terraform google iam
v8.0.0
Esta é uma coleção de submódulos que facilitam o gerenciamento não destrutivo de várias funções do IAM para recursos no Google Cloud Platform:
Este módulo deve ser usado com Terraform 1.3+ e testado usando Terraform 1.3+. Se você encontrar incompatibilidades usando Terraform >=1.3, abra um problema.
Os seguintes guias estão disponíveis para ajudar nas atualizações:
Exemplos completos estão na pasta de exemplos, mas o uso básico é o seguinte para gerenciar funções em dois projetos:
module "projects_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/projects_iam "
version = " ~> 8.0 "
projects = [ " project-123456 " , " project-9876543 " ]
bindings = {
" roles/storage.admin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.networkAdmin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.imageUser " = [
" user:[email protected] " ,
]
}
}O módulo também oferece um modo autoritativo que removerá todas as funções não atribuídas por meio do Terraform. Este é um exemplo de uso do modo autoritativo para gerenciar o acesso a um bucket de armazenamento:
module "storage_buckets_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/storage_buckets_iam "
version = " ~> 8.0 "
storage_buckets = [ " my-storage-bucket " ]
mode = " authoritative "
bindings = {
" roles/storage.legacyBucketReader " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
" roles/storage.legacyBucketWriter " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
}
} A variável mode controla o comportamento de um submódulo, por padrão está definida como "aditivo", as opções possíveis são:
No modo autoritativo, um submódulo assume controle total sobre as ligações IAM listadas no módulo. Isso significa que quaisquer membros adicionados a funções fora do módulo serão removidos na próxima vez que o Terraform for executado. No entanto, as funções não listadas no módulo não serão afetadas.
No modo aditivo, um submódulo não afeta as ligações existentes. Em vez disso, todos os membros listados no módulo serão adicionados ao conjunto existente de vinculações do IAM. No entanto, os membros listados no módulo são totalmente controlados pelo módulo. Isso significa que se você adicionar uma ligação por meio do módulo e removê-la posteriormente, o módulo tratará corretamente a remoção da ligação de função.
Cada submódulo executa operações em algumas variáveis antes de fazer qualquer alteração nas vinculações do IAM no GCP. Devido às limitações de for_each (mais informações), que é amplamente utilizado nos submódulos, existem certas limitações quanto ao tipo de valores dinâmicos que você pode fornecer a um submódulo:
projects ) são permitidas apenas para 1 entidade.projects ), a configuração DEVE ser estática, o que significa que não pode usar nenhum dos campos de outros recursos para obter o nome da entidade (isso inclui obter os hashes gerados aleatoriamente através do random_id recurso).authoritative . É possível escolher os seguintes tipos de recursos para aplicar as vinculações do IAM:
projects )organizations )folders )service_accounts )subnets )storage_buckets )pubsub_topics )pubsub_subscriptions )kms_key_rings )kms_crypto_keys )secrets )managed_zones )entity_ids e variável location ) Defina a variável especificada na chamada do módulo para escolher os recursos a serem afetados. Lembre-se de definir a variável mode e conceder permissões suficientes para gerenciar o recurso selecionado também. Observe que a variável bindings aceita um mapa vazio {} passado como argumento caso os recursos não tenham vinculações do IAM para aplicar.
Para executar um submódulo, você deve ter uma conta de serviço com uma função apropriada para gerenciar o IAM do recurso aplicável. A função apropriada difere dependendo de qual recurso você está direcionando, como segue:
Certifique-se de ter a versão correta do Terraform >= 1.3
Certifique-se de ter os plugins compilados em $HOME/.terraform.d/plugins/
Consulte a página de cada plugin para obter mais informações sobre como compilá-los e usá-los.
