terraform google iam
v8.0.0
Dies ist eine Sammlung von Submodulen, die die zerstörungsfreie Verwaltung mehrerer IAM-Rollen für Ressourcen auf der Google Cloud Platform erleichtern:
Dieses Modul ist für die Verwendung mit Terraform 1.3+ gedacht und wurde mit Terraform 1.3+ getestet. Wenn Sie Inkompatibilitäten mit Terraform >=1.3 feststellen, öffnen Sie bitte ein Problem.
Zur Unterstützung bei Upgrades stehen die folgenden Leitfäden zur Verfügung:
Vollständige Beispiele finden Sie im Beispielordner, die grundlegende Verwendung für die Rollenverwaltung in zwei Projekten ist jedoch wie folgt:
module "projects_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/projects_iam "
version = " ~> 8.0 "
projects = [ " project-123456 " , " project-9876543 " ]
bindings = {
" roles/storage.admin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.networkAdmin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.imageUser " = [
" user:[email protected] " ,
]
}
}Das Modul bietet außerdem einen autorisierenden Modus, der alle Rollen entfernt, die nicht über Terraform zugewiesen wurden. Dies ist ein Beispiel für die Verwendung des autorisierenden Modus zum Verwalten des Zugriffs auf einen Speicher-Bucket:
module "storage_buckets_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/storage_buckets_iam "
version = " ~> 8.0 "
storage_buckets = [ " my-storage-bucket " ]
mode = " authoritative "
bindings = {
" roles/storage.legacyBucketReader " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
" roles/storage.legacyBucketWriter " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
}
} Die mode steuert das Verhalten eines Submoduls. Standardmäßig ist sie auf „additiv“ eingestellt. Mögliche Optionen sind:
Im autorisierenden Modus übernimmt ein Submodul die vollständige Kontrolle über die im Modul aufgeführten IAM-Bindungen. Dies bedeutet, dass alle Mitglieder, die Rollen außerhalb des Moduls hinzugefügt wurden, bei der nächsten Ausführung von Terraform entfernt werden. Rollen, die nicht im Modul aufgeführt sind, bleiben davon jedoch unberührt.
Im additiven Modus lässt ein Submodul vorhandene Bindungen unberührt. Stattdessen werden alle im Modul aufgeführten Mitglieder dem vorhandenen Satz von IAM-Bindungen hinzugefügt. Die im Modul aufgeführten Mitglieder werden jedoch vollständig vom Modul kontrolliert. Das bedeutet, dass das Modul das Entfernen der Rollenbindung korrekt handhabt, wenn Sie über das Modul eine Bindung hinzufügen und diese später entfernen.
Jedes Submodul führt Operationen an einigen Variablen durch, bevor es Änderungen an den IAM-Bindungen in GCP vornimmt. Aufgrund der Einschränkungen von for_each (mehr Informationen), das in den Submodulen weit verbreitet ist, gibt es bestimmte Einschränkungen hinsichtlich der Art von dynamischen Werten, die Sie einem Submodul bereitstellen können:
projects ) sind nur für eine Entität zulässig.projects ), MUSS die Konfiguration statisch sein, was bedeutet, dass sie keines der Felder der anderen Ressourcen verwenden kann, um den Entitätsnamen abzurufen (dazu gehört auch das Abrufen der zufällig generierten Hashes über die random_id Ressource).authoritative Modus dynamisch sein. Sie können die folgenden Ressourcentypen auswählen, um die IAM-Bindungen anzuwenden:
projects )organizations )folders )service_accounts )subnets )storage_buckets )pubsub_topics )pubsub_subscriptions )kms_key_rings )kms_crypto_keys )secrets -Variable)managed_zones “)entity_ids und location ) Legen Sie die angegebene Variable beim Modulaufruf fest, um die zu beeinflussenden Ressourcen auszuwählen. Denken Sie daran, die mode festzulegen und genügend Berechtigungen zu erteilen, um auch die ausgewählte Ressource zu verwalten. Beachten Sie, dass die bindings eine leere Map {} akzeptiert, die als Argument übergeben wird, für den Fall, dass Ressourcen keine anzuwendenden IAM-Bindungen haben.
Um ein Submodul auszuführen, müssen Sie über ein Dienstkonto mit einer entsprechenden Rolle zur Verwaltung von IAM für die entsprechende Ressource verfügen. Die geeignete Rolle unterscheidet sich je nach der Ressource, auf die Sie abzielen, wie folgt:
Stellen Sie sicher, dass Sie über die richtige Terraform-Version >= 1.3 verfügen
Stellen Sie sicher, dass Sie die kompilierten Plugins unter $HOME/.terraform.d/plugins/ haben.
Weitere Informationen zum Kompilieren und Verwenden finden Sie auf den einzelnen Plugin-Seiten.
