如何通过Terraform为GCP中多个服务账号分配多角色？

问题根源 #

你在module "service-accounts"块上使用for_each遍历角色列表，导致模块被实例化多次（角色数量对应模块实例数）。每个模块实例都会创建var.sa_list里的所有账号，因此出现重复ID的账号——这是错误使用for_each场景导致的。

移除硬编码的正确方式 #

不需要循环模块，直接通过动态生成project_roles列表就能实现，同时可以把角色列表存到变量、独立配置文件甚至远程存储里，完全避免硬编码。

方案1：用变量存储角色列表，动态拼接project_roles

保留你定义的rolesList变量，用Terraform的for表达式自动生成模块要求的project_roles格式：

# variables.tf 保持不变
variable "rolesList" {
  type = list(string)
  default = [
    "roles/appengine.appAdmin",
    "roles/artifactregistry.reader",
    "roles/cloudbuild.builds.builder",
    "roles/cloudsql.client",
    "roles/cloudsql.instanceUser"
  ]
}

# 修改后的main.tf
module "service-accounts" {
  source  = "terraform-google-modules/service-accounts/google"
  version = "4.1.1"

  project_id    = var.project
  names         = var.sa_list
  # 用for表达式动态拼接项目+角色的格式
  project_roles = [for role in var.rolesList : "${var.project}=>${role}"]
  display_name  = "Google App Engine SA - Managed by Terraform"
}

这个写法会遍历rolesList里的每个角色，自动拼接成模块需要的"项目ID=>角色"格式，完全替代原来的硬编码列表，同时模块只会实例化一次，不会重复创建账号。

方案2：将角色列表存到独立配置文件（更灵活）

如果不想把角色列表写在变量默认值里，可以移到terraform.tfvars文件中，或者通过环境变量传递：

# terraform.tfvars
project = "你的项目ID"
sa_list = ["sa-1", "sa-2", "sa-3"]
rolesList = [
  "roles/appengine.appAdmin",
  "roles/artifactregistry.reader",
  "roles/cloudbuild.builds.builder",
  "roles/cloudsql.client",
  "roles/cloudsql.instanceUser"
]

然后修改variables.tf去掉默认值，让它从tfvars读取：

variable "rolesList" {
  type = list(string)
  # 去掉default，强制从外部传入
}

这种方式实现了角色配置和代码分离，后续修改角色不需要改动模块代码，直接调整tfvars即可。团队协作场景下，还可以把角色列表存到Terraform Cloud的变量集里统一管理。

是否需要单独分配角色？ #

不需要。当前模块本身支持给所有指定的SA批量分配相同角色，用上面的动态生成方式就足够。如果后续需要给不同SA分配不同角色，可以调整变量结构（比如定义映射，键为SA名称、值为对应角色列表），再结合模块的project_roles或单独使用google_project_iam_member资源分配，但这是更复杂的场景，当前需求用上述方案即可解决。

内容的提问来源于stack exchange，提问作者Filipe Cela