Terraform创建GCP Pub/Sub Topic报403错误，服务账号已配Owner角色

• 1. Pub/Sub资源配置错误：你代码中message_storage_policy.allowed_persistence_regions填的是占位符值"region"，属于无效的GCP区域标识，无效参数会触发权限类报错。
• 2. 项目ID配置错误：provider块中的project字段填写的不是GCP项目的唯一ID，而是项目显示名称，导致权限匹配失败。
• 3. 本地认证缓存冲突：Terraform默认优先读取gcloud CLI的活跃账号认证信息，如果你本地之前登录过其他GCP账号，会优先调用该账号的权限，忽略你配置的服务账号密钥。
• 4. 服务账号权限实际未生效：服务账号的Owner角色绑定到了错误的GCP项目，或者组织层面设置了IAM限制策略，禁止该服务账号创建Pub/Sub资源。
• 5. 旧版Provider语法兼容问题：你用的credentials = "${file("credentials.json")}"是旧版Terraform插值语法，低版本google provider可能存在解析异常。

• 1. 修正Pub/Sub资源配置，替换无效区域值，示例如下：

resource "google_pubsub_topic" "gke_cluster_upgrade_notifications" {
  name = "cluster-notifications"
  labels = {
    foo = "bar"
  }
  message_storage_policy {
    allowed_persistence_regions = [
      "us-central1", # 替换为你实际使用的GCP区域
    ]
  }
}

• 2. 确认provider块中的project字段填写的是GCP项目的唯一ID，而非项目显示名称，可在GCP控制台项目设置页查看准确的项目ID。
• 3. 修正provider的credentials配置写法，改为官方推荐的语法：

provider "google" {
  project     = "你的项目ID"
  region      = "us-central1"
  credentials = file("credentials.json") # 移除旧的插值包裹符号
}

• 4. 清除本地gCLI认证缓存，避免认证优先级冲突：
     gcloud auth revoke --all
• 5. 验证服务账号本身的权限有效性，执行以下命令测试能否手动创建Pub/Sub Topic：

gcloud auth activate-service-account --key-file=./credentials.json
gcloud pubsub topics create test-temp-topic --project=你的项目ID

如果执行成功，说明账号权限正常，继续执行下一步；如果仍然报403，前往GCP控制台确认服务账号的Owner角色绑定到了对应项目，且没有组织策略限制Pub/Sub资源创建。

• 6. 升级google provider到最新稳定版后重新执行Terraform命令：

terraform init --upgrade
terraform plan
terraform apply

内容的提问来源于stack exchange，提问作者kapil dev