Terraform创建的GKE集群无法删除，赋Owner权限仍报权限不足如何解决？

• 你代码中使用的google_project_iam_binding资源为覆盖型配置：该资源会直接覆盖roles/container.admin角色的全部成员列表，而非追加成员。执行apply后，项目原有Owner账号默认附带的容器服务相关权限会被清除，仅保留你自定义的集群服务账号在该角色中，因此即使账号是Owner角色也会出现权限不足。
• Terraform运行时使用的认证身份并非你预期的高权限账号，导致无法操作Compute Engine底层资源。

1. 先恢复账号操作权限
   登录Google Cloud网页控制台，进入项目gke-eval-319218的IAM配置页，找到你的操作账号，手动为账号追加Compute Admin、Kubernetes Engine Admin角色，确保账号可以直接操作GKE集群、实例组、防火墙等底层资源。
2. 刷新Terraform认证凭证
   本地执行命令gcloud auth application-default login，按照指引登录刚才赋权的Owner账号，更新Terraform调用Google Cloud API使用的默认凭证。
3. 移除IAM覆盖配置
   先删除代码中的google_project_iam_binding "service_account_iam"资源块，执行terraform apply，清除IAM角色的覆盖配置，恢复roles/container.admin的原有成员列表。
4. 销毁集群资源
   优先执行terraform destroy --target module.gke单独销毁GKE集群资源。如果仍报错，可直接在GKE控制台手动删除故障集群，再到Compute Engine控制台手动删除报错信息中提到的3个实例组、3条关联防火墙规则。
5. 清理Terraform状态残留
   手动删除云侧资源后，执行以下命令清理Terraform状态文件中的残留记录：

terraform state rm module.gke
terraform state rm google_project_iam_binding.service_account_iam
terraform state rm google_service_account.service_account

最后执行terraform plan确认无残留资源需要处理即可。

• 给单个服务账号追加项目级角色时，改用google_project_iam_member资源，该资源为追加模式，不会覆盖角色原有成员，避免误删自己的操作权限。
• 集群服务账号无需配置roles/container.admin这么高的权限，按需分配最小权限即可降低安全风险。

内容的提问来源于stack exchange，提问作者jws