Terraform跨云资源依赖报错：首次apply失败二次成功如何解决？

问题描述 #

我有如下Terraform模块：

resource "azurerm_public_ip" "pip-azure" {
  name                = "pip-azure"
  resource_group_name = "az-rg"
  location            = "West Europe"
  allocation_method   = "Dynamic"
}

resource "aws_customer_gateway" "cw-aws" {
  bgp_asn    = 65000
  ip_address = azurerm_public_ip.pip-azure.ip_address
  type       = "ipsec.1"

  tags = {
    Name = "cw-aws"
  }
}

执行terraform apply时出现如下错误：

│ Error: expected ip_address to contain a valid IPv4 address, got:
│ 32: ip_address = azurerm_public_ip.pip-vpn-azure-aws.ip_address

我发现执行两次terraform apply即可成功，因为此时azurerm_public_ip.pip-vpn-azure-aws.ip_address已存入状态，但这种用法是否有误？该如何修复？

问题原因与修复方案 #

问题根源 #

这个问题核心是动态分配的Azure公网IP，在第一次Terraform执行时IP地址还未被实际分配，导致AWS资源的参数验证环节直接失败。

Terraform虽然能自动推断资源依赖顺序（先创建Azure公网IP，再创建AWS客户网关），但动态IP的特性是Azure在资源创建完成后才会分配具体地址，Terraform在第一次计划阶段没法提前拿到这个值。而AWS Provider在计划阶段就会验证ip_address参数是否为有效IP，自然会抛出错误。第二次执行时，IP已经存入Terraform状态文件，验证就能通过。

修复方案 #

方案1：改用静态分配的公网IP（推荐）

如果业务场景允许，把Azure公网IP的allocation_method改成Static。静态IP在资源创建前就会被Azure预留，Terraform在计划阶段就能拿到确定的IP值，确保AWS资源的参数验证一次性通过：

resource "azurerm_public_ip" "pip-azure" {
  name                = "pip-azure"
  resource_group_name = "az-rg"
  location            = "West Europe"
  allocation_method   = "Static" # 修改为静态分配
}

方案2：用null_resource触发延迟创建（适配必须用动态IP的场景）

如果必须使用动态IP，可以借助null_resource的triggers特性，确保AWS资源在IP地址完全确定后再创建，绕过计划阶段的验证问题：

resource "azurerm_public_ip" "pip-azure" {
  name                = "pip-azure"
  resource_group_name = "az-rg"
  location            = "West Europe"
  allocation_method   = "Dynamic"
}

resource "null_resource" "wait_for_ip" {
  triggers = {
    ip_address = azurerm_public_ip.pip-azure.ip_address
  }
}

resource "aws_customer_gateway" "cw-aws" {
  bgp_asn    = 65000
  ip_address = azurerm_public_ip.pip-azure.ip_address
  type       = "ipsec.1"

  tags = {
    Name = "cw-aws"
  }

  depends_on = [null_resource.wait_for_ip]
}

null_resource会在IP地址生成后触发，强制AWS资源在IP完全分配后才开始创建流程。

方案3：显式声明依赖（临时缓解，不推荐）

虽然Terraform能自动推断依赖，但可以显式添加depends_on，确保AWS资源等待Azure公网IP完全创建完成：

resource "aws_customer_gateway" "cw-aws" {
  bgp_asn    = 65000
  ip_address = azurerm_public_ip.pip-azure.ip_address
  type       = "ipsec.1"

  tags = {
    Name = "cw-aws"
  }

  depends_on = [azurerm_public_ip.pip-azure]
}

不过这个方案不一定能彻底解决计划阶段的验证问题，因为部分Provider的参数验证会在计划环节提前执行。

用法合理性说明 #

你的跨云资源关联逻辑本身是合理的，并非代码逻辑错误，问题出在不同云Provider对资源属性的处理时机差异上。通过上述方案优化后，就能避免必须执行两次terraform apply的麻烦。

内容的提问来源于stack exchange，提问作者Spooder