Невозможно создать группу Google с ресурсом Terraform google_cloud_identity_group - PullRequest
Новая
       75

Невозможно создать группу Google с ресурсом Terraform google_cloud_identity_group

0 голосов
/ 10 июля 2020

Следующий ресурс используется для создания группы Google с использованием terraform google-beta и версии 3.36: 

resource "google_cloud_identity_group" "cloud_identity_group_basic" {
  provider = google-beta
  display_name = "aaa bbb"

  parent = "customers/XXX"

  group_key {
    id = "aaa_bbb@evilcorp.com"
  }

  labels = {
    "cloudidentity.googleapis.com/groups.discussion_forum" = ""
  }
}

terraform plan сообщает мне, что он создаст ресурс, но выполнит apply приводит к ошибке (Actor does not have permission to create group). Сервисный аккаунт terraform уже имеет множество разрешений, таких как Organization Administrator, Google Cloud Managed Identities Admin, Google Cloud Managed Identities Domain Admin, ...

Делегирование домена G Suite также было предпринято, но не знаю, как это могло помощь. 

Terraform will perform the following actions:

  # google_cloud_identity_group.cloud_identity_group_basic will be created
  + resource "google_cloud_identity_group" "cloud_identity_group_basic" {
      + create_time  = (known after apply)
      + display_name = "aaa bbb"
      + id           = (known after apply)
      + labels       = {
          + "cloudidentity.googleapis.com/groups.discussion_forum" = ""
        }
      + name         = (known after apply)
      + parent       = "customers/XXX"
      + update_time  = (known after apply)

      + group_key {
          + id = "aaa_bbb@evilcorp.com"
        }
    }

Plan: 1 to add, 0 to change, 0 to destroy.

Do you want to perform these actions?
  Terraform will perform the actions described above.
  Only 'yes' will be accepted to approve.

  Enter a value: yes

google_cloud_identity_group.cloud_identity_group_basic: Creating...

Error: Error creating Group: googleapi: Error 403: Error(2015): Actor does not have permission to create group 'aaa_bbb@evilcorp.com'.
Details:
[
  {
    "@type": "type.googleapis.com/google.rpc.ResourceInfo",
    "description": "Error(2015): Actor does not have permission to create group 'aaa_bbb@evilcorp.com'.",
    "owner": "domain:cloudidentity.googleapis.com",
    "resourceType": "cloudidentity.googleapis.com/Group"
  }
]

  on groups.tf line 1, in resource "google_cloud_identity_group" "cloud_identity_group_basic":
   1: resource "google_cloud_identity_group" "cloud_identity_group_basic" {

1 Ответ

0 голосов
/ 31 августа 2020

Можно использовать сервисные аккаунты с API групп Google без делегирования на уровне домена сейчас.

См .: Настройка API групп / Назначение роли администратора сервисный счет . Это позволило сервисной учетной записи terraform создавать группы и управлять ими.

...