Terraform使用aws_subnets创建aws_lb报错：需不同AZ的两个子网

问题场景 #

我用Terraform部署VPC、公网/私网子网、应用负载均衡器和ECS容器，VPC创建没问题，但创建ALB时遇到报错。代码拆分成了多个模块：

VPC模块的公网子网代码 #

resource "aws_subnet" "public" {
  count  = length(var.public_subnet_cidr_blocks)
  vpc_id = aws_vpc.primary_vpc.id
    
  availability_zone = data.aws_availability_zones.available.names[count.index % length(data.aws_availability_zones.available.names)]
    
  cidr_block = var.public_subnet_cidr_blocks[count.index]
    
  tags = {
    Name = "Public Subnet"
  }
}

我配置了2个公网子网CIDR块，确认已经在两个不同可用区创建了对应的子网。

负载均衡器模块的子网数据源配置 #

data "aws_subnets" "public" {
  filter {
    name   = "vpc-id"
    values = [var.vpc_id]
  }
    
  tags = {
    Name = "Public Subnet"
  }
}

ALB创建代码（报错版本） #

resource "aws_lb" "keycloak" {
  name               = "my-lb"
  load_balancer_type = "application"
  internal           = false
    
  subnets         = data.aws_subnets.public.ids
  
  security_groups = [aws_security_group.lb_sg.id]
}

执行terraform plan一切正常，但terraform apply时抛出错误：

│ Error: creating ELBv2 application Load Balancer (my-lb): ValidationError: At least two subnets in two different Availability Zones must be specified

测试验证 #

• 子网确实分布在两个不同可用区
• aws_subnets.public数据源能正确返回两个子网ID
• 但硬编码子网ID后，ALB就能正常创建：

resource "aws_lb" "keycloak" {
  name               = "my-lb"
  load_balancer_type = "application"
  internal           = false
    
  subnets = [
    "subnet-XXXXXXXXXXX",
    "subnet-YYYYYYYYYYY",
  ]
     
  security_groups = [aws_security_group.lb_sg.id]
}

问题疑问 #

为什么用aws_subnets数据源获取子网ID就不行？哪里漏了配置？

解答 #

核心原因：数据源的tags匹配逻辑问题 #

Terraform的aws_subnets数据源中，tags参数是精确匹配所有标签键值对。但你的VPC模块创建子网时，除了手动设置的Name标签，AWS可能会自动添加默认标签（如aws:cloudformation:stack-name），或者你在Provider层面配置了全局默认标签，导致数据源无法完全匹配到目标子网，最终返回的子网数量不足2个。

解决方案 #

方案1：改用标签过滤器替代tags参数

把data "aws_subnets"中的tags块换成标签过滤器，只匹配Name标签的值，忽略其他标签：

data "aws_subnets" "public" {
  filter {
    name   = "vpc-id"
    values = [var.vpc_id]
  }

  filter {
    name   = "tag:Name"
    values = ["Public Subnet"]
  }
}

方案2：确保数据源的tags包含所有子网标签

如果你的子网有额外全局标签（比如在AWS Provider中配置了default_tags），需要把这些标签也加到数据源的tags块里，保证完全匹配：

data "aws_subnets" "public" {
  filter {
    name   = "vpc-id"
    values = [var.vpc_id]
  }
    
  tags = {
    Name = "Public Subnet"
    Environment = var.environment # 假设这是全局默认标签
  }
}

方案3：直接从VPC模块输出子网ID（更可靠）

跨模块引用时，直接从VPC模块输出子网ID列表，避免标签匹配问题：

• 在VPC模块的outputs.tf中添加：

output "public_subnet_ids" {
  type        = list(string)
  description = "IDs of public subnets"
  value       = aws_subnet.public[*].id
}

• 在负载均衡器模块中引用：

module "vpc" {
  source = "../vpc"
  # 其他参数...
}

resource "aws_lb" "keycloak" {
  name               = "my-lb"
  load_balancer_type = "application"
  internal           = false
    
  subnets         = module.vpc.public_subnet_ids
  
  security_groups = [aws_security_group.lb_sg.id]
}

验证逻辑 #

可以先执行terraform state show data.aws_subnets.public，查看数据源实际返回的子网数量，如果数量是0或1，就说明标签匹配失败，按照上面的方案调整即可。

内容的提问来源于stack exchange，提问作者Shadowman