如何使用Terraform合并Azure角色分配的重复资源块？

你可以通过Terraform的for_each元参数批量创建重复的角色分配资源，彻底消除冗余代码，同时支持指定不同的principal_id。

步骤1：重构本地变量 #

将分散的principal ID整理成集合或映射，方便后续遍历：

方式1：用列表（简单直接）

locals {
  storage_principal_ids = [
    "0c975d82-85a2-4b3a-bb23-9be5c681b66f",
    "9ee248b1-26f6-4d72-a3ac-7b77cf6c17f2"
  ]
}

方式2：用映射（便于识别每个principal的用途）

locals {
  storage_principals = {
    we = "0c975d82-85a2-4b3a-bb23-9be5c681b66f"
    gl = "9ee248b1-26f6-4d72-a3ac-7b77cf6c17f2"
  }
}

步骤2：使用for_each创建批量角色分配 #

通过遍历本地变量，用单个资源块生成多个角色分配实例：

对应列表方式的代码：

resource "azurerm_role_assignment" "storage_account_access" {
  for_each             = toset(local.storage_principal_ids)
  scope                = azurerm_storage_account.jd-messenger.id
  role_definition_name = "Storage Blob Data Reader"
  principal_id         = each.value
}

对应映射方式的代码：

resource "azurerm_role_assignment" "storage_account_access" {
  for_each             = local.storage_principals
  scope                = azurerm_storage_account.jd-messenger.id
  role_definition_name = "Storage Blob Data Reader"
  principal_id         = each.value
}

关键优势 #

• 消除重复代码：后续新增principal只需在本地变量中添加条目，无需复制资源块
• 避免命名冲突：原代码中两个同名资源块会触发Terraform报错，for_each会自动为每个实例生成唯一标识（如映射方式下的storage_account_access["we"]）
• 维护性提升：所有principal集中管理，便于修改和审计

内容的提问来源于stack exchange，提问作者Gokulnath Kumar