如何修改GCP Deployment Manager项目创建模板添加IAM策略？

我之前帮团队配置过类似的需求，下面是针对你提到的两个文件的具体修改步骤，明确标注了修改位置：

1. 修改 project.py.jinja2 模板文件 #

首先找到模板里定义资源的核心区域——也就是resources = [...]这个列表，我们要在这里添加IAM绑定的逻辑，确保项目创建完成后再执行IAM权限分配（Deployment Manager按资源顺序执行）。

具体修改内容 #

在resources列表的末尾插入以下代码块：

{% if 'iam_bindings' in properties %}
{% for binding in properties['iam_bindings'] %}
- name: {{ binding.name }}
  type: gcp-types/cloudresourcemanager-v1:projects.iamMemberBinding
  properties:
    resource: {{ env['project'] }}
    role: {{ binding.role }}
    member: {{ binding.member }}
{% endfor %}
{% endif %}

另外，为了让模板能接收iam_bindings参数，找到模板开头的参数定义部分（通常是required_properties或default_properties），添加一行参数声明：

'iam_bindings': default([], type=list),

2. 修改 config.yaml 配置文件 #

接下来在配置文件中传入具体的IAM绑定规则，让模板知道要给哪些用户/服务账号分配什么角色。

具体修改内容 #

在你的项目资源的properties块中，添加iam_bindings列表（放在原有项目属性的后面即可）：

imports:
- path: project.py.jinja2

resources:
- name: my-target-project
  type: project.py.jinja2
  properties:
    projectId: your-project-id-here
    # 保留原有项目配置属性（如name、orgId等）
    iam_bindings:
    - name: grant-editor-access
      role: roles/editor
      member: user:your-user@example.com
    - name: grant-sa-storage-permission
      role: roles/storage.objectAdmin
      member: serviceAccount:your-service-account@your-project-id-here.iam.gserviceaccount.com

关键注意事项 #

• 成员格式要正确：用户用user:邮箱地址，服务账号用serviceAccount:邮箱地址，组用group:邮箱地址。
• 角色必须是GCP的完整角色标识符，比如roles/owner、roles/compute.instanceAdmin。
• 执行部署的账号需要拥有roles/resourcemanager.projectIamAdmin或足够的IAM修改权限，否则会报错。

内容的提问来源于stack exchange，提问作者Sanmay Mishra