GCP Terraform google_project_iam_member 无法移除手动给成员添加的角色如何解决

你遇到的行为是google_project_iam_member资源的默认特性导致的：该资源属于增量管理的非权威资源，仅会确保你声明的「成员+角色」绑定对存在，不会处理任何未在Terraform配置中声明的绑定关系，因此手动添加的额外角色不会被自动移除。

以下是可实现仅保留Terraform指定角色、自动移除多余手动配置的方案：

方案1：使用google_project_iam_policy完全接管项目级所有IAM权限 #

该资源是权威型IAM管理资源，会直接覆盖项目的全部IAM策略，所有未在配置中声明的角色绑定都会被自动删除。

• 注意事项：
  • 配置前需要先将项目中已有的合法IAM绑定全部同步到Terraform配置中，避免误删正常业务需要的权限
  • 禁止多套Terraform配置同时管理同一个项目的IAM策略，会出现配置冲突
• 配置示例：

data "google_iam_policy" "project_full_iam" {
  # 所有需要保留的角色绑定都需要在此处声明
  binding {
    role    = "roles/bigquery.dataOwner"
    members = [
      "user:your-user@example.com",
      # 其他允许持有该角色的成员
    ]
  }

  binding {
    role    = "roles/editor"
    members = [
      "serviceAccount:your-sa@your-project.iam.gserviceaccount.com",
      # 其他允许持有该角色的成员
    ]
  }
}

resource "google_project_iam_policy" "project_policy" {
  project     = "your-project-id"
  policy_data = data.google_iam_policy.project_full_iam.policy_data
}

方案2：使用google_project_iam_binding管控单个角色的成员列表 #

如果不需要接管整个项目的所有IAM权限，只需要管控某几个指定角色的成员，可以使用该资源。它是单角色维度的权威资源，会覆盖单个角色的全部成员列表，未在配置中声明的成员会被自动从该角色下移除。

• 配置示例：

# 仅管控roles/bigquery.dataOwner角色的成员，其余角色不受影响
resource "google_project_iam_binding" "bq_data_owner" {
  project = "your-project-id"
  role    = "roles/bigquery.dataOwner"
  members = [
    "user:your-user@example.com",
    # 所有允许持有该角色的成员都需要列在此处
  ]
}

方案3：针对特定用户的全角色管控 #

如果你的需求仅为管控指定用户的所有角色，不希望影响其他用户、服务账号的权限，可以通过自定义逻辑实现：

• 每次执行terraform apply前，通过gcloud命令拉取目标用户在项目内的所有角色，和Terraform配置中声明的角色做对比，自动生成移除多余角色的命令执行
• 也可以通过Terraform外部数据源将上述校验、移除逻辑集成到Terraform的执行流程中

内容的提问来源于stack exchange，提问作者Simson