如何用Terraform为所有以instance开头的VM配置IAM绑定

架构老林

2026-8-12

解决Terraform批量配置前缀匹配VM的IAM绑定问题

要给所有名称以“instance”开头的VM批量配置IAM绑定，你不能直接在单个google_compute_instance_iam_binding资源中填写通配符——因为该资源只能对应单个实例。正确的做法是先通过数据源筛选出目标实例，再遍历生成对应的IAM绑定资源：

步骤1：添加数据源获取目标实例

使用google_compute_instances数据源，通过filter参数筛选名称以instance开头的VM：

data "google_compute_instances" "instance_prefix" {
  project = var.project_id
  zone    = var.zone # 若VM跨多个区域，需调整为遍历区域的逻辑

  filter = "name:instance*"
}

步骤2：遍历生成IAM绑定资源

修改原有的google_compute_instance_iam_binding资源，用for_each遍历数据源返回的实例列表，动态设置instance_name：

resource "google_compute_instance_iam_binding" "vm-access" {
  for_each     = data.google_compute_instances.instance_prefix.instances
  project      = var.project_id
  instance_name = each.value.name
  role         = "roles/compute.osLogin"
  members      = ["group:你的组标识@example.com"] # 替换为实际的组信息

  condition {
    title       = "vm-access"
    description = "allows access to instances with 'instance' prefix" # 建议调整描述匹配实际规则
    expression  = "resource.type == \"compute.googleapis.com/Instance\" && resource.name.startsWith(\"instance\")"
  }
}