升级Azure RM 3.0后Terraform部署应用网关遇循环问题

一、公网IP销毁冲突处理 #

• 若网关未删除，先在Azure门户手动解绑公网IP与网关，再执行命令移除旧网关和IP的状态关联：

  terraform state rm azurerm_application_gateway.your_gateway_name
  terraform state rm azurerm_public_ip.your_ip_name
  

• 给公网IP添加生命周期规则，防止误销毁：

  resource "azurerm_public_ip" "your_ip_name" {
    # ... 原有配置
    lifecycle {
      prevent_destroy = true
    }
  }
  

  执行terraform plan确认无销毁操作后再部署。

二、跨订阅Key Vault证书访问的Forbidden错误修复 #

• 确认RBAC权限范围：必须在Key Vault所在订阅中，给User-Assigned MI分配Certificate Officer角色，而非网关所在订阅，同时检查角色分配的作用域是否覆盖目标Key Vault。
• 检查KV防火墙设置：若Key Vault启用了虚拟网络防火墙，需将MI所在的虚拟网络加入KV的允许列表；或开启“允许受信任的Microsoft服务访问此密钥保管库”选项。
• 添加权限生效延迟：Azure RBAC权限存在1-5分钟的生效延迟，在Terraform中添加等待资源：

  resource "time_sleep" "wait_rbac" {
    create_duration = "300s" # 等待5分钟
    depends_on = [azurerm_role_assignment.kv_cert_officer]
  }
  
  resource "azurerm_application_gateway" "your_gateway_name" {
    # ... 原有配置
    depends_on = [time_sleep.wait_rbac]
  }
  

• 验证证书引用格式：确保网关TLS证书的KV资源ID为完整路径，例如：

  ssl_certificate {
    name = "kv-cert"
    key_vault_secret_id = "https://your-kv.vault.azure.net/certificates/your-cert-name"
  }
  

三、资源已存在需导入的问题解决 #

• 执行terraform import将现有资源导入状态库，示例命令：

  # 导入Application Gateway
  terraform import azurerm_application_gateway.your_gateway_name /subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.Network/applicationGateways/<网关名>
  # 导入公网IP
  terraform import azurerm_public_ip.your_ip_name /subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.Network/publicIPAddresses/<IP名>
  

• 导入后执行terraform plan确认配置与状态一致，再执行terraform apply。

四、Azure RM 3.0 Provider Bug规避 #

• 临时降级到2.99.x版本验证问题：

  terraform {
    required_providers {
      azurerm = {
        source  = "hashicorp/azurerm"
        version = "~> 2.99.0"
      }
    }
  }
  

• 若降级后问题消失，前往HashiCorp AzureRM Provider的GitHub仓库提交Issue，附上你的配置代码、错误日志和环境信息。

内容的提问来源于stack exchange，提问作者Pallab