如何通过Terraform将GCP服务账号密钥导出为JSON文件？

核心方案：用Terraform的local_file资源导出密钥 #

Terraform创建的服务账号密钥本身就包含完整的JSON格式内容，只需通过local_file资源将密钥的private_key字段写入文件，就能实现和gcloud iam service-accounts keys create一样的效果。

完整代码示例 #

# 1. 创建目标服务账号
resource "google_service_account" "bucket_writer_sa" {
  account_id   = "bucket-writer-sa" # 自定义服务账号ID
  display_name = "存储桶写入专用服务账号"
}

# 2. 为服务账号生成密钥
resource "google_service_account_key" "bucket_writer_sa_key" {
  service_account_id = google_service_account.bucket_writer_sa.name
  public_key_type    = "TYPE_X509_PEM_FILE"
}

# 3. 将密钥导出为JSON文件
resource "local_file" "sa_key_json" {
  content         = google_service_account_key.bucket_writer_sa_key.private_key
  filename        = "./bucket-writer-sa-key.json" # 自定义输出路径和文件名
  file_permission = "0600" # 安全权限，仅当前用户可读可写
}

关键说明 #

• google_service_account_key.bucket_writer_sa_key.private_key字段直接返回完整的JSON密钥内容，无需额外格式转换
• file_permission设为0600是GCP密钥文件的安全最佳实践，防止其他用户读取敏感信息
• 执行terraform apply后，指定路径下就会生成可直接使用的JSON密钥文件

注意事项 #

• Terraform的状态文件（terraform.tfstate）会存储密钥内容，务必确保状态文件的安全，比如加密存储、不提交到Git等版本控制工具
• 如果在CI/CD流程中使用，建议用完即删除该JSON文件，或者直接通过环境变量传递private_key内容，避免持久化敏感信息

内容的提问来源于stack exchange，提问作者casfed