Terraform配置Azure AD角色分配时for_each资源引用失败

1. 先修正拼写错误与规范变量结构 #

首先必须修正组名拼写错误（platforowner改为platformowner），同时规范变量定义，确保角色配置里的组名和组列表完全匹配：

variable "rbac_adorggroups" {
  type = list(object({
    name        = string
    description = string
  }))
  default = [
    {
      name        = "platformowner" # 修正拼写错误
      description = "Platform Owner Group"
    },
    # 其他组配置...
  ]
}

variable "rbac_aadroles" {
  type = list(object({
    role_name = string
    groups    = list(string) # 组名必须和rbac_adorggroups中的name完全一致
  }))
  default = [
    {
      role_name = "Global Administrator"
      groups    = ["platformowner"] # 对应修正后的组名
    },
    # 其他角色配置...
  ]
}

2. 正确创建Azure AD组资源 #

使用组名作为for_each的键，方便后续通过组名直接引用资源：

resource "azuread_group" "rbac_groups" {
  for_each = { for g in var.rbac_adorggroups : g.name => g }
  display_name     = each.value.name
  security_enabled = true
  description      = each.value.description
}

3. 激活目标Azure AD目录角色 #

通过角色模板数据资源匹配角色，再激活对应目录角色：

data "azuread_directory_role_template" "rbac_roles" {
  for_each = { for r in var.rbac_aadroles : r.role_name => r }
  display_name = each.key
}

resource "azuread_directory_role" "activated_roles" {
  for_each = data.azuread_directory_role_template.rbac_roles
  role_template_id = each.value.object_id
}

4. 扁平化映射并创建角色分配 #

先扁平化角色与组的关联关系，再通过唯一键创建分配，确保正确引用组的object_id：

# 扁平化角色-组的配对关系
locals {
  role_group_pairs = flatten([
    for role in var.rbac_aadroles : [
      for group_name in role.groups : {
        role_name = role.role_name
        group_name = group_name
      }
    ]
  ])
}

# 创建目录角色分配
resource "azuread_directory_role_assignment" "rbac_assignments" {
  for_each = {
    for pair in local.role_group_pairs : 
    "${pair.role_name}-${pair.group_name}" => pair
  }

  role_id               = azuread_directory_role.activated_roles[each.value.role_name].object_id
  principal_object_id   = azuread_group.rbac_groups[each.value.group_name].object_id # 通过组名直接索引组资源
}

关键注意事项 #

• 组名严格匹配：确保角色配置中的组名和组列表里的name字段完全一致，包括大小写（Terraform的for_each键区分大小写，建议统一格式）。
• 避免用列表索引：所有for_each都使用业务唯一键（如组名、角色名+组名），不要用列表索引，防止资源因元素顺序变更被误重建。
• 验证资源引用路径：确认azuread_group.rbac_groups的键是组名，这样通过each.value.group_name索引时不会出现无效索引错误。

内容的提问来源于stack exchange，提问作者Lyndon Rumpel