Terraform一键部署MongoDB Atlas IP访问列表遇错，求一次性部署方案

分步部署Terraform脚本时一切正常，但从零开始一键部署时出错，问题出在以下资源代码块：

resource "mongodbatlas_project_ip_access_list" "allowed_ips" {
  for_each = toset(concat(
    var.allowed_ips,
    flatten([for web_app in data.azurerm_linux_web_app.web_apps : web_app.outbound_ip_address_list])
  ))
  project_id = mongodbatlas_project.project.id
  ip_address = each.value
}

该资源需要从同一流水线中另一个模块部署的Web App获取出站IP，一键部署时触发如下错误：

│ 错误：无效的for_each参数
│ 
│   在modules\mongodb\main.tf第71行，resource "mongodbatlas_project_ip_access_list" "allowed_ips"中：
│   71:   for_each = toset(concat(
│   72:     var.allowed_ips,
│   73:     flatten([for web_app in data.azurerm_linux_web_app.web_apps : web_app.outbound_ip_address_list])
│   74:   ))
│     ├────────────────
│     │ data.azurerm_linux_web_app.web_apps是包含1个"api"属性的对象
│     │ var.allowed_ips是包含2个元素的字符串列表
│ 
│ "for_each"集合包含了来自资源属性的值，这些值要到应用阶段才能确定，因此Terraform无法确定标识该资源实例的完整键集。
│ 
│ 处理for_each中的未知值时，最好使用键在配置中静态定义、仅值包含应用阶段结果的映射值。
│ 
│ 或者，您可以使用-target规划选项，先仅应用for_each值依赖的资源，然后再次应用以完全收敛。

可接受分两次部署，但希望实现一次性部署，求解决办法。

方法1：改用静态键映射替代集合 #

Terraform要求for_each的键必须在规划阶段可确定，因此可以把动态IP和静态IP结合为键为静态标识、值为IP地址的映射，让Terraform提前明确资源实例的标识：

resource "mongodbatlas_project_ip_access_list" "allowed_ips" {
  for_each = merge(
    # 为静态IP生成可预测的键
    { for idx, ip in var.allowed_ips : "static-${idx}" => ip },
    # 为Web App出站IP生成基于应用名的静态键
    flatten([
      for app_name, web_app in data.azurerm_linux_web_app.web_apps : {
        for idx, ip in split(",", web_app.outbound_ip_address_list) : "webapp-${app_name}-${idx}" => ip
      }
    ])
  )
  project_id = mongodbatlas_project.project.id
  ip_address = each.value
}

核心逻辑：

• 所有for_each的键都是静态可预测的（基于变量索引和Web App名称），规划阶段就能确定资源实例的数量和标识
• 实际IP地址作为映射的值，即使值在规划阶段未知，也不会影响资源实例的唯一性判定

方法2：预定义Web App静态出站IP（仅适用于固定IP场景） #

如果你的Web App配置了静态出站IP（比如绑定了专用IP地址），可以直接将这些IP写入变量或配置文件，完全避免动态获取：

variable "web_app_outbound_ips" {
  type        = list(string)
  description = "Web App的静态出站IP列表"
  default     = ["x.x.x.x", "y.y.y.y"]
}

resource "mongodbatlas_project_ip_access_list" "allowed_ips" {
  for_each = toset(concat(var.allowed_ips, var.web_app_outbound_ips))
  project_id = mongodbatlas_project.project.id
  ip_address = each.value
}

这种方式最简单，但仅适用于IP不会变动的场景。

方法3：使用count替代for_each（备选方案，不推荐） #

虽然可以用count代替for_each绕过键的静态要求，但count依赖列表顺序，后续IP顺序变化会导致资源销毁重建，可能影响业务：

resource "mongodbatlas_project_ip_access_list" "allowed_ips" {
  count = length(var.allowed_ips) + length(flatten([for web_app in data.azurerm_linux_web_app.web_apps : split(",", web_app.outbound_ip_address_list)]))
  
  project_id = mongodbatlas_project.project.id
  ip_address = concat(
    var.allowed_ips,
    flatten([for web_app in data.azurerm_linux_web_app.web_apps : split(",", web_app.outbound_ip_address_list)])
  )[count.index]
}

仅在无法使用映射方案时临时使用。

内容的提问来源于stack exchange，提问作者pieter-jan goeman