Terraform部署Azure资源：KeyVault访问策略循环错误及后续问题

当资源（如App_Config、Windows Function、Redis）的托管标识需要KeyVault权限，同时KeyVault的访问策略又依赖这些标识的ID时，就会出现循环依赖错误。结合你的场景，下面几个实用方案可以打破这个循环：

1. 拆分资源部署阶段 #

把KeyVault访问策略的配置和资源（含托管标识）的创建拆分为两个独立步骤：

• 第一阶段：先部署KeyVault本身，以及所有可以提前创建的用户托管标识；对于需要系统分配标识的资源（比如Windows Function），先创建资源并启用系统标识，但暂不配置任何依赖KeyVault的内容。
• 第二阶段：基于已创建的资源标识ID，更新KeyVault的访问策略，最后再配置资源的KeyVault相关引用（比如Function的应用设置）。
• 自动化场景下，可以用Terraform的target参数分阶段部署，或者拆分到不同的配置文件/模块中，通过状态文件传递标识ID。

2. 针对系统分配标识的延迟引用 #

对于Windows Function这类必须和资源绑定创建的系统分配标识，不要直接在KeyVault访问策略中引用资源的标识属性，而是通过data资源延迟获取已创建资源的标识ID：

# 第一步：创建带系统标识的Windows Function
resource "azurerm_function_app" "win_func" {
  name                       = "example-win-function"
  resource_group_name        = azurerm_resource_group.example.name
  # ... 其他基础配置 ...
  
  identity {
    type = "SystemAssigned"
  }
}

# 第二步：通过data资源获取已创建Function的标识信息
data "azurerm_function_app" "win_func" {
  name                = azurerm_function_app.win_func.name
  resource_group_name = azurerm_function_app.win_func.resource_group_name
  depends_on          = [azurerm_function_app.win_func]
}

# 第三步：配置KeyVault访问策略，使用data资源的标识ID
resource "azurerm_key_vault" "example" {
  name                       = "example-kv"
  resource_group_name        = azurerm_resource_group.example.name
  # ... 其他基础配置 ...
  
  access_policy {
    object_id = data.azurerm_function_app.win_func.identity[0].principal_id
    # 配置所需权限，比如secret、key、certificate的读写权限
    secret_permissions = ["Get", "List"]
  }
}

3. 模块间的显式依赖与输出传递 #

针对你已经将用户托管标识移到模块外的情况，对Windows Function模块做如下优化：

• 在Windows Function模块中输出系统标识的principal_id：

output "system_principal_id" {
  value = azurerm_function_app.win_func.identity[0].principal_id
}

• 在KeyVault模块中引用这个输出，并通过depends_on显式声明依赖关系，确保Function先创建完成：

module "key_vault" {
  source = "./modules/key-vault"
  # ... 其他模块参数 ...
  
  access_policies = [
    # 用户托管标识的权限配置
    {
      object_id = azurerm_user_assigned_identity.app_config.id
      secret_permissions = ["Get", "List"]
    },
    # Windows Function系统标识的权限配置
    {
      object_id = module.windows_function.system_principal_id
      secret_permissions = ["Get", "List"]
    }
  ]
  
  depends_on = [module.windows_function, azurerm_user_assigned_identity.app_config]
}

这样能确保KeyVault在配置访问策略时，所有依赖的托管标识都已经存在，彻底打破循环。

4. 避免在资源创建时直接引用KeyVault #

如果资源的配置中需要引用KeyVault的机密（比如Function的应用设置），不要在资源创建阶段直接引用，而是在KeyVault访问策略配置完成后，再通过terraform apply更新资源配置。比如先创建Function，再配置KeyVault策略，最后再设置Function的应用设置指向KeyVault机密。

内容的提问来源于stack exchange，提问作者Maki