GCP中Terraform创建的日志导出Sink运行后报存储桶权限拒绝问题

你遇到的log_bucket_permission_denied报错完全是日志Sink服务账号变更导致的。
日志导出功能依赖Sink对应的writer identity拥有目标项目的日志桶写入权限，服务账号变更后，新的服务账号未被授予对应权限，自然触发权限拒绝。最初15-20分钟可用是因为配置变更存在延迟，旧权限还未失效。

• 你使用了google_project_iam_binding资源配置权限，该资源是全量覆盖对应角色的成员列表，而非增量添加成员。如果有其他操作（其他Terraform配置、人工修改权限、GCP后台权限同步）修改了该角色的成员列表，会导致Terraform状态与实际配置不一致。
• 你的日志Sink存在外部变更（Plan里已经提示Objects have changed outside of Terraform），触发了Sink的writer identity更新，而权限绑定未自动同步到新服务账号。
• 额外注意：google_logging_project_sink的核心参数（name、destination、filter等）如果被修改会触发资源重建，重建后会自动生成新的writer identity，也会导致该问题。

1. 替换IAM资源类型，避免全量覆盖 #

将所有google_project_iam_binding替换为google_project_iam_member，该资源是增量添加成员到对应角色，不会覆盖该角色下已有的其他成员，也不会因为其他地方修改同角色权限导致你的Sink权限被覆盖：
示例修改：

# 原来的google_project_iam_binding替换为google_project_iam_member
resource "google_project_iam_member" "log_bucket_Writer_audit_log_test" {
  project = var.common_project_id
  role    = "roles/logging.bucketWriter"
  member  = google_logging_project_sink.sink_logging_audit_log_bucket.writer_identity 
}

所有和Sink writer identity相关的权限绑定都按上面的方式修改即可。

2. 配置Sink生命周期保护，禁止意外变更 #

给日志Sink配置防修改、防删除保护，避免人为或其他配置意外修改Sink触发重建：
在google_logging_project_sink资源中添加lifecycle规则：

resource "google_logging_project_sink" "sink_logging_audit_log_bucket" {
  # 原有配置保持不变
  unique_writer_identity = true

  lifecycle {
    prevent_destroy = true
  }
}

3. 添加显式依赖，避免时序问题 #

给所有IAM权限资源添加显式依赖，确保Sink创建完成、生成writer identity后再配置权限，避免时序异常：
在每个IAM member资源中添加：

depends_on = [google_logging_project_sink.sink_logging_audit_log_bucket]

4. 定期校验配置一致性 #

每半个月执行一次terraform plan校验状态漂移，如果出现外部变更提示及时排查原因，避免故障发生。

内容的提问来源于stack exchange，提问作者lordson