使用Terraform的for_each配置Azure存储账户多子网网络规则报错

错误原因 #

你遇到的错误是因为azurerm_subnet.subnets是通过for_each生成的字符串键值对(map)，而each.value.subnetids是一个字符串列表。直接用列表作为map的索引会触发类型不匹配——Terraform要求map的索引必须是单个字符串，而非列表。

解决方案 #

使用Terraform的for表达式遍历subnetids列表，逐个提取对应子网的ID，生成符合virtual_network_subnet_ids要求的ID列表。同时修正存储账户的网络规则逻辑，确保不同场景（允许所有流量/仅允许特定子网）的配置正确。

修改后的main.tf代码 #

resource "azurerm_subnet" "subnets" {
  for_each = var.subnets
  name = each.key
  resource_group_name = var.rgname
  virtual_network_name = each.value.virtual_network_name
  address_prefixes = each.value.address_prefixes
  service_endpoints = ["Microsoft.Storage"]

  depends_on = [ azurerm_virtual_network.vnet_apps, azurerm_virtual_network.vnet_main ]
}

resource "azurerm_storage_account" "storage_accounts" {
  for_each = var.storage_accounts
  name = each.key
  resource_group_name = var.rgname
  location = var.location
  account_replication_type = "LRS"
  account_tier = "Standard"

  network_rules {
    default_action = each.value.network_action
    # 使用for表达式遍历子网名称列表，生成对应的ID列表
    virtual_network_subnet_ids = [for subnet_name in each.value.subnetids : azurerm_subnet.subnets[subnet_name].id]
  }
}

优化配置逻辑（可选） #

根据你的需求，调整.tfvars中的存储账户配置，确保逻辑一致：

• 若要允许所有流量：设置network_action = "Allow"，并将subnetids设为空列表（此时子网限制不生效）；
• 若要仅允许特定子网访问：设置network_action = "Deny"，并指定需要允许的子网名称列表。

修改后的.tfvars示例：

storage_accounts = {
  mynamedefaultstorage57 = {
    network_action = "Allow"
    subnetids = [] # 允许所有流量，无需指定子网
  }
  mynamedefaultstorage108 = {
    network_action = "Deny"
    subnetids = ["vm_subnet", "app2_subnet"] # 仅允许这两个子网访问
  }
}

验证说明 #

修改后，for表达式会遍历subnetids中的每个子网名称，从azurerm_subnet.subnets这个map中找到对应的子网资源，提取其ID并生成列表，完全匹配virtual_network_subnet_ids所需的list(string)类型，解决了原有的类型不匹配错误。

内容的提问来源于stack exchange，提问作者Patrick Lane