首次运行Terraform时引用未创建状态文件的Data Block问题求助

针对你在Azure环境中使用Terraform分模块（独立状态文件）创建资源时遇到的首次Plan报错问题，可通过以下几种方式解决，核心思路是安全处理状态文件不存在或输出未生成的场景：

方法1：使用try函数安全读取远程状态输出 #

try函数（Terraform 0.13+支持）可以在表达式求值失败时返回指定默认值，完美适配状态文件不存在或输出未生成的情况。修改你的代码如下：

1.1 调整本地变量定义 #

locals {
  # 尝试读取远程状态中的输出，失败则返回null
  blob_reader_mi = try(data.terraform_remote_state.identities[0].outputs.blob_reader_mi, null)
  # 判断输出是否有效
  blob_reader_mi_available = local.blob_reader_mi != null

  dummy_object_id = "bd65600d-8669-4903-8a14-af88203add38"
}

1.2 调整资源引用逻辑 #

resource "azurerm_key_vault_access_policy" "blob_key_access" {
  count     = local.blob_reader_mi_available ? 1 : 0
  object_id = local.blob_reader_mi
}

resource "azurerm_key_vault_access_policy" "planoutputblob_key_access" {
  count     = local.blob_reader_mi_available ? 0 : 1
  object_id = local.dummy_object_id
}

原理说明 #

• 当身份标识模块未执行Apply时，状态文件不存在，data.terraform_remote_state.identities为空列表，try函数捕获索引越界的错误，返回null，此时blob_reader_mi_available为false，会创建使用dummy ID的访问策略。
• 当身份标识模块执行Apply后，状态文件存在且包含输出，try函数成功读取到blob_reader_mi，此时会创建真实的访问策略，同时销毁dummy策略。

方法2：优化状态文件存在性判断（可选） #

如果需要更严格的判断（比如状态文件存在且非空），可以结合fileexists和filemd5来调整data块的count：

data "terraform_remote_state" "identities" {
  count   = fileexists("${var.pattern_output_dir}/identities/identities.terraform.tfstate") && filemd5("${var.pattern_output_dir}/identities/identities.terraform.tfstate") != filemd5(null) ? 1 : 0
  backend = "local"
  config = {
    path = "${var.pattern_output_dir}/identities/identities.terraform.tfstate"
  }
}

这种方式可以避免状态文件存在但为空的情况触发data块的创建，进一步减少潜在的错误场景。

方法3：调整流水线执行顺序（根治方案） #

如果流水线允许分阶段执行，建议强制身份标识模块先完成terraform apply，再执行密钥模块的terraform plan/apply：

• 流水线阶段1：运行身份标识模块的init→plan→apply
• 流水线阶段2：运行密钥模块的init→plan→apply
  这种方式从根源上避免了“鸡生蛋”的问题，因为密钥模块执行时，身份标识的状态文件已经存在且包含有效输出。

内容的提问来源于stack exchange，提问作者Shubham Shekhar