能否在Terraform变量验证的error_message中使用condition变量？

问题背景 #

你需要验证workloads变量中每个工作负载的az_count值，确保它在1到availabilityzones的数量范围内。虽然现有的condition能检测出违规，但无法直接在error_message里引用condition循环里的workload_name和workload变量——直接引用会触发"Invalid reference"错误，因为error_message的上下文和condition是独立的，无法访问循环内部的临时变量。

解决方法 #

通过在error_message中重新构造逻辑，收集所有不符合条件的工作负载信息，拼接成清晰的错误提示。具体来说，用for表达式筛选出违规的工作负载，再用join把它们的信息组合成字符串。

修改后的workloads变量完整代码如下：

variable "availabilityzones" {
  description = "要使用的可用区（AZ）列表。"
  default = [
    "eu-west-1a",
    "eu-west-1b",
    "eu-west-1c",
  ]
  type = set(string)
}

variable "workloads" {
  default = {
    workload_foo = {
      az_count = 1
      ami = "ami-061ff9349538cd3f1"
    }
    workload_bar = {
      az_count = 2
      ami = "ami-0e309138dd3e25b2e"
    }
    workload_bad = {
      az_count = 4 # ⟽ 这里AZ数量超出限制
      ami = "ami-040a86d5d7bf29267"
    }
  }
  type = map(object({
      # 要使用的AZ数量
      az_count = number

      # 工作负载使用的AMI
      ami = string
    }))

  validation {
    condition = alltrue([
      for workload_name, workload in var.workloads :
        1 <= workload.az_count && workload.az_count <= length(var.availabilityzones)
    ])
    error_message = "工作负载的AZ数量必须在1到${length(var.availabilityzones)}之间（包含边界值）。以下工作负载不符合要求：\n${join("\n", [
      for workload_name, workload in var.workloads :
        "- 工作负载 \"${workload_name}\" 的AZ数量为 ${workload.az_count}"
        if !(1 <= workload.az_count && workload.az_count <= length(var.availabilityzones))
    ])}"
  }
}

效果说明 #

当存在违规的工作负载时，错误提示会列出所有不符合条件的条目，示例如下：

│ Error: Invalid value for variable
│ 
│   on .../variables.tf line X, in variable "workloads":
│   XX:   validation {
│ 
│ 工作负载的AZ数量必须在1到3之间（包含边界值）。以下工作负载不符合要求：
│ - 工作负载 "workload_bad" 的AZ数量为 4

这样用户能直接看到所有有问题的工作负载，无需自行排查。

内容的提问来源于stack exchange，提问作者CDuv