如何通过Terraform启用GCP Service Agent并配置IAM角色？

问题根源 #

GKE的Service Agent账号（service-<项目编号>@container-engine-robot.iam.gserviceaccount.com）是启用Container API服务（container.googleapis.com）时自动创建的。你直接配置IAM角色时，该服务尚未启用，导致账号不存在，触发400错误。手动在控制台操作时，系统会自动检测并提示启用服务，所以能成功。

Terraform解决方案 #

需要分两步：先启用Container API服务，再配置IAM角色，同时通过依赖关系确保执行顺序。

1. 启用Container API服务 #

在宿主项目中添加google_project_service资源启用服务：

resource "google_project_service" "shared_vpc_host_container_service" {
  provider = google.as_super_admin
  project  = google_project.main-shared-vpc-host.project_id
  service  = "container.googleapis.com"

  # 防止销毁资源时意外禁用服务
  disable_on_destroy = false
}

2. 配置IAM角色并添加依赖 #

修改你的IAM成员资源，添加对服务启用资源的依赖，同时用项目编号动态生成service agent账号：

resource "google_project_iam_member" "dev-omni-orch-gke-project-lvl-roles-t2" {
  provider = google.as_super_admin
  for_each = toset([
    "roles/container.serviceAgent",
  ])
  role   = each.value
  # 动态生成service agent账号，避免硬编码项目编号
  member = "serviceAccount:service-${google_project.main-shared-vpc-host.number}@container-engine-robot.iam.gserviceaccount.com"
  project = google_project.main-shared-vpc-host.project_id

  # 确保先启用Container服务，再配置IAM角色
  depends_on = [google_project_service.shared_vpc_host_container_service]
}

关键说明 #

• 依赖关系：depends_on强制Terraform先完成服务启用操作，确保service agent账号已被创建，再执行IAM角色配置。
• 动态账号生成：用项目资源的number属性自动获取项目编号，替代硬编码的<some-numeric-id>，避免手动维护的错误。
• 服务保护：disable_on_destroy = false防止销毁Terraform资源时，意外禁用Container API服务，影响现有GKE相关资源。

内容的提问来源于stack exchange，提问作者Imad