AzureRM存储账户Diagnostic Setting配置问题求助（log块已弃用）

代码核心问题 #

1. enabled_log块嵌套语法错误：你将enabled_log块嵌套在另一个enabled_log内部，不符合Terraform Azurerm Provider的语法规范，所有enabled_log块需为同级结构。
2. 日志类别参数使用错误：启用所有日志需用category_group = "allLogs"，而非category = "allLogs"；category仅用于指定单个日志类别（比如存储账户的StorageRead、StorageWrite）。
3. 目标资源ID匹配错误：你声明要给存储账户创建诊断设置，但代码中target_resource_id指向Key Vault的ID，这会导致诊断设置应用到Key Vault而非目标存储账户，需修正为存储账户的资源ID。

修正后的配置示例 #

示例1：启用所有日志+所有指标

resource "azurerm_monitor_diagnostic_setting" "storage_diagnostic" {
  name               = var.name
  target_resource_id = azurerm_storage_account.devstorageacct.id # 修正为存储账户ID
  storage_account_id = azurerm_storage_account.devstorageacct.id

  # 启用所有日志类别
  enabled_log {
    category_group = "allLogs"
    enabled        = true # 显式指定启用状态，避免默认值导致的不生效问题
  }

  # 启用所有指标
  metric {
    category = "AllMetrics"
    enabled  = true
  }
}

示例2：启用指定单个日志类别

resource "azurerm_monitor_diagnostic_setting" "storage_diagnostic" {
  name               = var.name
  target_resource_id = azurerm_storage_account.devstorageacct.id
  storage_account_id = azurerm_storage_account.devstorageacct.id

  # 单独启用存储读日志
  enabled_log {
    category = "StorageRead"
    enabled  = true
  }

  # 单独启用存储写日志
  enabled_log {
    category = "StorageWrite"
    enabled  = true
  }

  metric {
    category = "AllMetrics"
    enabled  = true
  }
}

关键注意事项 #

• 每个enabled_log块只能单独使用category（单个类别）或category_group（类别组），不能同时指定两者。
• 必须显式设置enabled = true，部分版本的Provider不会默认启用该状态，避免配置无效果。
• 确认Terraform执行账号拥有存储账户和诊断设置的创建权限，避免因权限不足导致配置失败。

内容的提问来源于stack exchange，提问作者user23350878