如何通过Terraform获取带认证码的Azure Function URL并解决循环依赖

你遇到的循环依赖是因为：函数应用必须先创建才能获取主机访问密钥，但你又要把包含密钥的URL注入回函数应用的配置，形成了函数应用 → 主机密钥 → 函数应用配置的循环链。下面提供几种可行的解决方法：

方案一：使用系统托管身份认证（推荐） #

用Azure托管身份代替访问密钥认证，从根本上避免密钥注入带来的循环依赖，同时提升安全性。

Terraform配置步骤： #

1. 为函数应用启用系统分配的托管身份
2. 给该身份授予调用自身函数的权限

resource "azurerm_function_app" "my_function" {
  name                       = "your-function-name"
  resource_group_name        = azurerm_resource_group.your_rg.name
  app_service_plan_id        = azurerm_app_service_plan.your_plan.id
  storage_account_name       = azurerm_storage_account.your_storage.name
  storage_account_access_key = azurerm_storage_account.your_storage.primary_access_key

  # 启用系统托管身份
  identity {
    type = "SystemAssigned"
  }
}

# 为身份授予调用自身函数的权限（可根据需求调整为更细粒度的角色）
resource "azurerm_role_assignment" "function_self_invoke" {
  scope                = azurerm_function_app.my_function.id
  role_definition_name = "Function App Contributor"
  principal_id         = azurerm_function_app.my_function.identity[0].principal_id
}

函数代码调整（以Python为例） #

通过托管身份获取访问令牌，调用自身时将令牌放在Authorization请求头中，无需在URL中携带code参数：

import os
import requests
from azure.identity import ManagedIdentityCredential

def main(req):
    # 获取托管身份令牌
    credential = ManagedIdentityCredential()
    token = credential.get_token("https://azurefunctions.net/.default")
    
    # 从环境变量读取函数基础URL（无需带code）
    function_base_url = os.environ["FUNCTION_BASE_URL"]
    response = requests.post(
        function_base_url,
        headers={"Authorization": f"Bearer {token.token}"}
    )
    
    # 后续业务逻辑处理
    return "Recursive call completed"

你可以通过Terraform直接将函数基础URL注入环境变量，不会触发循环：

resource "azurerm_app_service_configuration" "my_function_config" {
  app_service_id = azurerm_function_app.my_function.id

  app_settings = {
    "FUNCTION_BASE_URL" = "https://${azurerm_function_app.my_function.default_hostname}/api/your-function-name"
  }
}

方案二：拆分配置打破循环（使用访问密钥） #

如果必须使用访问密钥，可以将函数应用的创建与配置更新拆分为两个独立步骤，通过null_resource延迟获取密钥，再用独立的配置资源注入URL。

Terraform配置示例： #

# 第一步：创建基础函数应用（不含需要密钥的环境变量）
resource "azurerm_function_app" "my_function" {
  name                       = "your-function-name"
  resource_group_name        = azurerm_resource_group.your_rg.name
  app_service_plan_id        = azurerm_app_service_plan.your_plan.id
  storage_account_name       = azurerm_storage_account.your_storage.name
  storage_account_access_key = azurerm_storage_account.your_storage.primary_access_key
}

# 第二步：等待函数应用创建完成，通过Azure CLI获取默认函数密钥
resource "null_resource" "fetch_function_key" {
  depends_on = [azurerm_function_app.my_function]

  provisioner "local-exec" {
    command = <<EOT
      az functionapp keys list --name ${azurerm_function_app.my_function.name} \
        --resource-group ${azurerm_resource_group.your_rg.name} \
        --query defaultFunctionKey --output tsv > ./function_key.txt
    EOT
  }
}

# 第三步：读取密钥并更新函数应用配置
resource "azurerm_app_service_configuration" "my_function_config" {
  depends_on = [null_resource.fetch_function_key]

  app_service_id = azurerm_function_app.my_function.id

  app_settings = {
    # 其他环境变量...
    "SELF_INVOKE_URL" = "https://${azurerm_function_app.my_function.default_hostname}/api/your-function-name?code=${file("./function_key.txt")}"
  }
}

方案三：使用函数级专属密钥 #

创建单个函数的专属访问密钥，代替主机级默认密钥，再通过独立的配置资源注入URL，避免循环依赖。

Terraform配置示例： #

# 创建HTTP触发函数
resource "azurerm_function_app_function" "my_http_function" {
  name            = "your-http-function"
  function_app_id = azurerm_function_app.my_function.id
  file_path       = "${path.module}/functions/your-http-function"
}

# 为该函数创建专属访问密钥
resource "azurerm_function_app_function_key" "self_invoke_key" {
  name            = "self-invoke-key"
  function_name   = azurerm_function_app_function.my_http_function.name
  function_app_id = azurerm_function_app.my_function.id
}

# 独立更新配置，注入带密钥的URL
resource "azurerm_app_service_configuration" "my_function_config" {
  depends_on = [azurerm_function_app_function_key.self_invoke_key]

  app_service_id = azurerm_function_app.my_function.id

  app_settings = {
    "SELF_INVOKE_URL" = "https://${azurerm_function_app.my_function.default_hostname}/api/${azurerm_function_app_function.my_http_function.name}?code=${azurerm_function_app_function_key.self_invoke_key.value}"
  }
}

内容的提问来源于stack exchange，提问作者Pawel