如何创建GCP全能服务账号以通过Terraform从零搭建环境？

完全可行，你可以手动创建一个拥有足够权限的服务账号，下载JSON密钥后配置给Terraform，实现从零搭建Cloud Run、Cloud SQL等GCP资源。以下是具体操作步骤：

1. 手动创建服务账号（无需Terraform） #

• 登录GCP控制台，进入「IAM与管理员」→「服务账号」页面
• 点击「创建服务账号」，输入账号名称（比如terraform-admin）和描述，完成创建
• 进入该服务账号的详情页，切换到「密钥」标签，点击「添加密钥」→「创建新密钥」，选择JSON格式，下载密钥文件到本地（务必妥善保管，不要泄露）

2. 授予全覆盖权限 #

因为你是学习用途，直接给这个服务账号授予**项目所有者（Owner）**角色就能覆盖所有资源的创建、配置操作：

• 在服务账号详情页的「权限」标签，点击「添加权限」
• 搜索并选中「Owner」角色，确认应用即可

如果你想做精细化权限控制，也可以组合Cloud SQL Admin、Cloud Run Admin、Compute Admin、Storage Admin这些角色，但学习阶段用Owner最省心

3. 配置Terraform使用该账号 #

有两种方式让Terraform使用这个服务账号的密钥：

• 直接写在Terraform配置文件里：

provider "google" {
  credentials = file("/本地路径/your-service-account-key.json")
  project     = "你的GCP项目ID"
  region      = "你的首选区域，比如us-central1"
}

• 通过环境变量指定（更安全，避免密钥硬编码）：

export GOOGLE_APPLICATION_CREDENTIALS="/本地路径/your-service-account-key.json"

可选：用Terraform创建这个服务账号 #

如果你想把服务账号的创建也纳入Terraform管理流程，也是可以的。首次运行时需要用你个人账号的凭证（或其他有管理员权限的凭证）初始化，示例配置如下：

# 创建服务账号
resource "google_service_account" "terraform_admin" {
  account_id   = "terraform-admin"
  display_name = "Terraform管理专用服务账号"
}

# 授予项目所有者权限
resource "google_project_iam_member" "terraform_admin_owner" {
  project = "你的GCP项目ID"
  role    = "roles/owner"
  member  = "serviceAccount:${google_service_account.terraform_admin.email}"
}

# 生成并输出服务账号密钥（敏感信息，Terraform会自动加密存储）
resource "google_service_account_key" "terraform_admin_key" {
  service_account_id = google_service_account.terraform_admin.name
  public_key_type    = "TYPE_X509_PEM_FILE"
}

output "service_account_private_key" {
  value = google_service_account_key.terraform_admin_key.private_key
  sensitive = true
}

内容的提问来源于stack exchange，提问作者Christoffer