如何通过Terraform创建CloudSQL服务账号IAM用户并解决配置报错

你遇到的两个报错都来自Cloud SQL for PostgreSQL对IAM服务账号数据库用户的特殊命名规则，和个人IAM用户的配置逻辑存在差异：

1. PostgreSQL数据库用户名长度硬上限为63字符，完整的服务账号邮箱长度必然超出该限制，触发长度报错
2. 服务账号类型的IAM数据库用户禁止携带.gserviceaccount.com后缀，直接传入完整邮箱会触发格式校验报错
3. 你原有配置中给服务账号授权的逻辑也存在前缀错误，服务账号的IAM身份标识需要使用serviceAccount:前缀，而非个人用户对应的user:前缀

1. 修正服务账号数据库用户定义 #

通过字符串替换移除服务账号邮箱的固定后缀，作为数据库用户名：

resource "google_sql_user" "iam_sa_user" {
  name     = replace(google_service_account.custom_cloudsql_sa.email, ".gserviceaccount.com", "")
  instance = google_sql_database_instance.master.name
  type     = "CLOUD_IAM_SERVICE_ACCOUNT"
}

2. 补全服务账号的Cloud SQL登录权限 #

原有配置仅给个人用户授予了实例登录权限，服务账号本身也需要绑定对应角色才能登录数据库：

resource "google_project_iam_member" "sa_cloudsql_instance_user" {
  project = var.project
  role    = "roles/cloudsql.instanceUser"
  member  = "serviceAccount:${google_service_account.custom_cloudsql_sa.email}"
}

• 如果使用跨项目服务账号（服务账号与Cloud SQL实例不在同一GCP项目），数据库用户名格式需要调整为服务账号所属项目ID.截断后缀后的服务账号名
• 后续连接数据库时，传入的登录用户名就是截断后缀后的值，不需要拼接邮箱后缀，同时连接参数必须开启IAM认证选项
• 不要为了适配长度限制手动截断服务账号名，必须严格按照移除固定后缀的规则生成用户名，否则会出现IAM身份匹配失败、无法登录的问题

内容的提问来源于stack exchange，提问作者codeangler