在GCP的Terraform中允许帐户和角色时出错

Question

我正在尝试将角色分配给GCP项目中Terraform文件中的用户，但我得到了以下错误：

错误:为"project \“生动型螳螂-296207\”“返回错误:批处理请求和重新尝试的单个请求"Create角色/Compute.networkAdmin user:someone@google.com”用于"project \“生机勃勃的螳螂-296207\”都失败“，请求”创建IAM成员角色/Compute.networkAdmin user:someone@google.com“。最后错误:为项目“vibrant 296207”应用IAM策略时出错:为项目“生机勃勃-螳螂-296207”设置IAM策略: googleapi: Error 403:策略更新访问被拒绝。

我使用了以下代码：

module "projects_iam_bindings" {
 source  = "terraform-google-modules/iam/google//modules/projects_iam"
 version = "~> 6.4"

 projects = ["vibrant-mantis-296207"]

 bindings = {
 "roles/storage.admin" = [
 "user:someone@google.com",
    ]

 "roles/compute.networkAdmin" = [
 "user:someone@google.com",
    ]

Answer 1

Terraform用于授权的用户/服务帐户不具有resourcemanager.projects.setIamPolicy权限。

解决方案是编辑用户/服务帐户的IAM权限，以包含作为该权限的角色。

具有权限resourcemanager.projects.setIamPolicy的示例角色

• 角色/安全管理
• 角色/资源管理
• 角色/资源管理
• 角色/资源管理

授予、更改和撤消对资源的访问

Answer 2

在Google平台上，进入IAM，在IAM & Admin中选择terraform服务yourproject.iam.gserviceaccount.com，并将角色添加/更改为所有者。

在控制台中，再次运行terraform命令，它应该是固定的。

命令：

terraform init
terraform plan
terraform apply

Answer 3

通过谷歌找到这个是因为我

Error: 
Request `Create IAM Members roles/artifactregistry.reader 
serviceAccount:mvp-service-account@[[project]].iam.gserviceaccount.com for project "[[project]]"` returned error: 

Error retrieving IAM policy for project "[[project]]": 
googleapi: Error 403: The caller does not have permission, forbidden

结果，我在我的项目名称中输入了一个错误，并因此得到了错误。希望这能帮到任何人。