Terraform中合并两个for_each角色分配的最佳实践

简洁合并方案（无额外一次性locals） #

可以通过merge函数直接在for_each中构造包含角色与范围组合的映射，实现单资源声明完成两种角色的分配，代码如下：

resource "azurerm_role_assignment" "group-roles" {
  for_each = merge(
    # 生成健康读取者角色的分配项
    { for scope in (var.env == "prod" ? local.prod_groups : local.non_prod_groups_by_env) :
      "${scope}-health-reader" => {
        scope              = scope
        role_definition_id = azurerm_role_definition.health-reader.role_definition_resource_id
      }
    },
    # 生成资源组管理角色的分配项
    { for scope in (var.env == "prod" ? local.prod_groups : local.non_prod_groups_by_env) :
      "${scope}-rg-mgmt" => {
        scope              = scope
        role_definition_id = azurerm_role_definition.rg-mgmt.role_definition_resource_id
      }
    }
  )

  scope              = each.value.scope
  role_definition_id = each.value.role_definition_id
  principal_id       = azuread_group.infrastructure-management[var.env].object_id
}

该方案通过为每个角色+范围组合生成唯一的键（${scope}-角色名），确保Terraform能正确识别独立的资源实例，同时避免了重复的资源声明代码。

合并vs分开的最佳实践建议 #

• 优先合并的场景：如果这两个角色的分配逻辑完全绑定（比如始终需要同时给同一组范围分配、生命周期完全一致），合并后的代码更简洁，减少维护重复逻辑的成本。
• 建议保持分开的场景：如果未来可能出现差异化需求（比如某一角色仅在特定环境分配、或需要调整其中一个角色的principal_id等参数），分开声明会更灵活，避免修改一处影响另一处的逻辑。

对于你当前的场景，两段代码除角色ID外完全一致，合并是更高效的选择，且上述方案逻辑清晰，没有引入冗余的一次性locals。

内容的提问来源于stack exchange，提问作者Ricardo Araújo