如何通过Terraform为GCP指定Pub/Sub Topic单独配置发布权限而非项目级别

该需求完全可以实现，不需要在项目级别配置权限，Terraform支持直接针对单个Pub/Sub Topic配置资源级IAM权限。

实现逻辑 #

GCP的Pub/Sub Topic本身是支持独立IAM绑定的资源，你可以直接使用google_pubsub_topic_iam_binding或者google_pubsub_topic_iam_member资源绑定权限，不需要用项目级IAM配置。

示例配置 #

方案1：使用官方预定义发布角色 #

直接用GCP预设的roles/pubsub.publisher角色，包含发布消息所需的全部权限：

# 定义目标Pub/Sub Topic（若Topic已存在可使用data源引用）
resource "google_pubsub_topic" "target_topic" {
  name = "your-specific-topic-name"
}

# 仅为指定主体绑定当前Topic的发布权限
resource "google_pubsub_topic_iam_binding" "topic_publisher" {
  topic  = google_pubsub_topic.target_topic.name
  role   = "roles/pubsub.publisher"
  members = [
    # 按需添加需要授权的主体，支持服务账号、普通用户、用户组等
    "serviceAccount:your-sa@your-project-id.iam.gserviceaccount.com",
    # "user:your-email@example.com"
  ]
}

方案2：使用自定义最小权限角色 #

如果需要遵循最小权限原则，可以先自定义仅包含发布权限的角色，再绑定到指定Topic：

# 项目级自定义角色（仅定义权限，默认不会给任何主体授权）
resource "google_project_iam_custom_role" "minimal_publisher" {
  role_id     = "minimalTopicPublisher"
  title       = "Minimal Topic Publisher"
  description = "Only allow publish messages to Pub/Sub topic"
  permissions = ["pubsub.topics.publish"]
}

# 绑定自定义角色到指定Topic
resource "google_pubsub_topic_iam_binding" "custom_topic_publisher" {
  topic  = google_pubsub_topic.target_topic.name
  role   = "projects/your-project-id/roles/${google_project_iam_custom_role.minimal_publisher.role_id}"
  members = [
    "serviceAccount:your-sa@your-project-id.iam.gserviceaccount.com"
  ]
}

注意事项 #

• 以上配置只会对当前指定的Topic生效，不会授予主体任何项目级或其他资源的权限
• 如果你不希望覆盖Topic上已有的其他IAM绑定，可将google_pubsub_topic_iam_binding替换为google_pubsub_topic_iam_member，仅为单个主体追加权限
• 已创建的Topic可通过如下data源引用，无需重新创建：

data "google_pubsub_topic" "existing_topic" {
  name = "your-existing-topic-name"
}

内容的提问来源于stack exchange，提问作者tmp dev