Terraform GCP service_account против проекта против организации

Question

Я собираю terraform для GCP, и я наткнулся на эти три ресурса:

1. google_service_account_iam_member
2. google_project_iam_member
3. google_organization_iam_member

Они звучат очень похоже друг на друга, но, конечно, с некоторыми ключевыми различиями.

Я просмотрел их документы, но их различия не были абсолютно ясно для меня. Есть ли простой способ проиллюстрировать разницу между ними?

Спасибо

Answer 1

Внутри GCP существует иерархия: Организация, Проект, Ресурс

Упомянутые вами политики IAM ведут себя одинаково; однако работает на разных уровнях в зависимости от иерархии.

Например, google_project_iam_member обновит политику IAM для предоставления роли новому участнику на уровне проекта.

The google_organization_iam_member будет делать то же самое, но на уровне Организации (уровень выше, чем у проекта).

Обновление:

google_service_account_iam_member будет работать на каждом уровне, в зависимости от того, что вы хотите как сервисный аккаунт делать. Вы можете использовать учетную запись службы в качестве удостоверения личности или просто запустить определенный ресурс. Сервисная учетная запись может быть добавлена ​​на всех трех уровнях.

Answer 2

Как описано ранее, google_project_iam_member и google_organization_iam_member используются для управления разрешением IAM на уровне проекта или организации. Вы также можете управлять разрешениями на уровне папок.

Когда IAM предоставляется на уровне организации, все папки и проекты наследуют это разрешение. При предоставлении в папке все проекты и подпапки в этой папке наследуют это разрешение.

Разрешениями также можно управлять на уровне ресурсов, google_service_account_iam_member позволяют предоставлять разрешение на управление учетной записью службы и использованием учетной записи службы. на уровне учетной записи службы. Это полезно, когда вы хотите предоставить более ограниченные разрешения и предоставить доступ к одной учетной записи службы вместо всех учетных записей службы проекта.

Спасибо, Эдуардо Руела