Terraform跨区域创建VPC安全组报错：VPC ID不存在求助

错误核心原因 #

1. 错误的资源引用方式：你在locals.vpcs里用了字符串字面量"aws_vpc.vpc_useast.id"，Terraform不会把这个字符串解析为实际的VPC资源ID，而是直接将其作为VPC ID发送给AWS，导致AWS找不到对应ID的VPC。
2. 跨区域资源不兼容：安全组是AWS区域级资源，必须与关联的VPC处于同一区域。原配置中VPC使用默认us-east-1 provider，而安全组指定了us-east-2 provider，跨区域无法关联。
3. 缺失资源定义：aws_vpc.vpc_uswest资源未在vpc.tf中定义，后续执行也会报错。

修正后的完整配置 #

provider.tf（保持不变） #

provider "aws" {
  region     = "us-east-1"
}
provider "aws" {
  alias      = "us-east-2"
  region     = "us-east-2"
}

vpc.tf（新增us-west区域VPC，指定对应provider） #

# us-east-1区域的VPC
resource "aws_vpc" "vpc_useast" {
  provider   = aws.us-east-1
  cidr_block = "20.0.0.0/16"
  tags = {
    Name = "TF-LB-VPC-A"
  }
}

# us-east-2区域的VPC（补充原缺失的资源）
resource "aws_vpc" "vpc_uswest" {
  provider   = aws.us-east-2
  cidr_block = "20.1.0.0/16"
  tags = {
    Name = "TF-LB-VPC-B"
  }
}

securitygroup.tf（修正资源引用与区域匹配） #

# 遍历所有VPC资源，自动为每个VPC创建对应区域的安全组
resource "aws_security_group" "alb_security_group" {
  for_each = aws_vpc

  name        = "alb-security-group-${each.key}"
  description = "Enable SSH/HTTP/HTTPS access on port 80/443"
  vpc_id      = each.value.id
  # 继承对应VPC的provider，保证安全组与VPC同区域
  provider    = each.value.provider

  # SSH访问规则（生产环境建议限制可信IP范围，不要用0.0.0.0/0）
  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  # HTTP访问规则
  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  # HTTPS访问规则
  ingress {
    from_port   = 443
    to_port     = 443
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }

  # 全量出站规则（默认允许所有出站流量）
  egress {
    from_port   = 0
    to_port     = 0
    protocol    = "-1"
    cidr_blocks = ["0.0.0.0/0"]
  }

  tags = {
    Name = "allow_SSH_HTTP_HTTPS-${each.key}"
  }
}

关键修改说明 #

• 用资源实例遍历替代字符串列表：for_each = aws_vpc直接遍历所有已定义的VPC资源，each.value会自动关联到对应VPC的属性（如id、provider），避免手动输入字符串导致的解析错误。
• 区域一致性保障：通过provider = each.value.provider让安全组自动使用对应VPC的区域provider，确保资源在同一区域内创建。
• 补充必要规则：原配置中ingress和egress块为空，这里根据需求补全了SSH/HTTP/HTTPS的访问规则，同时保留了默认全量出站规则。
• 避免名称冲突：在安全组名称和标签中加入each.key（VPC资源的键名，如vpc_useast），确保不同区域的安全组名称清晰可区分。

内容的提问来源于stack exchange，提问作者Kitty