Terraform创建Azure KV私有端点时跨订阅引用私有DNS区域报错求助

核心问题原因 #

你当前的代码直接在Identity模块中引用Connectivity模块内未导出的资源，Terraform不允许跨模块直接访问未暴露的资源，必须通过模块输出+变量传递的方式实现跨模块/跨订阅资源引用。

具体解决步骤 #

1. 在Connectivity模块中导出私有DNS区域ID #

在Connectivity文件夹下创建或修改outputs.tf，将私有DNS区域的ID暴露为模块输出：

# 单个DNS区域输出示例
output "private_dns_zone_vaultcore_id" {
  type        = string
  value       = azurerm_private_dns_zone.private_dns_zones["privatelink-vaultcore-azure-net"].id
  description = "Azure Key Vault对应的私有DNS区域ID"
}

# 多DNS区域批量输出示例（可选）
output "private_dns_zone_ids" {
  type        = map(string)
  value       = tomap({
    vaultcore = azurerm_private_dns_zone.private_dns_zones["privatelink-vaultcore-azure-net"].id
    # 可添加其他私有DNS区域的映射
  })
  description = "私有DNS区域ID映射表"
}

2. 在根模块中传递Connectivity输出到Identity模块 #

假设你的根模块（如main.tf）同时调用了两个订阅的模块，需要将Connectivity模块的输出作为变量传入Identity模块：

module "connectivity_subscription" {
  source = "./subscriptions/connectivity"
  # 填写Connectivity模块所需的变量（如environment、location等）
}

module "identity_subscription" {
  source = "./subscriptions/identity"
  # 填写Identity模块原有变量
  private_dns_zone_vaultcore_id = module.connectivity_subscription.private_dns_zone_vaultcore_id
  # 如果用批量输出则改为：
  # private_dns_zone_ids = module.connectivity_subscription.private_dns_zone_ids
}

3. 在Identity模块中声明接收变量 #

在Identity文件夹下的variables.tf中添加对应变量定义：

# 单个ID变量
variable "private_dns_zone_vaultcore_id" {
  type        = string
  description = "来自Connectivity订阅的Key Vault私有DNS区域ID"
}

# 批量映射变量（可选）
variable "private_dns_zone_ids" {
  type        = map(string)
  description = "来自Connectivity订阅的私有DNS区域ID映射表"
}

4. 修改Identity模块中的私有端点代码 #

更新identity.tf中的私有DNS区域引用，改为使用传入的变量：

resource "azurerm_private_endpoint" "kv_pe" {
  name                = format("pe-%s-%s-%s-%s",local.application_names.workload_type,var.environment,var.location_short_name,var.instance_number)
  resource_group_name = module.resource_group.rg_name_subs
  location            = var.location
  subnet_id           = module.pvtlink_subnet.id
  private_dns_zone_group {
    name                 = local.application_name.kv_dns_zone_group_name
    # 单个变量引用方式
    private_dns_zone_ids = [var.private_dns_zone_vaultcore_id]
    # 批量映射引用方式（可选）
    # private_dns_zone_ids = [var.private_dns_zone_ids["vaultcore"]]
  }
  private_service_connection {
    is_manual_connection           = false
    private_connection_resource_id = module.key_vault.id 
    name                           = local.application_names.pes_conn_name_kv
    subresource_names              = ["vault"]
  }
  depends_on = [module.key_vault]
}

额外注意事项 #

• 确保Identity模块使用的Azure Provider拥有读取Connectivity订阅中私有DNS区域的权限；
• 如果两个模块使用独立的远程状态文件，需改用data "terraform_remote_state"读取Connectivity模块的状态输出，示例：

data "terraform_remote_state" "connectivity" {
  backend = "azurerm"
  config = {
    resource_group_name  = "你的状态存储资源组名"
    storage_account_name = "你的状态存储账户名"
    container_name       = "你的状态存储容器名"
    key                  = "connectivity.terraform.tfstate"
  }
}

之后引用方式改为：data.terraform_remote_state.connectivity.outputs.private_dns_zone_vaultcore_id

内容的提问来源于stack exchange，提问作者Pallab