terraform google iam
v8.0.0
Il s'agit d'un ensemble de sous-modules qui facilitent la gestion non destructive de plusieurs rôles IAM pour les ressources sur Google Cloud Platform :
Ce module est destiné à être utilisé avec Terraform 1.3+ et testé avec Terraform 1.3+. Si vous constatez des incompatibilités en utilisant Terraform >=1.3, veuillez ouvrir un problème.
Les guides suivants sont disponibles pour vous aider lors des mises à niveau :
Des exemples complets se trouvent dans le dossier Exemples, mais l'utilisation de base est la suivante pour gérer les rôles sur deux projets :
module "projects_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/projects_iam "
version = " ~> 8.0 "
projects = [ " project-123456 " , " project-9876543 " ]
bindings = {
" roles/storage.admin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.networkAdmin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.imageUser " = [
" user:[email protected] " ,
]
}
}Le module propose également un mode faisant autorité qui supprimera tous les rôles non attribués via Terraform. Voici un exemple d'utilisation du mode faisant autorité pour gérer l'accès à un bucket de stockage :
module "storage_buckets_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/storage_buckets_iam "
version = " ~> 8.0 "
storage_buckets = [ " my-storage-bucket " ]
mode = " authoritative "
bindings = {
" roles/storage.legacyBucketReader " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
" roles/storage.legacyBucketWriter " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
}
} La variable mode contrôle le comportement d'un sous-module, par défaut elle est définie sur "additif", les options possibles sont :
En mode faisant autorité, un sous-module prend le contrôle total des liaisons IAM répertoriées dans le module. Cela signifie que tous les membres ajoutés aux rôles en dehors du module seront supprimés lors de la prochaine exécution de Terraform. Cependant, les rôles non répertoriés dans le module ne seront pas affectés.
En mode additif, un sous-module laisse les liaisons existantes inchangées. Au lieu de cela, tous les membres répertoriés dans le module seront ajoutés à l'ensemble existant de liaisons IAM. Cependant, les membres répertoriés dans le module sont entièrement contrôlés par le module. Cela signifie que si vous ajoutez une liaison via le module et que vous la supprimez ultérieurement, le module gérera correctement la suppression de la liaison de rôle.
Chaque sous-module effectue des opérations sur certaines variables avant d'apporter des modifications aux liaisons IAM dans GCP. En raison des limitations de for_each (plus d'informations), qui est largement utilisé dans les sous-modules, il existe certaines limitations quant au type de valeurs dynamiques que vous pouvez fournir à un sous-module :
projects ) ne sont autorisées que pour 1 entité.projects ), la configuration DOIT être statique, ce qui signifie qu'elle ne peut utiliser aucun des champs des autres ressources pour obtenir le nom de l'entité (cela inclut l'obtention des hachages générés aléatoirement via random_id ressource).authoritative . Vous pouvez choisir les types de ressources suivants pour appliquer les liaisons IAM :
projects )organizations )folders )service_accounts )subnets )storage_buckets )pubsub_topics )pubsub_subscriptions )kms_key_rings )kms_crypto_keys )secrets )managed_zones )entity_ids et variable location ) Définissez la variable spécifiée sur l'appel du module pour choisir les ressources à affecter. N'oubliez pas de définir la variable mode et d'accorder suffisamment d'autorisations pour gérer également la ressource sélectionnée. Notez que la variable bindings accepte une map {} vide transmise comme argument dans le cas où les ressources n'ont pas de liaisons IAM à appliquer.
Afin d'exécuter un sous-module, vous devez disposer d'un compte de service avec un rôle approprié pour gérer IAM pour la ressource applicable. Le rôle approprié diffère selon la ressource que vous ciblez, comme suit :
Assurez-vous d'avoir la bonne version de Terraform >= 1.3
Assurez-vous d'avoir les plugins compilés sur $HOME/.terraform.d/plugins/
Consultez la page de chaque plugin pour plus d’informations sur la façon de les compiler et de les utiliser.
