Terraform升级Azure Provider后导入资源状态文件缺失应用设置属性

原因分析 #

• Terraform Azure Provider 3.x 对 azurerm_linux_web_app 和 azurerm_windows_function_app 的应用设置处理逻辑和旧版 azurerm_function_app 不同，部分由 Azure 自动注入的系统级设置（如 WEBSITE_VNET_ROUTE_ALL）或敏感属性（如 APPINSIGHTS_INSTRUMENTATIONKEY）在导入时不会自动同步到 Terraform 状态。
• 执行 terraform import 时，Terraform 仅捕获资源配置中显式声明的属性，未在配置文件里定义的应用设置不会被导入到状态文件。

解决步骤 #

1. 显式声明缺失的应用设置到配置文件 #

把状态中显示缺失的应用设置添加到对应资源的配置块内：

# azurerm_linux_web_app 示例
resource "azurerm_linux_web_app" "mcp-frontend" {
  # 其他已有配置项...
  app_settings = {
    # 原有应用设置...
    "WEBSITE_VNET_ROUTE_ALL" = "1"
  }
}

# azurerm_windows_function_app 示例
resource "azurerm_windows_function_app" "api" {
  # 其他已有配置项...
  app_settings = {
    # 原有应用设置...
    "APPINSIGHTS_INSTRUMENTATIONKEY" = azurerm_application_insights.example.instrumentation_key
    "WEBSITE_VNET_ROUTE_ALL" = "1"
  }
}

敏感属性建议通过引用对应资源属性的方式注入，避免硬编码明文。

2. 刷新Terraform状态 #

执行命令让Terraform重新读取Azure端的实际配置，同步状态：

terraform refresh

3. 验证并应用配置 #

先执行 terraform plan 确认状态与配置一致，再执行 terraform apply 完成同步：

terraform plan
terraform apply

4. 敏感属性特殊处理 #

如果敏感属性在Azure门户存在但Terraform状态仍缺失：

• 执行 terraform state show azurerm_windows_function_app.api 查看状态中已捕获的敏感属性
• 若仍未同步，可在配置中显式声明后执行 terraform apply，Terraform会自动标记该属性为敏感类型。

额外注意事项 #

• Provider 3.x 中，azurerm_linux_web_app 和 azurerm_windows_function_app 的 app_settings 会严格按配置文件定义管理，未声明的设置会被移除（除非使用 app_settings_json 或配置 ignore_changes）。若需保留Azure自动添加的设置，可添加 lifecycle 块忽略对应字段的变更：

lifecycle {
  ignore_changes = [app_settings]
}

注意：使用 ignore_changes 后，Terraform将不再管理应用设置的变更，需谨慎使用。

内容的提问来源于stack exchange，提问作者Atul Kaushik