Terraform部署Google Cloud Dataflow报错：权限不足无法获取n1-standard-2机型信息

你遇到的权限报错本质是Dataflow运行关联的账号缺少Compute Engine资源查询权限，需要从以下几个维度补全配置：

• 首先区分两个需配置权限的服务账号：
  1. 你Terraform中指定的自定义运行服务账号poc-stream-sa
  2. Google Cloud自动生成的Dataflow默认服务账号，格式为service-<你的项目ID>@dataflow-service-producer-prod.iam.gserviceaccount.com
• 给自定义服务账号补全权限：
  必须附加roles/dataflow.worker预定义角色，该角色包含工作节点运行所需的基础权限，同时补充compute.machineTypes.get权限，也可以直接附加roles/compute.viewer预定义角色简化配置。
  对应Terraform配置示例：

  # 给自定义SA绑定Dataflow工作者角色
  resource "google_service_account_iam_binding" "dataflow_worker_binding" {
    service_account_id = google_service_account.poc-stream-sa.name
    role               = "roles/dataflow.worker"
    members = [
      "serviceAccount:${google_service_account.poc-stream-sa.email}",
    ]
  }
  
  # 给自定义SA绑定Compute Viewer角色
  resource "google_service_account_iam_binding" "compute_viewer_binding" {
    service_account_id = google_service_account.poc-stream-sa.name
    role               = "roles/compute.viewer"
    members = [
      "serviceAccount:${google_service_account.poc-stream-sa.email}",
    ]
  }
  

• 给Dataflow默认服务账号补全权限：
  给默认服务账号绑定roles/dataflow.serviceAgent预定义角色，该角色为Dataflow服务官方要求的内置角色，包含调度底层Compute资源所需的所有权限。
• 额外配置检查：
  1. 核对你Terraform中local.zone的取值，报错中出现的zone为us-central-c，合法的zone格式应为us-central1-c，拼写错误会导致系统判定你无权限访问不存在的zone资源
  2. 确认你的项目已启用Compute Engine API，未启用API也会返回类权限不足的错误

内容的提问来源于stack exchange，提问作者Askar