Autenticando terraform na Google Cloud sem compartilhamento de chaves

• Uma conta na GCP com permissão pelo menos de ‘viewer’ no projeto onde os recursos serão provisionados;
• O gcloud instalado na maquina em que o terraform será executado;
• Ter realizado o login na sua conta via: gcloud auth application-default login
• Uma service account com as permissões para executar o provisionamento dos recursos desejados;
• A permissão Service Account Token Creator IAM atribuído a sua conta

Você vai precisar ter a função Service Account Token Creator IAM concedida à sua própria conta de usuário.

Essa função permite que você utilize as permissões de contas de serviço para acessar APIs e recursos. A recomendação é que, aderindo ao princípio de menor privilégio, a função seja concedida a você especificamente na conta de serviço que será utilizada para provisionar os recursos via terraform

Para isso vá em Navigation Menu -> IAM & Admin -> Service accounts, na tela que mostra as services accounts, clique na que você quer adicionar o usuário com a permissão: Service Account Token Creator, em seguida clique na aba PERMISSIONS e daí só clicar no botão ‘GRANT ACCESS’, que fica logo no meio da tela:

Abaixo o nosso main.tf de exemplo completo:

locals {
 terraform_service_account = "terraform-iac-compute@terraform-lab-357713.iam.gserviceaccount.com"
}

provider "google" {
 alias = "impersonation"
 project = "terraform-lab-357713"
 scopes = [
  "https://www.googleapis.com/auth/cloud-platform",
  "https://www.googleapis.com/auth/userinfo.email",
 ]
}

data "google_service_account_access_token" "default" {
 provider = google.impersonation
 target_service_account = local.terraform_service_account
 scopes = ["userinfo-email", "cloud-platform"]
 lifetime = "1200s"
}

provider "google" {
 access_token = data.google_service_account_access_token.default.access_token
 project = "terraform-lab-357713"
 region = "us-central1"
}

resource "google_compute_instance" "default" {
 name = "test"
 machine_type = "e2-micro"
 zone = "us-central1-a"

 boot_disk {
  initialize_params {
   image = "debian-cloud/debian-11"
  }
 }

 network_interface {
  network = "default"
 }
}