Блог

Когда я пытаюсь создать нового пользователя IAM в GCP, я получаю следующую ошибку

 Request "Create IAM Members roles/dns.admin serviceAccount:dns-mngt-sa-prod@pprojectId.iam.gserviceaccount.com 
for "project \"projectId\""" returned error:
 Error applying IAM policy for project "projectId": Error setting IAM policy for project "projectId": googleapi: Error 400:
 The size of the policy is too large.
 Consider removing or merging some of the bindings or if using conditions remove 
any lengthy conditions., badRequest
  

Выше показан вывод команды terraform apply. Когда я пытаюсь использовать gcloud cli, я также получаю аналогичный результат
Когда я пытаюсь создать его через консоль GCP, он просто показывает «ошибку сервера»

Скорее всего, вы попали в одну из квот IAM. Все привязки, указанные вами в Terraform, загружаются каждый раз, когда вы выполняете обновление или создаете. Как указано в ошибке, вы, вероятно, создаете много привязок, которые можно объединить. Я предлагаю попытаться определить, какой предел квоты вы достигаете и почему, вот несколько команд отладки:

Количество привязок iam:

 gcloud projects get-iam-policy $PROJECT_ID --format=json | jq '.bindings | length'
  

Общий размер привязок:

 gcloud projects get-iam-policy $PROJECT_ID --format=json | jq '.bindings' > iam.json
ls -l iam.json
  

Появление каждого члена во всех привязках:

 gcloud projects get-iam-policy $PROJECT_ID --format=json | jq ".bindings[].members" | jq -s flatten
  

Затем вы можете уменьшить количество привязок путем слияния. Например, эта привязка:

 {
  "bindings": [
    {
      "members": [
        "user:user-a@example.com"
      ],
      "role": "roles/owner"
    },
    {
      "members": [
        "user:user-b@example.com"
      ],
      "role": "roles/owner"
    }
  ],
  "etag": "BwUjMhCsNvY=",
  "version": 1
}
  

Может быть объединено с этим:

 {
  "bindings": [
    {
      "members": [
        "user:user-b@example.com",
        "user:user-a@example.com"
      ],
      "role": "roles/owner"
    }
  ],
  "etag": "BwUjMhCsNvY=",
  "version": 1
}