Terraform跨目录调用角色分配模块报错，求可复用实现方案

核心问题 #

你遇到的错误有两个直接原因：

1. 模块路径错误：appConfig模块中调用roleAssignment模块时，source路径写为../appRoleAssignment，但实际目录是../roleAssignment，路径不匹配导致模块无法正确加载。
2. 非法资源引用：在appConfig模块的第43行直接引用azurerm_role_assignment.roleAssignment，但该资源属于roleAssignment模块内部资源，Terraform不允许跨模块直接引用未暴露的内部资源。

分步解决方案 #

1. 修正模块路径 #

在appConfig/appConfig.tf中，将roleAssignment模块的source路径修改为正确的相对路径：

module "roleAssignment" {
  source                = "../roleAssignment" // 修正为实际目录名
  for_each              = { for idx, element in coalesce(local.roleAssignment,[]) : idx => element }
  scope                 = each.value.scope
  role_definition_name  = each.value.role_definition_name
  principal_id          = each.value.principal_id
  description           = each.value.description
}

2. 移除非法资源引用 #

找到appConfig/appConfig.tf第43行的azurerm_role_assignment.roleAssignment引用代码，直接删除。如果需要使用角色分配的属性（如ID），需通过模块输出值获取（见下一步）。

3. 给roleAssignment模块添加输出值（可选但推荐） #

为了让其他模块能复用roleAssignment模块并获取角色分配的属性，在roleAssignment目录下新建outputs.tf文件，添加以下内容：

output "role_assignment_id" {
  type        = string
  description = "ID of the created role assignment"
  value       = azurerm_role_assignment.roleAssignment.id
}

output "role_assignment_principal_id" {
  type        = string
  description = "Principal ID associated with the role assignment"
  value       = azurerm_role_assignment.roleAssignment.principal_id
}

后续其他模块需要引用时，可通过module.roleAssignment.role_assignment_id这样的格式调用。

4. 在其他资源模块中复用roleAssignment模块 #

以functionApp为例，在functionApp/functionApp.tf中按以下方式调用roleAssignment模块：

// 先定义function app资源
resource "azurerm_function_app" "functionApp" {
  name                       = var.name
  resource_group_name        = var.resource_group_name
  location                   = var.location
  // 其他function app配置...
}

// 加载角色分配配置（可根据实际情况调整文件路径）
locals {
  function_role_assignments = fileexists("${var.filepath}/roleAssignment/function_role_assignments.json") ? jsondecode(file("${var.filepath}/roleAssignment/function_role_assignments.json")) : []
}

// 调用roleAssignment模块
module "function_role_assignment" {
  source                = "../roleAssignment"
  for_each              = { for idx, elem in local.function_role_assignments : idx => elem }
  scope                 = azurerm_function_app.functionApp.id // 传入function app的资源ID作为作用域
  role_definition_name  = each.value.role_definition_name
  principal_id          = each.value.principal_id
  description           = each.value.description
}

5. 验证变量定义完整性 #

确保roleAssignment/variables.tf中的变量定义完整：

variable "scope" {
  type        = string
  description = "作用域（资源ID、资源组ID等）"
}

variable "role_definition_name" {
  type        = string
  description = "要分配的角色名称"
}

variable "principal_id" {
  type        = string
  description = "主体ID（用户、组、服务主体等）"
}

variable "description" {
  type        = string
  description = "角色分配描述"
  default     = ""
}

内容的提问来源于stack exchange，提问作者Somsubhra Mukherjee