使用Terraform部署Azure Container Apps时遭遇秘钥相关部署失败问题

问题背景 #

使用Terraform azurerm 3.101.0版本部署Azure Container Apps时，未修改秘钥相关配置却触发错误：

目前由于Container Apps服务的限制，无法从Container Apps中移除秘钥。

即使参考相关已关闭Issue也无法解决，问题为突发状态。

解决方案 #

方法1：强制重建Container App资源 #

该方法通过标记资源为"已污染"，让Terraform重新创建整个Container App，绕过现有资源的秘钥删除限制：

terraform taint azurerm_container_app.container_app
terraform apply

注意：此操作会导致服务短暂停机，建议在维护窗口执行。

方法2：改用Azure Key Vault管理秘钥 #

将容器注册表密码托管到Azure Key Vault，避免Terraform直接管理秘钥生命周期，从根源上避免冲突：

1. 在Azure Key Vault中创建并存储容器注册表密码
2. 修改Terraform配置，引用Key Vault秘钥：

resource "azurerm_container_app" "container_app" {
  # 其他原有配置保持不变

  secret {
    name                = "container-registry-password"
    key_vault_secret_id = azurerm_key_vault_secret.registry_password.id
  }

  # 其他原有配置保持不变
}

方法3：同步Terraform状态与实际资源 #

若不想重建资源，可手动对齐状态文件与实际资源的秘钥信息：

1. 使用Azure CLI获取当前Container App的秘钥列表：

az containerapp secret list --name <你的容器应用名称> --resource-group <你的资源组名称>

2. 对比Terraform状态中的秘钥条目，使用以下命令调整状态：
   • 移除状态中不存在的秘钥：terraform state rm 'azurerm_container_app.container_app.secret[<索引>]'
   • 确认状态与实际资源一致后，重新执行terraform apply

注意事项 #

• 定期校验Terraform状态与实际资源的一致性，避免隐性配置冲突
• 使用Key Vault管理敏感数据符合云安全最佳实践，同时减少Terraform状态文件中的敏感信息暴露

内容的提问来源于stack exchange，提问作者Kamal Rathnayake