Terraform Azurerm模块依赖问题：principal_id为空致for_each报错

问题核心 #

系统分配的托管标识与azurerm_windows_web_app绑定创建，其principal_id属于后验属性——只有资源创建完成后才会生成有效值，terraform plan阶段该值为null。而for_each要求在plan阶段就确定所有非空的键值，直接引用会触发字符串插值错误。

解决方案 #

无需拆分apply，通过以下方式确保角色分配模块仅在principal_id生成后执行：

1. 确保App Service模块输出正确的Principal ID

在你的appservice模块的outputs.tf中，正确引用系统分配托管标识的principal_id：

output "principal_id_of_managed_identity" {
  type        = string
  description = "Principal ID of the system-assigned managed identity for the web app"
  value       = azurerm_windows_web_app.app.identity[0].principal_id
}

系统分配的标识会放在identity列表的第0项，不要用错误的索引或属性路径。

2. 过滤无效条目构建for_each集合

在main.tf中，通过本地变量过滤掉principal_id为null的角色分配条目，确保for_each的键值在plan阶段有效：

module "appservice" {
  source = "./modules/appservice"
  # 填充你的App Service配置参数
}

locals {
  # 定义所有需要的角色分配规则
  raw_role_assignments = [
    {
      scope                = "/subscriptions/your-sub-id/resourceGroups/your-rg-name"
      role_definition_name = "Storage Blob Data Contributor"
      principal_id         = module.appservice.principal_id_of_managed_identity
    }
    # 可添加更多角色分配条目
  ]

  # 过滤掉principal_id为空的条目，用scope+角色名作为唯一键
  valid_role_assignments = {
    for ra in local.raw_role_assignments : "${ra.scope}-${ra.role_definition_name}" => ra
    if ra.principal_id != null
  }
}

# 部署角色分配，仅处理有效条目
module "roleassignment" {
  source   = "./modules/roleassignment"
  for_each = local.valid_role_assignments

  scope                = each.value.scope
  role_definition_name = each.value.role_definition_name
  principal_id         = each.value.principal_id

  # 显式声明依赖，确保App Service创建完成后再执行角色分配
  depends_on = [module.appservice]
}

原理说明 #

• terraform plan阶段，valid_role_assignments会是空集合，不会触发角色分配的计划
• terraform apply阶段，App Service创建完成后，principal_id会被填充，valid_role_assignments生成有效条目，Terraform会自动执行角色分配的创建
• 用scope+角色名作为for_each的键，避免依赖可能为空的principal_id，同时保证键的唯一性

内容的提问来源于stack exchange，提问作者Andrew Duffy