Terraform中如何为Azure存储账户动态传入多子网ID

针对你遇到的问题，核心是每个存储账户只能有1个network_rules块，但块内的virtual_network_subnet_ids支持动态生成的列表，不需要给network_rules本身加dynamic块。以下是两种可行方案：

方案1：在存储账户资源内直接配置网络规则 #

通过变量传入存储账户列表（包含每个账户对应的子网名称），结合数据资源获取子网ID，动态生成允许的子网列表。

步骤1：定义变量 #

# 存储账户配置列表，每个元素包含账户名、资源组和关联的子网名称
variable "storage_accounts" {
  type = list(object({
    name                = string
    resource_group_name = string
    subnet_names        = list(string)
    account_tier        = optional(string, "Standard")
    replication_type    = optional(string, "GRS")
  }))
}

# 虚拟网络基础信息
variable "vnet_config" {
  type = object({
    name                = string
    resource_group_name = string
  })
}

步骤2：获取虚拟网络及子网映射 #

用数据资源拉取目标虚拟网络的所有子网，生成「子网名称→ID」的映射表：

data "azurerm_virtual_network" "target_vnet" {
  name                = var.vnet_config.name
  resource_group_name = var.vnet_config.resource_group_name
}

locals {
  # 构建子网名称到ID的映射，方便后续查找
  subnet_id_lookup = { for subnet in data.azurerm_virtual_network.target_vnet.subnets : subnet.name => subnet.id }
}

步骤3：批量创建存储账户并配置动态子网规则 #

遍历存储账户变量，为每个账户生成唯一的network_rules块，其中子网ID通过映射表动态获取：

resource "azurerm_storage_account" "batch" {
  for_each = { for sa in var.storage_accounts : sa.name => sa }

  name                     = each.value.name
  resource_group_name      = each.value.resource_group_name
  location                 = azurerm_resource_group[each.value.resource_group_name].location
  account_tier             = each.value.account_tier
  account_replication_type = each.value.replication_type

  # 每个账户仅需1个network_rules块，子网ID动态生成
  network_rules {
    default_action = "Deny"
    # 过滤出有效子网ID（避免传入不存在的子网名称导致报错）
    virtual_network_subnet_ids = [
      for subnet_name in each.value.subnet_names :
      local.subnet_id_lookup[subnet_name]
      if contains(keys(local.subnet_id_lookup), subnet_name)
    ]
    # 可按需添加IP规则、例外规则等
    # ip_rules = ["192.168.1.0/24"]
  }
}

方案2：使用独立的网络规则资源（适合已有存储账户） #

如果你的存储账户已存在，或希望把网络规则与存储账户资源分离，可使用azurerm_storage_account_network_rules独立资源，同样支持动态配置子网：

resource "azurerm_storage_account_network_rules" "batch" {
  for_each = { for sa in var.storage_accounts : sa.name => sa }

  storage_account_id = azurerm_storage_account.batch[each.key].id
  # 若存储账户已存在，直接传入账户ID："/subscriptions/xxx/resourceGroups/rg/providers/Microsoft.Storage/storageAccounts/sa-name"

  default_action = "Deny"
  virtual_network_subnet_ids = [
    for subnet_name in each.value.subnet_names :
    local.subnet_id_lookup[subnet_name]
    if contains(keys(local.subnet_id_lookup), subnet_name)
  ]
}

注意事项 #

• 若已有存储账户的网络规则是手动配置的，需先导入资源：

  terraform import azurerm_storage_account_network_rules.batch["your-sa-name"] /subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.Storage/storageAccounts/<存储账户名>
  

• 始终通过contains过滤子网名称，避免传入不存在的子网导致Terraform报错。

内容的提问来源于stack exchange，提问作者NickP