google-cloud-platform - Terraform GCP service_account vs project vs org

Question

我正在为 GCP 选择 terraform，我遇到了这三个资源：

1. google_service_account_iam_member
2. google_project_iam_member
3. google_organization_iam_member

它们听起来非常相似，但肯定有一些关键的区别。

我浏览了他们的文档，但他们的差异对我来说并不完全清楚。有没有简单的方法来说明这些之间的区别？

谢谢

标签： google-cloud-platformterraformservice-accountsgoogle-cloud-iamterraform-provider-gcp

Answer 1

在 GCP 中，有一个层次结构：组织、项目、资源

您提到的 IAM 策略的行为相同；但是，根据层次结构在不同级别上工作。

例如，google_project_iam_member将更新 IAM 策略以在项目级别向新成员授予角色。

将google_organization_iam_member做同样的事情，但在组织级别（比项目更高的级别）。

更新：

google_service_account_iam_member 将根据您希望服务帐户执行的操作在各个级别上工作。您可以让服务帐户充当身份，也可以让它运行某个资源。可以在所有三个级别上添加服务帐户。