terraform google iam
v8.0.0
Это набор подмодулей, которые упрощают неразрушающее управление несколькими ролями IAM для ресурсов на Google Cloud Platform:
Этот модуль предназначен для использования с Terraform 1.3+ и протестирован с использованием Terraform 1.3+. Если вы обнаружите несовместимость при использовании Terraform >=1.3, откройте проблему.
Для помощи в обновлении доступны следующие руководства:
Полные примеры находятся в папке примеров, но базовое использование для управления ролями в двух проектах следующее:
module "projects_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/projects_iam "
version = " ~> 8.0 "
projects = [ " project-123456 " , " project-9876543 " ]
bindings = {
" roles/storage.admin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.networkAdmin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.imageUser " = [
" user:[email protected] " ,
]
}
}Модуль также предлагает авторитетный режим, который удалит все роли, не назначенные через Terraform. Это пример использования авторитетного режима для управления доступом к сегменту хранилища:
module "storage_buckets_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/storage_buckets_iam "
version = " ~> 8.0 "
storage_buckets = [ " my-storage-bucket " ]
mode = " authoritative "
bindings = {
" roles/storage.legacyBucketReader " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
" roles/storage.legacyBucketWriter " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
}
} Переменная mode управляет поведением подмодуля, по умолчанию для нее установлено значение «аддитивный», возможные варианты:
В авторитетном режиме подмодуль получает полный контроль над привязками IAM, перечисленными в модуле. Это означает, что любые члены, добавленные к ролям за пределами модуля, будут удалены при следующем запуске Terraform. Однако роли, не перечисленные в модуле, не будут затронуты.
В аддитивном режиме подмодуль оставляет существующие привязки без изменений. Вместо этого все члены, перечисленные в модуле, будут добавлены в существующий набор привязок IAM. Однако члены, перечисленные в модуле, полностью контролируются модулем. Это означает, что если вы добавите привязку через модуль, а затем удалите ее, модуль правильно обработает удаление привязки роли.
Каждый подмодуль выполняет операции над некоторыми переменными, прежде чем вносить какие-либо изменения в привязки IAM в GCP. Из-за ограничений for_each (подробнее), который широко используется в подмодулях, существуют определенные ограничения на то, какие динамические значения можно предоставлять в подмодуль:
projects ) разрешены только для одного объекта.projects ), конфигурация ДОЛЖНА быть статической, что означает, что она не может использовать какие-либо поля других ресурсов для получения имени объекта (это включает в себя получение случайно сгенерированных хэшей через random_id ресурс).authoritative режиме. Вы можете выбрать следующие типы ресурсов для применения привязок IAM:
projects )organizations )folders )service_accounts )subnets )storage_buckets )pubsub_topics )pubsub_subscriptions )kms_key_rings )kms_crypto_keys )secrets )managed_zones )entity_ids и переменная location ) Установите указанную переменную при вызове модуля, чтобы выбрать ресурсы, на которые будет воздействовать. Не забудьте установить переменную mode и предоставить достаточные разрешения для управления выбранным ресурсом. Обратите внимание, что переменная bindings принимает пустую карту {} передаваемую в качестве аргумента в случае, если у ресурсов нет привязок IAM, которые можно было бы применить.
Чтобы выполнить подмодуль, у вас должна быть учетная запись службы с соответствующей ролью для управления IAM для соответствующего ресурса. Соответствующая роль различается в зависимости от целевого ресурса следующим образом:
Убедитесь, что у вас правильная версия Terraform >= 1.3.
Убедитесь, что у вас есть скомпилированные плагины в $HOME/.terraform.d/plugins/.
См. каждую страницу плагина для получения дополнительной информации о том, как их скомпилировать и использовать.
