Terraform中如何结合for_each与if条件筛选VM的防火墙规则？

报错的核心原因是部分实例对象不存在status键，直接访问v.status会触发键不存在的错误。要实现仅为status等于enabled-oa的VM配置HTTP/HTTPS权限，需要先处理键的存在性，再过滤实例。

步骤1：创建局部值过滤符合条件的实例 #

通过locals定义一个仅包含目标实例的集合，用lookup函数处理status键不存在的情况（默认返回空字符串），避免报错：

locals {
  oa_enabled_instances = {
    for instance_key, instance in var.instances : instance_key => instance
    if lookup(instance, "status", "") == "enabled-oa"
  }
}

如果要求所有实例必须包含status键，也可以先通过变量验证约束输入，避免脏数据：

variable "instances" {
  type = map(object({
    # 填写其他必填字段
    status = string
  }))
  validation {
    condition     = alltrue([for v in var.instances : contains(["enabled-oa", "disabled"], v.status)])
    error_message = "status字段必须为enabled-oa或disabled。"
  }
}

步骤2：在防火墙规则中使用过滤后的集合 #

将防火墙规则的for_each指向过滤后的局部值集合，这样只会为符合条件的实例创建规则：

resource "aws_security_group_rule" "vm_http" {
  for_each = local.oa_enabled_instances

  security_group_id = each.value.security_group_id
  type              = "ingress"
  from_port         = 80
  to_port           = 80
  protocol          = "tcp"
  cidr_blocks       = ["0.0.0.0/0"] # 根据实际需求调整访问范围
}

resource "aws_security_group_rule" "vm_https" {
  for_each = local.oa_enabled_instances

  security_group_id = each.value.security_group_id
  type              = "ingress"
  from_port         = 443
  to_port           = 443
  protocol          = "tcp"
  cidr_blocks       = ["0.0.0.0/0"] # 根据实际需求调整访问范围
}

关键说明 #

• lookup(instance, "status", "")：当实例没有status键时，返回默认值空字符串，既不会触发键不存在的错误，也能确保这类实例被过滤掉。
• 局部值oa_enabled_instances是一个map，保留原实例的key作为唯一标识，完全符合Terraform对for_each的要求（必须是唯一的键值对集合）。

内容的提问来源于stack exchange，提问作者ES Su