执行Terraform Import导入Azure Key Vault时遇模块不存在错误

问题背景 #

Azure订阅中已存在一个Key Vault，尝试用Terraform管理时，执行terraform apply报错：

│ Error: A resource with the ID "/subscriptions/xxxxx1-41b1-4519-xxxxxx-8c25546c0829/resourceGroups/rg-identity-prd-cus-001/providers/Microsoft.KeyVault/vaults/kv-identity-prd-cus-001" already exists - to be managed via Terraform this resource needs to be imported into the State. Please see the resource documentation for "azurerm_key_vault" for more information.
│ 
│   with module.identity_subscription[0].module.key_vault[0].azurerm_key_vault.key_vault,
│   on ../modules/key_vault/key_vault.tf line 58, in resource "azurerm_key_vault" "key_vault":
│   58: resource "azurerm_key_vault" "key_vault" {

按照提示执行导入命令时，又出现错误：

terraform import module.key_vault.azurerm_key_vault.key_vault  "/subscriptions/xxxx-41xx-4xxx9-9658-8c25546c0829/resourceGroups/rg-identity-prd-cus-001/providers/Microsoft.KeyVault/vaults/kv-identity-prd-cus-001" 

错误信息：

Error: Import to non-existent module
│
│ module.key_vault is not defined in the configuration. Please add configuration  
│ for this module before importing into it.

错误原因 #

1. 模块路径错误：从terraform apply的错误信息可以看到，Key Vault资源的完整路径是module.identity_subscription[0].module.key_vault[0].azurerm_key_vault.key_vault，说明key_vault模块是嵌套在identity_subscription模块下的，而非根模块直接调用。
2. 模块实例未创建：key_vault模块使用了count = var.enable_keyvault == true ? 1 : 0，如果var.enable_keyvault未设为true，模块实例不会生成，导致导入时提示模块不存在。

解决步骤 #

1. 确保Key Vault模块已启用 #

检查对应模块中的var.enable_keyvault变量，将其设置为true，确保count=1，模块实例正常生成。

2. 使用正确的导入路径 #

根据资源的完整路径，执行以下导入命令：

terraform import module.identity_subscription[0].module.key_vault[0].azurerm_key_vault.key_vault "/subscriptions/xxxxx1-41b1-4519-xxxxxx-8c25546c0829/resourceGroups/rg-identity-prd-cus-001/providers/Microsoft.KeyVault/vaults/kv-identity-prd-cus-001"

3. 验证导入结果 #

导入完成后，执行terraform plan检查资源状态：

terraform plan

如果输出显示No changes. Your infrastructure matches the configuration.，说明导入成功，Key Vault已纳入Terraform状态管理。

额外注意事项 #

• 确保Terraform配置中的模块参数（如名称、资源组、SKU等）与已存在的Key Vault属性完全匹配，避免出现配置漂移。
• 若模块中使用了lifecycle.ignore_changes，需确认这些忽略项不会影响后续的资源管理。

内容的提问来源于stack exchange，提问作者Pallab