Terraform中Resource与Dynamic块的for_each使用差异及原因问询

问题背景 #

在Terraform处理可空字符串变量时，Dynamic块（如apply_server_side_encryption_by_default）可使用var.kms_arn != null ? [0] : []作为for_each值，但Resource（如aws_s3_bucket_policy）必须用var.policy != null ? toset(["1"]) : []，直接沿用Dynamic块的写法会触发报错，以下是差异的底层逻辑分析。

变量定义 #

variable "kms_arn" {
  description = "获取到的KMS资源ARN"
  type        = string
  nullable    = true
  default     = null
}
variable "policy" {
  description = "分配给S3桶的访问策略"
  type        = string
  nullable    = true
  default     = null
}

Dynamic块代码示例 #

resource "aws_s3_bucket_server_side_encryption_configuration" "enc" {
  bucket = aws_s3_bucket.bucket.id

  rule {
    dynamic "apply_server_side_encryption_by_default" {
      for_each = var.kms_arn != null ? [0] : []

      content {
        kms_master_key_id = var.kms_arn
        sse_algorithm     = "aws:kms"
      }
    }

    dynamic "apply_server_side_encryption_by_default" {
      for_each = var.kms_arn == null ? [0] : []

      content {
        sse_algorithm     = "AES256"
      }
    }
  }
}

Resource代码（正确写法） #

resource "aws_s3_bucket_policy" "policy" {
  for_each = var.policy != null ? toset(["1"]) : []

  bucket = aws_s3_bucket.bucket.id
  policy = var.policy
}

错误信息（Resource使用Dynamic块写法的报错） #

规划失败。Terraform生成计划时遇到错误。

╷
│ 错误: 无效的for_each参数
│
│   在 modules/ressources/s3/main.tf 第64行，resource "aws_s3_bucket_policy" "policy"中:
│   64:   for_each = var.policy != null ? [0] : []
│     ├────────────────
│     │ var.policy 为 null
│
│ 给定的"for_each"参数值不合法："for_each"参数必须是映射或字符串集合，你提供了数字列表类型的值。

差异原因及底层逻辑 #

1. 设计目标与生命周期不同 #

• Dynamic块的for_each：核心作用是动态生成父资源内部的嵌套块，它的生命周期完全依附于父资源，不需要独立的状态跟踪。Terraform对其类型限制宽松，只要是可迭代集合（列表、集合、映射均可）即可，数字列表也能直接使用——因为它只需要判断是否生成块，不需要用元素值做状态标识。
• Resource的for_each：用于控制独立资源实例的创建，每个实例需要唯一且稳定的标识符。Terraform要求其必须是字符串集合（set(string)）或字符串键的映射（map(any)），因为资源实例的ID需要基于这些标识符生成，确保后续变更中Terraform能准确识别实例状态，避免误操作。

2. 类型约束的底层逻辑 #

Dynamic块属于父资源的内部结构，即使使用数字列表，Terraform仅需判断生成数量；而Resource是独立的基础设施对象，Terraform需要在状态文件中记录每个实例的唯一ID，数字无法作为合法的资源标识符（要求为字符串），因此直接使用数字列表会触发类型错误。用toset(["1"])将字符串转为集合，既满足类型要求，也提供了唯一标识符。

3. 额外建议 #

虽然Dynamic块允许使用数字列表，但实际场景中更推荐用字符串集合（如toset(["kms_enc"])或toset(["aes256_enc"])），提升代码可读性的同时，与Resource的写法保持一致，减少混淆。

内容的提问来源于stack exchange，提问作者lony