导入Azure资源后Terraform因大小写敏感触发强制替换的解决方法

问题背景 #

在导入Azure Front Door相关资源流程中，先导入WAF再导入Front Door安全策略，执行terraform plan时发现资源被判定为需要强制替换，原因是资源ID路径中的大小写不一致：

• 资源类型路径：frontDoorWebApplicationFirewallPolicies与frontdoorWebApplicationFirewallPolicies大小写差异
• 资源组路径：resourceGroups与resourcegroups大小写差异

防火墙策略ID直接通过资源属性引用：cdn_frontdoor_firewall_policy_id = azurerm_cdn_frontdoor_firewall_policy.rs_azurerm_cdn_frontdoor_firewall_policy[0].id，未使用变量传递。导入后的terraform plan输出如下：

module.rsm_azure_frontdoor.azurerm_cdn_frontdoor_security_policy.rs_azurerm_cdn_frontdoor_security_policy[0] must be replaced
-/+ resource "azurerm_cdn_frontdoor_security_policy" "rs_azurerm_cdn_frontdoor_security_policy" {
      ~ id                       = "/subscriptions/******/resourceGroups/*****/providers/Microsoft.Cdn/profiles/frontdoor-profile/securityPolicies/securitypolicy398439482" -> (known after apply)
        name                     = "securitypolicy398439482"
        # (1 unchanged attribute hidden)

      ~ security_policies {
          ~ firewall {
              ~ cdn_frontdoor_firewall_policy_id = "/subscriptions/********/resourceGroups/*****/providers/Microsoft.Network/frontdoorWebApplicationFirewallPolicies/wafirewall304873483" -> "/subscriptions/******/resourceGroups/*****/providers/Microsoft.Network/frontDoorWebApplicationFirewallPolicies/wafirewall304873483" # forces replacement

              ~ association {
                    # (1 unchanged attribute hidden)

                  ~ domain {
                      ~ active                  = true -> (known after apply)
                      ~ cdn_frontdoor_domain_id = "/subscriptions/******/resourcegroups/*****/providers/Microsoft.Cdn/profiles/frontdoor-profile/customdomains/nameofdomain" -> "/subscriptions/******/resourceGroups/*****/providers/Microsoft.Cdn/profiles/frontdoor-profile/customDomains/nameofdomain" # forces replacement
                    }
                }
            }
        }

同时在导入其他Azure资源时，也存在因resourceGroups与resourcegroups大小写差异触发强制替换的情况，当前使用AzureRM provider版本为3.50.0。

问题原因 #

1. Terraform严格字符串对比机制：Terraform会严格对比配置文件与状态文件中的属性值，包括字符串大小写。尽管Azure底层对资源ID大小写不敏感，但Terraform会将大小写差异判定为属性变更，触发资源替换。
2. AzureRM provider版本缺陷：3.50.0版本的AzureRM provider在生成资源ID和从Azure获取导入资源ID时，未统一大小写格式，导致资源类型、资源组路径等部分出现大小写不一致。

解决方法 #

1. 手动修正Terraform状态文件中的ID大小写 #

• 查看当前状态中的资源ID详情：

  terraform state show module.rsm_azure_frontdoor.azurerm_cdn_frontdoor_security_policy.rs_azurerm_cdn_frontdoor_security_policy[0]
  

• 移除当前状态中的该资源记录：

  terraform state rm module.rsm_azure_frontdoor.azurerm_cdn_frontdoor_security_policy.rs_azurerm_cdn_frontdoor_security_policy[0]
  

• 使用与配置中生成的ID大小写完全一致的完整资源ID重新导入：

  terraform import module.rsm_azure_frontdoor.azurerm_cdn_frontdoor_security_policy.rs_azurerm_cdn_frontdoor_security_policy[0] "/subscriptions/******/resourceGroups/*****/providers/Microsoft.Cdn/profiles/frontdoor-profile/securityPolicies/securitypolicy398439482"
  

  注意修正ID中的resourcegroups为resourceGroups、frontdoorWebApplicationFirewallPolicies为frontDoorWebApplicationFirewallPolicies等大小写差异部分。

2. 升级AzureRM provider版本 #

部分较新版本的AzureRM provider（如3.60.0及以上）修复了资源ID大小写标准化问题，会自动统一ID的大小写格式：

• 修改versions.tf中的provider版本约束：

  terraform {
    required_providers {
      azurerm = {
        source  = "hashicorp/azurerm"
        version = ">= 3.60.0"
      }
    }
  }
  

• 执行provider升级：

  terraform init -upgrade
  

• 重新执行terraform plan验证问题是否解决。

3. 统一配置中的ID大小写格式 #

通过Terraform内置函数统一资源ID的大小写，确保配置中的ID与状态文件中的ID格式一致：

• 例如使用lower()函数统一转为小写：

  cdn_frontdoor_firewall_policy_id = lower(azurerm_cdn_frontdoor_firewall_policy.rs_azurerm_cdn_frontdoor_firewall_policy[0].id)
  

  此方法需先确保状态文件中的ID已调整为对应大小写，否则需先修正状态文件再修改配置。

内容的提问来源于stack exchange，提问作者user21625151