-service"
  location = "us-central1" # 与Bucket区域尽量一致，减少延迟

  template {
    spec {
      # 关键：指定服务账号
      service_account_name = google_service_account.cloud_run_sa.email
      containers {
        image = "gcr.io/your-project/your-business-image" # 替换为你的业务镜像
      }
    }
  }

  traffic {
    percent         = 100
    latest_revision = true
  }
}

# 可选：若组织有API访问限制，需给服务账号添加GCS API使用权限
resource "google_project_iam_member" "sa_gcs_api_access" {
  project = "project-a-xxx" # 项目A的ID
  role    = "roles/serviceusage.serviceUsageConsumer"
  member  = "serviceAccount:${google_service_account.cloud_run_sa.email}"
}

验证与排错要点 #

1. 服务账号邮箱正确性：项目A的服务账号邮箱格式为[account-id]@[project-a-id].iam.gserviceaccount.com，可在GCP控制台的IAM > 服务账号页面查看
2. 组织政策检查：如果绑定权限时报错，检查组织是否有constraints/iam.allowedPolicyMemberDomains等约束，阻止了跨项目服务账号的权限绑定
3. Cloud Run日志排查：若写入失败，直接查看Cloud Run的日志，搜索permission denied关键词，定位具体权限问题
4. 最小权限验证：测试完成后，可尝试缩小权限范围，确认仅用roles/storage.objectCreator即可满足需求

内容的提问来源于stack exchange，提问作者casfed