如何用Terraform配置AWS每个AZ1个公有子网、2个私有/数据库子网？

使用Terraform的AWS VPC模块，原本在3个可用区（AZ）中每个AZ配置2个私有子网、2个数据库子网和2个公有子网。现需调整为每个AZ仅1个公有子网，同时保留每个AZ的2个私有及数据库子网。尝试将public_subnets = local.subnets[2]修改为public_subnets = slice(local.subnets[2], 0, 2)后，触发element函数调用错误，报错提示无法对空列表使用element函数。

问题根源在于子网CIDR生成逻辑与VPC模块的AZ配置不匹配：

1. 原local.subnets生成逻辑：先用cidrsubnets(var.cidr, 4, 4, 4)将主CIDR划分为3个大段（分别对应私有、数据库、公有子网池），每个大段再通过cidrsubnets(..., 4, 4, 4, 4, 4, 4)拆分为6个子网CIDR。这意味着local.subnets[2]（公有子网池）包含6个CIDR，对应3个AZ每个AZ分配2个公有子网。
2. 修改时使用slice(local.subnets[2], 0, 2)仅截取前2个CIDR，但VPC模块配置了3个AZ（local.number_azs=3），模块会尝试为每个AZ创建公有子网，导致第3个AZ无对应CIDR可用，进而aws_subnet.public变成空元组。后续依赖该资源的路由表关联、NAT网关创建时调用element函数，就会因空列表触发错误。

调整公有子网的CIDR选择逻辑，确保每个AZ对应1个公有子网CIDR（共3个，匹配3个AZ）：

• 不要使用slice(local.subnets[2], 0, 2)，而是从local.subnets[2]中按AZ顺序取每个AZ的第一个公有子网CIDR（即索引0、2、4的元素，因为原每个AZ对应2个连续CIDR）。

修改后的关键代码 #

修改main.tf中locals块内的public_subnets定义：

固定3个AZ的写法 #

locals {
  # ... 其余代码保持不变 ...

  public_subnets = [
    local.subnets[2][0],
    local.subnets[2][2],
    local.subnets[2][4]
  ]

  # ... 其余代码保持不变 ...
}

适配number_azs变量的通用写法 #

如果需要适配var.number_azs的动态值，可使用循环生成：

locals {
  # ... 其余代码保持不变 ...

  public_subnets = [for idx in range(local.number_azs) : local.subnets[2][idx * 2]]

  # ... 其余代码保持不变 ...
}

修改后，VPC模块会为每个AZ创建1个公有子网，aws_subnet.public将包含3个有效子网ID，后续的路由表关联和NAT网关创建逻辑可正常执行，避免element函数错误。

内容的提问来源于stack exchange，提问作者user20208419