使用动态Identity块输出配置RBAC分配时遇Terraform错误

你的问题根源在于模块中dynamic "identity"块的for_each逻辑错误，导致输出的identity是一个包含静态变量值的列表，而非SQL Server资源创建后生成的身份对象。当你使用[0].principal_id时，Terraform看到的是null值，触发了必填参数缺失的错误。

1. 修正模块中的dynamic "identity"块 #

修改模块的main.tf，调整for_each逻辑，确保azurerm_mssql_server.sqlsrv.identity返回的是对象而非列表：

resource "azurerm_mssql_server" "sqlsrv" {
  dynamic "identity" {
    # 当var.identity非空时，遍历包含该对象的单元素列表
    for_each = var.identity == null ? [] : [var.identity]
    content {
      type         = identity.value.type
      identity_ids = lookup(identity.value, "identity_ids", null)
    }
  }
}

原代码中for_each = var.identity == null ? [] : [true]会让Terraform将identity处理为列表结构，而Azure SQL Server的身份属性本质是单个对象，这会导致输出的identity无法正确关联到资源创建后的实际值。

2. 优化变量类型定义（可选但推荐） #

将variable.tf中的any类型改为明确的object类型，增强类型校验：

variable "identity" {
  type = object({
    type         = string
    identity_ids = optional(list(string))
  })
  description = <<EOT
    type = Specifies the type of Managed Service Identity that should be configured on the SQL Server. Possible values are SystemAssigned, UserAssigned, SystemAssigned, UserAssigned (to enable both).
    identity_ids = A list of IDs for User Assigned Managed Identity resources to be assigned. Optional when type is SystemAssigned.
  EOT
  default = null
}

3. 调整模块输出与RBAC配置 #

• 模块的output.tf保持不变，但现在输出的是对象而非列表：

output "identity" {
  description = "Identity of the Azure SQL Server"
  value       = azurerm_mssql_server.sqlsrv.identity
}

• 修改sa.tf中的角色分配配置，直接引用对象的principal_id：

resource "azurerm_role_assignment" "sql-storage-blob-reader" {
  scope                = module.mta-adls-dataintelligence.id
  role_definition_name = "Storage Blob Data Reader"
  principal_id         = module.sql-dataintelligence.identity.principal_id
}

4. 验证效果 #

执行terraform plan后，输出的identity应该显示：

Changes to Outputs:
  + identity = {
      + identity_ids = null
      + principal_id = (known after apply)
      + tenant_id    = (known after apply)
      + type         = "SystemAssigned"
    }

此时principal_id会正确标记为(known after apply)，Terraform会自动等待SQL Server创建完成后再配置RBAC角色分配，无需手动添加depends_on。

内容的提问来源于stack exchange，提问作者glaeran