Terraform配置Google Cloud Function自定义服务账号未生效问题咨询

问题核心原因 #

你混淆了两个完全独立的GCP IAM概念，同时查看运行时账号的位置有误：

• 函数运行时服务账号：是函数执行代码时使用的身份，在google_cloudfunctions_function资源的service_account_email参数指定，显示在控制台函数详情的运行时、构建、连接标签页，不是你查看的「权限」标签页
• 函数的IAM权限：控制哪些身份可以调用、管理这个函数，对应你配置的google_cloudfunctions_function_iam_policy资源，和函数本身用什么身份运行无关

你当前的IAM配置完全绑定错了目标：你给自定义SA授予的权限绑到了函数的访问控制列表上，没有绑定到SA本身的权限体系中，后续函数运行时会出现资源访问权限不足的问题。

调整步骤 #

1. 确认Cloud Function核心参数配置正确
   只要service_account_email参数配置正确，运行时账号已经换成自定义SA了，去控制台的「运行时、构建、连接」标签就能看到，参考配置示例：

resource "google_cloudfunctions_function" "function" {
  name        = "你的函数名称"
  runtime     = "你使用的运行时版本，比如python310"
  entry_point = "你的代码入口函数名"
  # 其他必要配置：源代码位置、触发规则、环境变量等

  # 核心配置，正确引用自定义SA的邮箱
  service_account_email = google_service_account.service_account.email
}

2. 删除无效的IAM配置
   删掉你当前写的data.google_iam_policy.cfunction_iam和google_cloudfunctions_function_iam_policy.policy两个资源，这两个资源是配置函数的访问权限的，和你的需求无关，还可能覆盖原有访问配置导致函数无法被正常调用。

3. 给自定义SA绑定权限
   把你创建的自定义角色绑定到自定义服务账号上，如果你的函数需要访问项目内的所有相关资源，使用项目级IAM绑定即可：

resource "google_project_iam_member" "sa_bind_custom_role" {
  project = "你的GCP项目ID"
  role    = google_project_iam_custom_role.cfunction_role.id
  member  = "serviceAccount:${google_service_account.service_account.email}"
}

如果需要更细粒度的权限控制，比如只允许这个SA访问指定的GCS存储桶、指定的BQ数据集，就用对应资源的IAM绑定资源（比如google_storage_bucket_iam_member、google_bigquery_dataset_iam_member）即可，不需要给整个项目的权限。

配置修改完成后执行terraform apply即可生效，权限传播可能有1-2分钟的延迟。

内容的提问来源于stack exchange，提问作者CaioT