Terraform实现：除指定环境外为Azure WebApp配置IP限制

问题需求 #

需要实现：当local.environment不等于"123"时，为Azure Windows WebApp配置IP限制规则；当环境为"123"时，不配置该规则。

错误原因分析 #

你之前尝试的count、for_each写法是用来控制整个资源的创建数量，而非资源内部ip_restriction块的条件性存在，因此无法实现需求。

有效解决方案 #

方法1：使用dynamic块实现条件化配置 #

Terraform的dynamic块可以根据条件动态生成资源内部的嵌套块。通过for_each控制是否生成ip_restriction块：

resource "azurerm_windows_web_app" "myApp" {
  # 其他WebApp基础配置（略）

  site_config {
    # 其他site_config配置（略）

    # 条件化生成IP限制规则
    dynamic "ip_restriction" {
      # 当环境不是"123"时，生成一个块；否则不生成
      for_each = local.environment != "123" ? [1] : []
      content {
        name       = "Testname"
        ip_address = "8.8.8.8/32"
        action     = "Allow"
        priority   = 796 # 注意：priority应为数字类型，而非字符串
      }
    }
  }
}

方法2：通过局部变量+展开运算符配置 #

先定义局部变量存储IP限制规则，再根据环境判断是否将其加入site_config：

locals {
  # 定义IP限制规则
  ip_restriction_rule = {
    name       = "Testname"
    ip_address = "8.8.8.8/32"
    action     = "Allow"
    priority   = 796
  }

  # 根据环境决定是否启用IP限制
  enable_ip_restriction = local.environment != "123"
}

resource "azurerm_windows_web_app" "myApp" {
  # 其他WebApp基础配置（略）

  site_config {
    # 其他site_config配置（略）

    # 展开IP限制规则（仅当enable_ip_restriction为true时生效）
    dynamic "ip_restriction" {
      for_each = local.enable_ip_restriction ? [local.ip_restriction_rule] : []
      content {
        name       = ip_restriction.value.name
        ip_address = ip_restriction.value.ip_address
        action     = ip_restriction.value.action
        priority   = ip_restriction.value.priority
      }
    }
  }
}

注意事项 #

• priority字段的类型应为数字，而非字符串，避免Terraform类型校验报错。
• 两种方法核心都是通过dynamic块的for_each参数控制是否生成嵌套块，而非控制整个资源的创建。

内容的提问来源于stack exchange，提问作者Jimbo311