Pulumi中为GCP服务账号应用IAM策略失败问题求助

你用错了IAM绑定的资源类型：serviceaccount.NewIAMBinding是用来配置服务账号自身的访问权限（比如允许哪些账号编辑/删除这个服务账号），而roles/storage.admin是项目级角色，用来授权账号访问项目内的存储资源，不能绑定到服务账号这个资源上，所以GCP返回400错误。

把服务账号的角色绑定改成项目级IAM绑定，用gcp.projects.NewIAMBinding替代serviceaccount.NewIAMBinding，具体修改代码如下：

import (
    // 确保导入了projects包
    "github.com/pulumi/pulumi-gcp/sdk/v7/go/gcp/projects"
    "github.com/pulumi/pulumi-gcp/sdk/v7/go/gcp/serviceaccount"
    "github.com/pulumi/pulumi/sdk/v3/go/pulumi"
    "fmt"
)

// ... 其他代码 ...

p, err := serviceaccount.NewAccount(ctx, "prom-frontend",
    &serviceaccount.AccountArgs{
        AccountId:   pulumi.String("prom-frontend"),
        DisplayName: pulumi.String("prom-frontend"),
        Project:     pulumi.String(c.Project),
    })
if err != nil {
    return err
}

// 改为项目级IAM绑定，给服务账号分配roles/storage.admin角色
_, err = projects.NewIAMBinding(ctx, "prom-frontend-storage-admin", &projects.IAMBindingArgs{
    Role: pulumi.String("roles/storage.admin"),
    Members: pulumi.StringArray{
        // 用服务账号的Email属性动态生成，避免硬编码拼写错误
        p.Email.ApplyT(func(email string) string {
            return fmt.Sprintf("serviceAccount:%s", email)
        }).(pulumi.StringOutput),
    },
    Project: pulumi.String(c.Project),
})
if err != nil {
    return err
}

• 替换IAM绑定资源类型：从serviceaccount.IAMBinding换成projects.IAMBinding，这是项目级的权限绑定，对应你要给服务账号分配项目存储权限的需求。
• 动态生成成员字符串：用服务账号的Email属性拼接成员格式，避免硬编码时出现拼写错误（比如你错误信息里的xperiments拼写失误）。
• 去掉ServiceAccountId参数，新增Project参数：项目级IAM绑定需要指定目标项目，不需要绑定到某个服务账号资源上。

内容的提问来源于stack exchange，提问作者Naveen