能否在单条IAM策略中为GCP服务账号授予多个存储桶访问权限？

你当前的实现方式可以正常运行，但存在风险，也不符合GCP的主流最佳实践，具体说明和优化方案如下：

现有写法的核心风险 #

你当前使用的google_storage_bucket_iam_policy属于全量覆盖类资源，会直接替换对应存储桶上已有的全部IAM策略，如果你之前在桶上绑定过其他用户、服务账号的权限，执行terraform apply后会全部被清除，非常容易引发线上权限故障，除非你确认要完全接管该桶的所有IAM配置，否则不建议使用该资源。

推荐优化方案 #

方案1：增量桶权限绑定（适合少量桶授权场景） #

如果仅需要给指定的几个存储桶新增当前服务账号的权限，不需要覆盖原有权限，推荐使用google_storage_bucket_iam_member资源，搭配Terraform的for_each语法批量处理，避免重复写多份配置：

# 定义需要授权的存储桶列表
variable "target_buckets" {
  type    = list(string)
  default = ["bucket-1", "bucket-2", "bucket-3"]
}

# 批量给每个桶绑定服务账号权限，增量绑定不会覆盖原有策略
resource "google_storage_bucket_iam_member" "bucket_access" {
  for_each = toset(var.target_buckets)
  bucket   = each.value
  role     = "roles/storage.objectViewer"
  member   = "serviceAccount:${var.service_account}"
}

这种方案逻辑直观，权限和存储桶强绑定，和你AWS侧按资源列ARN的逻辑最接近，也是GCP中小规模场景的首选最佳实践。

方案2：IAM层级统一授权（适合多桶/动态调整场景） #

如果需要授权的存储桶数量较多，或者后续会频繁调整授权的桶范围，可以直接在IAM层级通过条件控制资源范围，实现类似AWS侧一份策略绑定多资源的效果：

resource "google_service_account_iam_binding" "bucket_access" {
  service_account_id = google_service_account.my_sa.name
  role               = "roles/storage.objectViewer"
  members            = ["serviceAccount:${google_service_account.my_sa.email}"]
  condition {
    title      = "limit_to_target_buckets"
    expression = "resource.type == 'storage.googleapis.com/Bucket' && resource.name in ['bucket-1', 'bucket-2', 'bucket-3']"
  }
}

这种方案只需要维护一份策略配置，不需要随桶的增减修改资源声明，更适合大规模资源管理场景。

选型建议 #

• 授权桶数量<10个、且后续调整频率低：优先选方案1
• 授权桶数量多、调整频率高：优先选方案2
• 所有场景下都优先避免使用全量覆盖的*_iam_policy类资源，避免误操作导致权限丢失。

内容的提问来源于stack exchange，提问作者kenske