Terraform中azurerm_cdn_frontdoor_security_policy强制替换问题求助

API 探路者

2026-6-14

问题描述

我正在运行Terraform代码以配置要关联到Azure Front Door WAF的安全策略。

我的问题是：当在每个域名下添加新的end_points时，Terraform会对所有现有端点执行强制变更，我不想影响现有端点，只想追加新端点并配置安全策略。

解决方案

用for_each实现端点独立管理：将每个endpoint定义为单独的资源实例，替代单资源内的列表配置。这样新增端点时，仅会创建新资源，不会触发现有资源的变更。示例代码：

resource "azurerm_frontdoor_frontend_endpoint" "endpoints" {
  for_each = toset(var.new_endpoint_names)
  name      = each.key
  frontdoor_id = azurerm_frontdoor.main.id
  host_name = "${each.key}.example.com"
  # 关联WAF安全策略配置
  web_application_firewall_policy_link {
    id = azurerm_frontdoor_web_application_firewall_policy.waf.id
  }
}

排查force_new触发项：检查所用Azure Front Door相关Terraform资源的字段，若存在force_new = true的配置，会导致字段变更时强制重建所有资源。调整这类字段，或改用独立资源拆分管理。
通过lifecycle保护现有资源：对已部署的端点资源添加生命周期规则，阻止销毁或忽略指定字段的变更，避免Terraform修改现有端点。示例：

resource "azurerm_frontdoor_frontend_endpoint" "existing_endpoints" {
  # 现有端点的配置内容
  name      = "existing-endpoint"
  frontdoor_id = azurerm_frontdoor.main.id
  host_name = "existing.example.com"

  lifecycle {
    prevent_destroy = true
    ignore_changes = [
      web_application_firewall_policy_link # 若无需修改现有端点的WAF关联，可忽略该字段
    ]
  }
}