如何在Terraform中跨模块传递多资源输出的多IP字符串

核心思路 #

抛弃提前执行的azurerm_linux_web_app数据块，直接从App Service模块输出IP，通过根模块收集并整理为带静态可预测键的Map传递给MongoDB模块，既解决依赖顺序问题，又避免for_each未知值错误。

步骤1：修改App Service模块，输出单实例出站IP #

在./modules/app_service/outputs.tf中添加输出，暴露单个App Service的出站IP列表：

output "outbound_ip_address_list" {
  type        = list(string)
  description = "出站IP地址列表"
  value       = azurerm_linux_web_app.main.outbound_ip_address_list # 替换为模块内实际的App Service资源名
}

步骤2：根模块收集所有App Service的IP并整理为Map #

在根模块的main.tf中添加本地变量，将所有循环创建的App Service的IP合并为键可预测的Map（避免for_each报错）：

locals {
  # 遍历所有App Service模块实例，拆解每个实例的IP为带唯一键的条目
  web_app_ip_entries = flatten([
    for app_key, app_mod in module.app_service : [
      for ip_idx, ip in app_mod.outbound_ip_address_list : {
        key = "${app_key}-ip-${ip_idx}"
        ip  = ip
      }
    ]
  ])

  # 转为Map，键是静态字符串（plan阶段可确定），值是IP
  web_app_ips_map = { for entry in local.web_app_ip_entries : entry.key => entry.ip }

  # 将用户自定义允许IP也转为带静态键的Map
  custom_ips_map = { for idx, ip in var.allowed_ips : "custom-${idx}" => ip }

  # 合并所有IP的Map，用于传递给MongoDB模块
  combined_ips = merge(local.web_app_ips_map, local.custom_ips_map)
}

步骤3：传递合并后的IP给MongoDB模块 #

修改根模块中MongoDB模块的调用，传递整理好的combined_ips：

module "mongodb" {
  source = "./modules/mongodb"
  # 其他必填参数（如project_id、环境变量等）
  combined_ips_map = local.combined_ips
}

步骤4：MongoDB模块中创建白名单资源 #

在MongoDB模块的main.tf中，使用传入的Map作为for_each参数，创建IP白名单：

# 先在模块的variables.tf中定义变量
variable "combined_ips_map" {
  type        = map(string)
  description = "带静态键的允许IP地址Map"
}

# 创建IP访问列表
resource "mongodbatlas_project_ip_access_list" "allowed_ips" {
  for_each = var.combined_ips_map

  project_id = mongodbatlas_project.project.id
  ip_address = each.value
}

方案优势 #

1. 依赖自动管理：local.combined_ips直接依赖module.app_service，Terraform会自动先创建所有App Service，再处理MongoDB白名单，无需手动添加depends_on。
2. 解决for_each未知值错误：使用静态生成的键（如api-ip-0、custom-1），Terraform在plan阶段就能确定要创建的实例数量和唯一标识，不会出现"无法确定实例键"的报错。
3. 抛弃无效数据块：直接使用模块输出的IP，避免了数据块提前执行导致的IP为空问题。

内容的提问来源于stack exchange，提问作者pieter-jan goeman