Terraform创建第二个azurerm_app_service_certificate_binding时证书未找到

可能的原因及对应解决方案 #

1. 跨区域证书同步延迟导致绑定过早执行

Azure Traffic Manager的证书同步到不同区域的App Service环境存在一定延迟，而Terraform默认并行执行资源创建，第二个证书绑定可能在证书未同步完成时就触发，导致找不到证书的错误。

解决方法：
通过显式依赖或延迟等待确保证书同步完成：

• 方法一：让第二个绑定依赖第一个绑定，利用第一个绑定的完成时间等待同步

resource "azurerm_app_service_certificate_binding" "second_binding" {
  app_service_id = azurerm_app_service.second.id
  certificate_id = data.azurerm_app_service_certificate.tm_cert.id
  hostname       = "your-custom-domain.com"
  ssl_state      = "SniEnabled"
  
  depends_on = [azurerm_app_service_certificate_binding.first_binding]
}

• 方法二：添加固定延迟等待证书同步

resource "time_sleep" "cert_sync_wait" {
  create_duration = "60s" # 根据实际情况调整，建议1-2分钟
  depends_on      = [azurerm_app_service_certificate_binding.first_binding]
}

resource "azurerm_app_service_certificate_binding" "second_binding" {
  # 你的绑定配置
  depends_on = [time_sleep.cert_sync_wait]
}

2. 证书资源引用错误

确保两个App Service的证书绑定都引用同一个Traffic Manager关联的证书资源，避免因引用不同证书ID导致的找不到证书问题。

解决方法：
通过数据源或直接引用同一个证书资源ID：

# 如果证书是手动创建的，用数据源获取
data "azurerm_app_service_certificate" "tm_cert" {
  name                = "your-tm-certificate-name"
  resource_group_name = "your-resource-group"
}

# 第一个App Service绑定
resource "azurerm_app_service_certificate_binding" "first_binding" {
  app_service_id = azurerm_app_service.first.id
  certificate_id = data.azurerm_app_service_certificate.tm_cert.id
  hostname       = "your-custom-domain.com"
  ssl_state      = "SniEnabled"
}

# 第二个App Service绑定，复用同一个证书ID
resource "azurerm_app_service_certificate_binding" "second_binding" {
  app_service_id = azurerm_app_service.second.id
  certificate_id = data.azurerm_app_service_certificate.tm_cert.id
  hostname       = "your-custom-domain.com"
  ssl_state      = "SniEnabled"
  depends_on     = [azurerm_app_service_certificate_binding.first_binding]
}

3. 自定义域名绑定未完成

证书绑定的前提是自定义域名已成功绑定到目标App Service，若Terraform中域名绑定和证书绑定的执行顺序混乱，也会导致报错。

解决方法：
让证书绑定依赖对应的自定义域名绑定资源：

# 第二个App Service的域名绑定
resource "azurerm_app_service_custom_hostname_binding" "second_hostname" {
  app_service_id = azurerm_app_service.second.id
  hostname       = "your-custom-domain.com"
}

# 第二个证书绑定，依赖域名绑定完成
resource "azurerm_app_service_certificate_binding" "second_binding" {
  app_service_id = azurerm_app_service.second.id
  certificate_id = data.azurerm_app_service_certificate.tm_cert.id
  hostname       = azurerm_app_service_custom_hostname_binding.second_hostname.hostname
  ssl_state      = "SniEnabled"
  depends_on     = [azurerm_app_service_custom_hostname_binding.second_hostname, azurerm_app_service_certificate_binding.first_binding]
}

4. Azure Provider版本兼容性问题

旧版本的Terraform Azure Provider可能存在跨区域证书绑定的bug，建议升级到最新稳定版。

解决方法：
在versions.tf中指定最新稳定版的azurerm provider：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">= 3.70.0" # 替换为当前最新稳定版
    }
  }
}

内容的提问来源于stack exchange，提问作者Giacomo Brunetta