terraform google iam
v8.0.0
นี่คือชุดของโมดูลย่อยที่ทำให้การจัดการบทบาท IAM หลายบทบาทสำหรับทรัพยากรบน Google Cloud Platform โดยไม่ทำลายได้ง่ายขึ้น:
โมดูลนี้มีไว้สำหรับใช้กับ Terraform 1.3+ และทดสอบโดยใช้ Terraform 1.3+ หากคุณพบความไม่เข้ากันในการใช้ Terraform >=1.3 โปรดเปิดปัญหา
คำแนะนำต่อไปนี้มีไว้เพื่อช่วยในการอัพเกรด:
ตัวอย่างแบบเต็มอยู่ในโฟลเดอร์ตัวอย่าง แต่การใช้งานพื้นฐานสำหรับการจัดการบทบาทในสองโปรเจ็กต์มีดังต่อไปนี้:
module "projects_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/projects_iam "
version = " ~> 8.0 "
projects = [ " project-123456 " , " project-9876543 " ]
bindings = {
" roles/storage.admin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.networkAdmin " = [
" group:[email protected] " ,
" user:[email protected] " ,
]
" roles/compute.imageUser " = [
" user:[email protected] " ,
]
}
}โมดูลนี้ยังมีโหมด ที่เชื่อถือได้ ซึ่งจะลบบทบาททั้งหมดที่ไม่ได้รับมอบหมายผ่าน Terraform นี่คือตัวอย่างของการใช้โหมดที่เชื่อถือได้เพื่อจัดการการเข้าถึงบัคเก็ตของพื้นที่เก็บข้อมูล:
module "storage_buckets_iam_bindings" {
source = " terraform-google-modules/iam/google//modules/storage_buckets_iam "
version = " ~> 8.0 "
storage_buckets = [ " my-storage-bucket " ]
mode = " authoritative "
bindings = {
" roles/storage.legacyBucketReader " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
" roles/storage.legacyBucketWriter " = [
" user:[email protected] " ,
" group:[email protected] " ,
]
}
} ตัวแปร mode ควบคุมพฤติกรรมของโมดูลย่อย โดยค่าเริ่มต้นจะถูกตั้งค่าเป็น "เพิ่มเติม" ตัวเลือกที่เป็นไปได้คือ:
ในโหมดที่เชื่อถือได้ โมดูลย่อยจะควบคุมการเชื่อมโยง IAM ที่แสดงอยู่ในโมดูลอย่างสมบูรณ์ ซึ่งหมายความว่าสมาชิกใดๆ ที่เพิ่มเข้าไปในบทบาทภายนอกโมดูลจะถูกลบออกในครั้งถัดไปที่ Terraform ทำงาน อย่างไรก็ตาม บทบาทที่ไม่อยู่ในรายการจะไม่ได้รับผลกระทบ
ในโหมดเพิ่มเติม โมดูลย่อยจะปล่อยให้การเชื่อมโยงที่มีอยู่ไม่ได้รับผลกระทบ แต่สมาชิกใดๆ ที่อยู่ในโมดูลจะถูกเพิ่มเข้ากับชุดการเชื่อมโยง IAM ที่มีอยู่แทน อย่างไรก็ตาม สมาชิกที่ระบุในโมดูล จะ ถูกควบคุมโดยโมดูลอย่างสมบูรณ์ ซึ่งหมายความว่าหากคุณเพิ่มการเชื่อมโยงผ่านโมดูลและลบออกในภายหลัง โมดูลจะจัดการการลบการเชื่อมโยงบทบาทได้อย่างถูกต้อง
แต่ละโมดูลย่อยจะดำเนินการกับตัวแปรบางตัวก่อนทำการเปลี่ยนแปลงใดๆ กับการผูก IAM ใน GCP เนื่องจากข้อจำกัดของ for_each (ข้อมูลเพิ่มเติม) ซึ่งใช้กันอย่างแพร่หลายในโมดูลย่อย มีข้อจำกัดบางประการเกี่ยวกับประเภทของค่าไดนามิกที่คุณสามารถระบุให้กับโมดูลย่อยได้:
projects ) ได้รับอนุญาตสำหรับ 1 เอนทิตีเท่านั้นprojects ) การกำหนดค่า จะต้อง คงที่ ซึ่งหมายความว่าจะไม่สามารถใช้ฟิลด์ทรัพยากรอื่นใดเพื่อรับชื่อเอนทิตีได้ (ซึ่งรวมถึงการรับแฮชที่สร้างแบบสุ่มผ่าน random_id ทรัพยากร).authoritative เท่านั้น คุณสามารถเลือกประเภททรัพยากรต่อไปนี้เพื่อใช้การเชื่อมโยง IAM:
projects )organizations )folders )service_accounts )subnets )storage_buckets )pubsub_topics )pubsub_subscriptions )kms_key_rings )kms_crypto_keys )secrets )managed_zones )entity_ids และตัวแปร location ) ตั้งค่าตัวแปรที่ระบุในการเรียกโมดูลเพื่อเลือกทรัพยากรที่จะได้รับผลกระทบ อย่าลืมตั้งค่าตัวแปร mode และให้สิทธิ์เพียงพอในการจัดการทรัพยากรที่เลือกด้วย โปรดทราบว่าตัวแปร bindings ยอมรับแมปว่าง {} ที่ส่งผ่านเป็นอาร์กิวเมนต์ในกรณีที่ทรัพยากรไม่มีการผูก IAM ที่จะใช้
เพื่อดำเนินการโมดูลย่อย คุณต้องมีบัญชีบริการที่มีบทบาทที่เหมาะสมในการจัดการ IAM สำหรับทรัพยากรที่เกี่ยวข้อง บทบาทที่เหมาะสมจะแตกต่างกันไปขึ้นอยู่กับทรัพยากรที่คุณกำหนดเป้าหมาย ดังนี้:
ตรวจสอบให้แน่ใจว่าคุณมีเวอร์ชัน Terraform ที่ถูกต้อง >= 1.3
ตรวจสอบให้แน่ใจว่าคุณมีปลั๊กอินที่คอมไพล์แล้วใน $HOME/.terraform.d/plugins/
ดูหน้าปลั๊กอินแต่ละหน้าสำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการคอมไพล์และใช้งาน
