Terraform中azurerm_policy_set_definition无法使用Integer类型策略参数

问题根源 #

Terraform对initiative_with_int_parameters变量的类型推断为map(map(string))，导致其中的数字参数minimumRSAKeySize = 2048被隐式转换为字符串类型。当通过jsonencode传递给Azure时，Azure识别该参数为String类型，但目标策略定义要求的是Integer类型，因此触发类型不匹配错误。

解决方案 #

1. 显式定义变量类型，阻止隐式转换 #

修改variables.tf中的initiative_with_int_parameters变量，显式指定类型为map(any)或更精确的对象类型，确保数字参数保留原始类型：

variable "initiative_with_int_parameters" {
  type = map(any)
  default = {
    "/providers/Microsoft.Authorization/policyDefinitions/cee51871-e572-4576-855c-047c820360f0" = {
      effect            = "[parameters('denyAll')]"
      minimumRSAKeySize = 2048
    }
    "/providers/Microsoft.Authorization/policyDefinitions/82067dbb-e53b-4e06-b631-546d197452d9" = {
      effect            = "[parameters('denyAll')]"
      minimumRSAKeySize = 2048
    }
    "/providers/Microsoft.Authorization/policyDefinitions/12430be1-6cc8-4527-a9a8-e3d38f250096" = {
      effect          = "[parameters('denyAll')]"
      modeRequirement = "Prevention"
    }
  }
}

若需要更严格的类型校验，可使用对象类型定义：

variable "initiative_with_int_parameters" {
  type = map(object({
    effect = string
    minimumRSAKeySize = optional(number)
    modeRequirement = optional(string)
  }))
  default = {
    # 保留原有默认值
  }
}

2. 优化参数构建逻辑 #

移除不必要的tomap转换（policy_definition.value本身已是对象类型），避免类型转换带来的意外：

修改main.tf中的动态块部分：

dynamic "policy_definition_reference" {
  for_each = var.initiative_with_int_parameters
  iterator = policy_definition
  content {
    policy_definition_id = policy_definition.key
    parameter_values     = length(policy_definition.value) == 0 ? null : jsonencode({ 
      for name, value in policy_definition.value : 
      name => { "value" = value } 
    })
  }
}

验证修改 #

执行terraform plan确认参数类型正确，再运行terraform apply重新部署，此时数字参数会以Integer类型传递给Azure，匹配策略定义的预期类型，即可解决报错。

内容的提问来源于stack exchange，提问作者Leo