Terraform azuread_directory_role_assignment创建失败，依赖问题求助

问题分析 #

你遇到的错误核心原因是：即便添加了depends_on = [module.sql]，Terraform在评估principal_object_id = module.sql.identity[0].principal_id时，模块的identity输出仍未生成有效值。单纯的模块级depends_on有时无法让Terraform精准感知内部资源的创建顺序，尤其是当模块输出没有明确绑定到托管身份的创建依赖时。

解决方案 #

1. 确保模块输出绑定正确依赖 #

如果有权限修改module.sql，需要在模块内部的输出定义里，明确绑定到SQL服务器托管身份的创建依赖，让Terraform能准确追踪属性的生成时机：

# 在module/sql的outputs.tf中修改输出
output "identity" {
  value      = azurerm_mssql_server.sql.identity
  depends_on = [azurerm_mssql_server.sql]
}

这样外部引用module.sql.identity时，Terraform会等待SQL服务器及其托管身份完全创建后，才读取principal_id的值。

2. 直接引用模块内部资源属性（若模块允许） #

如果模块未正确输出托管身份依赖，或无法修改模块，可尝试直接引用模块内部的SQL服务器资源属性（前提是模块暴露了该资源）：

resource "azuread_directory_role_assignment" "sql_directory_reader" {
  principal_object_id = module.sql.azurerm_mssql_server.sql.identity[0].principal_id
  role_id             = "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
}

这种方式让Terraform直接依赖SQL服务器资源，而非模块级依赖，能更精准控制创建顺序。

3. 使用count控制资源创建时机 #

通过count判断托管身份是否存在，仅当identity有有效值时才创建角色分配，自动处理依赖关系：

resource "azuread_directory_role_assignment" "sql_directory_reader" {
  count               = length(module.sql.identity) > 0 ? 1 : 0
  principal_object_id = module.sql.identity[0].principal_id
  role_id             = "88d8e3e3-8f55-4a1e-953a-9b9898b8876b"
}

当SQL服务器托管身份未生成时，count为0，该资源不会创建；身份生成后count变为1，Terraform自动触发角色分配创建，无需额外添加depends_on。

内容的提问来源于stack exchange，提问作者Norbi