如何为GCP项目添加权限以通过Terraform创建账单告警？

优先：Terraform配置方案 #

serviceusage.services.use权限默认包含在GCP预定义的roles/serviceusage.serviceUsageConsumer角色中，你只需要将该角色绑定到执行Terraform操作的账号（用户账号或服务账号），作用范围为你的账单关联项目me-${var.env}即可，参考配置如下：

variable "env" {
  type        = string
  description = "部署环境标识"
  default     = "dev" # 替换为你的实际环境值
}

locals {
  billing_project_id = "me-${var.env}"
  # 替换为你实际执行Terraform的账号：用户账号格式为user:你的邮箱地址，服务账号格式为serviceAccount:服务账号ID@项目ID.iam.gserviceaccount.com
  terraform_operator = "user:your-work-email@example.com"
}

# 绑定Service Usage Consumer角色到操作账号
resource "google_project_iam_member" "service_usage_consumer_binding" {
  project = local.billing_project_id
  role    = "roles/serviceusage.serviceUsageConsumer"
  member  = local.terraform_operator
}

执行terraform apply应用上述配置后，权限即可生效，后续再创建google_billing_budget资源就不会触发权限不足报错。
如果需要遵循最小权限原则，你也可以自定义IAM角色，仅添加serviceusage.services.use单个权限后再绑定，操作逻辑和上述配置一致。

备用：GCP控制台手动操作步骤 #

如果需要临时通过控制台配置权限，可以按以下步骤操作：

• 登录GCP控制台，切换到对应的账单项目me-${var.env}
• 左侧导航栏选择「IAM与管理」→「IAM」
• 点击页面顶部的「授予访问权限」按钮
• 在「新主体」输入框中填入执行Terraform操作的账号邮箱
• 在「角色」搜索框输入Service Usage Consumer，选中对应的角色后点击「保存」
• 等待1-2分钟权限生效后即可继续操作

内容的提问来源于stack exchange，提问作者jbrown