从Key Vault拉取密钥存入App Configuration时遇Terraform错误求助

问题分析 #

你遇到的Invalid count argument错误，核心原因是Terraform的计数逻辑依赖于需执行apply后才能确定的动态资源属性。data.azurerm_key_vault_secrets.kv_all_secrets.names是在执行阶段才能获取到的密钥名称列表，Terraform在规划阶段无法提前预知其长度，因此无法确定count的取值。

解决方案 #

方案1：用for_each替代count（推荐） #

for_each支持基于规划阶段可确定的集合创建资源，比count更稳定且不易出错。修改代码如下：

# Step 1: 获取Key Vault中所有密钥名称
data "azurerm_key_vault_secrets" "kv_all_secrets" {
  key_vault_id = data.azurerm_key_vault.kv.id
}

# Step 2: 遍历每个密钥，使用for_each而非count
data "azurerm_key_vault_secret" "kv_secret" {
  for_each     = toset(data.azurerm_key_vault_secrets.kv_all_secrets.names)
  name         = each.value
  key_vault_id = data.azurerm_key_vault.kv.id
}

# Step 3: 为每个密钥创建App Configuration引用
resource "azurerm_app_configuration_key" "app_config_key" {
  for_each               = data.azurerm_key_vault_secret.kv_secret
  configuration_store_id = data.azurerm_app_configuration.app_config.id
  key                    = each.key
  type                   = "vault"
  vault_key_reference    = each.value.versionless_id
}

方案2：分阶段部署（临时 workaround） #

若暂时不想调整代码结构，可按照错误提示的建议，分两步执行部署：

# 第一步：仅部署Key Vault相关资源（替换为你的Key Vault资源块名称）
terraform apply -target=azurerm_key_vault.kv

# 第二步：执行完整部署
terraform apply

关键说明 #

• toset()将密钥名称列表转换为集合，满足for_each对输入类型的要求，确保Terraform在规划阶段就能识别资源实例的唯一标识。
• 使用for_each后，每个App Configuration密钥实例会以对应的Key Vault密钥名称作为标识，后续密钥增减时不会出现实例顺序错乱的问题。

内容的提问来源于stack exchange，提问作者Gautham Sharma