使用Terraform创建Azure邮件通信服务的凭证获取疑问

要获取邮件通信服务的访问凭证（key和endpoint），确实需要采用创建核心通信服务+邮件通信服务+关联资源的配置，从azurerm_communication_service资源中提取这些信息，无法直接从azurerm_email_communication_service获取，原因如下：

1. 两个资源的定位差异 #

• azurerm_communication_service是Azure Communication Services的核心全局资源，负责管理整个服务实例的身份验证凭证、全局访问端点，所有通信能力（邮件、短信、语音等）都依赖这个主资源提供的基础访问能力。
• azurerm_email_communication_service只是邮件能力的专用扩展资源，仅用于配置邮件相关的特定功能（比如关联发件域名），本身不独立存储或输出全局服务凭证——因为凭证属于整个通信服务实例，而非单一的邮件子服务。

2. 底层设计与Terraform提供商的对齐 #

Azure的API设计逻辑就是将服务凭证统一在主Communication Service实例中管理，邮件服务作为附加功能，不会生成独立的凭证，避免分散管理带来的安全风险和混乱。而Terraform的AzureRM提供商严格对齐Azure官方API，既然Azure API不通过邮件服务资源返回这些凭证，Terraform也就不会额外添加对应的输出字段。

简化配置示例 #

# 1. 创建核心通信服务（唯一能输出凭证的资源）
resource "azurerm_communication_service" "main" {
  name                = "my-communication-service"
  resource_group_name = azurerm_resource_group.main.name
  location            = "global"
}

# 2. 创建邮件通信服务
resource "azurerm_email_communication_service" "main" {
  name                = "my-email-service"
  resource_group_name = azurerm_resource_group.main.name
  location            = "global"
}

# 3. 创建并关联邮件域名
resource "azurerm_email_communication_service_domain" "main" {
  name                = "my-email-domain"
  resource_group_name = azurerm_resource_group.main.name
  email_communication_service_id = azurerm_email_communication_service.main.id
  domain = "contoso.com"
}

resource "azurerm_communication_service_email_domain_association" "main" {
  communication_service_id        = azurerm_communication_service.main.id
  email_communication_service_id = azurerm_email_communication_service.main.id
  domain_id                       = azurerm_email_communication_service_domain.main.id
}

# 输出所需凭证
output "communication_endpoint" {
  value = azurerm_communication_service.main.endpoint
}

output "primary_access_key" {
  value = azurerm_communication_service.main.primary_access_key
  sensitive = true
}

额外建议 #

• 即使只需要邮件功能，也必须创建并关联核心通信服务，这是Azure的强制逻辑，没有绕开的方法。
• 可以将核心通信服务+邮件服务的配置封装成Terraform模块，简化多环境复用的复杂度。

内容的提问来源于stack exchange，提问作者vkourt