Azure容器实例挂载存储文件共享时Terraform部署超时失败求助

通过Terraform部署挂载Azure存储文件共享的Azure容器实例（ACI）时，terraform apply长时间卡在“创建中”状态，最终超时失败，报错信息如下：

Container Group Name: " "): polling after ContainerGroupsCreateOrUpdate: Future#WaitForCompletion: context has been cancelled: StatusCode=200 -- Original Error: context deadline exceeded

相关Terraform代码片段：

resource "azurerm_storage_share" "fileshare_name" {
  name                 = "filesharename"
  storage_account_name = azurerm_storage_account.storage_account_name.name
  quota                = 5
}

resource "azurerm_container_group" "<container_name>" {
  name                = "container_instance_name"
  location            = azurerm_resource_group.this.location
  resource_group_name = azurerm_resource_group.this.name
  ip_address_type     = "Private"
  os_type             = "Linux"

  container {
    name   = "<container_name>"
    image  = "<img_ref>"
    cpu    = 3
    memory = 15

    ports {
      port     = 80
      protocol = "TCP"
    }
    
    volume {
      name       = "<volumename>"
      mount_path = "/home/test/dir1"
      read_only  = false
      share_name           = azurerm_storage_share.fileshare_name.name
      storage_account_name = azurerm_storage_account.storage_account_name.name
      storage_account_key  = azurerm_storage_account.storage_account_name.primary_access_key
    }
}

已完成的排查动作：

• 存储账户已开启全网络公网访问权限
• 容器内可通过nslookup <storage_account_name>.file.core.windows.net解析存储账户地址，telnet <storage_account_name>.file.core.windows.net 445可成功建立连接
• 尝试开放存储网络权限、测试连通性、查看容器日志（无输出），问题仍未解决

1. 显式声明资源依赖 #

虽然Terraform会自动推断资源依赖，但手动添加depends_on可确保存储共享完全创建后再部署容器组，避免时序问题：

resource "azurerm_container_group" "<container_name>" {
  # 保留原有配置
  depends_on = [azurerm_storage_share.fileshare_name]
}

2. 延长Terraform创建超时时间 #

默认超时可能不足以完成文件共享挂载操作，可在容器组资源中配置更长的创建超时：

resource "azurerm_container_group" "<container_name>" {
  # 保留原有配置
  timeouts {
    create = "30m"
  }
}

3. 验证存储账户密钥/连接字符串 #

确认存储账户密钥有效性，可尝试改用primary_connection_string替代密钥：

volume {
  # 保留原有配置
  storage_account_key  = azurerm_storage_account.storage_account_name.primary_connection_string
}

4. 检查挂载路径权限 #

容器内的挂载路径/home/test/dir1需确保容器进程拥有读写权限，可尝试：

• 切换到容器默认有权限的目录（如/mnt/fileshare）作为挂载路径
• 在容器启动命令中预先创建目标目录：

container {
  # 保留原有配置
  command = ["bash", "-c", "mkdir -p /home/test/dir1 && <你的原始启动命令>"]
}

5. 排查网络配置深层问题 #

由于容器组使用Private IP，可临时切换为Public IP测试是否能正常创建，排除VNet内路由、安全组等深层网络限制。

6. 查看Azure平台侧事件 #

通过Azure CLI获取容器组的底层事件，定位更具体的错误：

az container show --resource-group <资源组名称> --name <容器组名称> --query 'instanceView.events'

内容的提问来源于stack exchange，提问作者Semere T.