使用Terraform向Vault组添加成员失败，寻求解决方法

问题原因 #

你遇到的错误是因为vault_identity_group_member_entity_ids资源的group_id参数需要的是Vault组的UUID，而非组名称。你当前传入的var.vault_group是组名kv_test_group，但Vault的API路径/identity/group/id/后要求的是组的唯一ID，因此无法匹配到对应组。

正确实现方式 #

1. 引用Terraform创建的组ID #

既然你已经通过Terraform创建了vault_identity_group.internal组，直接引用该资源的id属性即可，无需使用变量中的组名。修改后的成员添加配置如下：

resource "vault_identity_group_member_entity_ids" "test" {
  member_entity_ids = [var.vault_member]
  # 引用已创建组的UUID，而非组名
  group_id = vault_identity_group.internal.id
}

2. 确认成员实体ID的正确性 #

member_entity_ids必须使用Vault实体的UUID，不能用邮箱或其他属性。你可以通过Vault CLI获取实体ID：

vault identity entity list

也可以在Vault UI中查看实体详情，找到对应的UUID后填入var.vault_member的默认值。

3. 完整修改后的main.tf示例 #

provider "vault" {
    address = var.vault_address
    token   = var.vault_token
}

resource "vault_policy" "kv_test_policy" {
  name   = var.kv_test_policy
  policy = file("kv_test_policy.hcl")
}

resource "vault_identity_group" "internal" {
  name     = var.vault_group
  type     = var.vault_group_type
  policies = [vault_policy.kv_test_policy.name]
}

# 修改后的成员添加配置
resource "vault_identity_group_member_entity_ids" "test" {
  member_entity_ids = [var.vault_member]
  group_id          = vault_identity_group.internal.id
}

额外说明 #

• Terraform会自动处理资源依赖顺序：由于vault_identity_group_member_entity_ids引用了vault_identity_group.internal.id，会先创建组再添加成员，无需手动添加depends_on。
• 如果组是手动在Vault中创建的（非Terraform管理），需要先通过数据源获取组ID再引用：

data "vault_identity_group" "existing_group" {
  name = var.vault_group
}

resource "vault_identity_group_member_entity_ids" "test" {
  member_entity_ids = [var.vault_member]
  group_id          = data.vault_identity_group.existing_group.id
}

内容的提问来源于stack exchange，提问作者Ezzmazz