升级Terraform Google Provider至4.40.0后Cloud Scheduler部署报403错

问题根源 #

Google Provider 4.30.0及以上版本对google_cloud_scheduler_job资源的默认行为做了变更：创建作业后会自动尝试启用它，而旧版本（如4.28.0）默认不会执行启用操作。这导致运行Terraform的主体需要额外的cloudscheduler.jobs.enable权限，而你之前添加权限的对象（作业目标服务账号、Cloud Scheduler默认SA）并非执行Terraform的身份，因此权限配置无效。

具体解决方法 #

方法1：给执行Terraform的主体添加权限 #

运行Terraform的账号/服务账号（比如你的本地用户、CI/CD流水线使用的SA）需要具备cloudscheduler.jobs.enable权限，可通过以下两种方式配置：

• 赋予预定义角色：roles/cloudscheduler.admin（全权限）或roles/cloudscheduler.jobEditor（包含作业编辑、启用权限）
• 自定义IAM权限：直接添加cloudscheduler.jobs.enable权限到对应主体

示例Terraform代码（如果用代码管理执行账号的权限）：

resource "google_project_iam_member" "terraform_scheduler_job_editor" {
  role    = "roles/cloudscheduler.jobEditor"
  member  = "serviceAccount:${var.terraform_execution_sa_email}" # 替换为你的执行SA邮箱
  project = var.datalake_project_id
}

方法2：修改Terraform代码，禁用自动启用作业 #

在google_cloud_scheduler_job资源中显式设置state = "DISABLED"，这样Terraform创建作业后不会尝试启用，也就不需要cloudscheduler.jobs.enable权限。后续可根据需求手动启用作业，或通过其他自动化流程处理。

修改后的资源代码：

resource "google_cloud_scheduler_job" "workflow_schedule_datalake_jobs" {
    for_each    = local.workflow_schedule_datalake_jobs
    project     = var.datalake_project_id
    name        = each.value.job_name
    description = each.value.job_description
    schedule    = (var.environment == "dev" || var.environment == "test" ? local.default_dev_schedule : each.value.schedule)
    time_zone   = "Europe/London"
    state       = "DISABLED" # 添加这一行
    retry_config {
        retry_count = 1
      }

    http_target {
        http_method = "POST"
        uri         = each.value.url
        oauth_token {
        service_account_email = data.google_service_account.batch_ingestion_service_account.email
      }
    }
}

方法3：确认依赖顺序（若用Terraform管理权限） #

如果通过Terraform给执行账号配置权限，需确保IAM资源在Cloud Scheduler资源之前创建，可通过depends_on显式声明依赖：

resource "google_cloud_scheduler_job" "workflow_schedule_datalake_jobs" {
    # 其他配置不变
    depends_on = [google_project_iam_member.terraform_scheduler_job_editor]
}

注意：若执行Terraform的初始权限不足以创建IAM资源，需先手动在GCP控制台给执行账号赋予IAM编辑权限，再运行Terraform。

内容的提问来源于stack exchange，提问作者PravSajja