使用Terraform配置Google容器Registry ACL时遇Invalid argument错误

你遇到的问题是通过google_storage_bucket_acl给GCR存储桶设置OWNER角色时触发400错误，这是因为GCR的区域存储桶不支持通过传统ACL方式设置OWNER权限，应该改用GCP推荐的IAM权限管理方式。

修正后的Terraform配置 #

替换原有的google_storage_bucket_acl资源为google_storage_bucket_iam_member：

resource "google_container_registry" "registry" {
  project  = var.project_id
  location = "EU"
}

resource "google_storage_bucket_iam_member" "image_store_iam" {
  bucket = google_container_registry.registry.id
  role   = "roles/storage.admin"
  member = "serviceAccount:${local.terraform_service_account}"
}

关键说明 #

1. 权限模型切换：GCP现在优先推荐使用IAM而非传统ACL管理存储桶权限，GCR的区域存储桶对传统ACL的OWNER角色设置有严格限制，会触发参数无效错误。
2. 角色映射：roles/storage.admin角色的权限等同于ACL中的OWNER权限，完全满足你的需求。
3. 成员格式：IAM成员必须指定身份类型，这里用serviceAccount:前缀加上服务账号邮箱，确保格式合法。

额外检查点 #

• 确认执行Terraform的服务账号拥有roles/storage.admin或更高权限，能够修改目标存储桶的IAM策略。
• 验证local.terraform_service_account是正确的服务账号邮箱格式（例如：terraform-sa@your-project.iam.gserviceaccount.com）。

执行terraform plan确认配置无误后，再运行terraform apply即可完成权限配置。

内容的提问来源于stack exchange，提问作者Stefan Falk