Question

resource "google_pubsub_topic" "topic" {
  name   = "argo-events"
}

resource "google_service_account" "argo_events_pubsub_publish" {
  account_id   = "pubsub-publish"
}

resource "google_project_iam_member" "argo_events_pubsub_publish" {
  role   = "roles/pubsub.editor"
  member = "serviceAccount:${google_service_account.argo_events_pubsub_publish.email}"
}

这将创建一个对项目的所有 PubSub 基础架构具有编辑权限的服务帐户。

如何将策略（由服务帐户 + 角色/pubsub.editor 产生）附加到最初创建的主题？

（例如服务帐户具有来自角色/pubsub.editor 的权限，但仅限于最初创建的名为“argo-events”的主题。）

问题是在 terraform 实现类似于 GCP 通用概念的策略附件的假设下编写的。

Answer 1

有多种方法可以将政策附加到主题或订阅。有趣的是，该方法不是通用的，而是特定于您要绑定到的资源（在本例中为 pubsub 主题），并且至少有三种方法可以做到：

在这种情况下，解决方案可能如下所示：

data "google_iam_policy" "topic" {
  binding {
    role = "roles/pubsub.publisher"
    members = [
      "serviceAccount:${google_service_account.argo_events_pubsub_publish.email}",
    ]
  }
}

resource "google_pubsub_topic_iam_policy" "policy" {
  topic = google_pubsub_topic.topic.name
  policy_data = data.google_iam_policy.topic.policy_data
}

如何将策略附加到资源（在本例中为 PubSub 主题）？

1 个答案: