如何在Terraform中通过条件判断控制AzureFirewallSubnet的部署？

错误原因 #

你遇到的Unsupported argument: count错误，是因为**count参数仅能用于Terraform的顶级资源块**，无法在azurerm_virtual_network内部的subnet嵌套块中使用。

解决方案 #

方案1：使用动态块（Dynamic Block） #

这是Terraform官方推荐的处理条件嵌套块的方式，通过dynamic "subnet"块控制是否生成子网配置：

resource "azurerm_virtual_network" "vnet" {
  name                = var.vnet.name
  location            = var.rg.location
  resource_group_name = var.rg.name
  address_space       = var.vnet.address_space

  dynamic "subnet" {
    # 当afw_subnet.enabled为true时生成1个子网块，否则不生成
    for_each = var.afw_subnet.enabled ? [1] : []
    content {
      name           = var.subnets.subnet1.name
      address_prefix = var.subnets.subnet1.address_prefix
    }
  }
}

方案2：独立创建子网资源（推荐） #

将子网从虚拟网络的嵌套块中抽离，使用azurerm_subnet独立资源，直接用count控制部署，同时扩展性更强（后续可轻松添加NSG、路由表关联等配置）：

# 创建虚拟网络
resource "azurerm_virtual_network" "vnet" {
  name                = var.vnet.name
  location            = var.rg.location
  resource_group_name = var.rg.name
  address_space       = var.vnet.address_space
}

# 条件部署AzureFirewallSubnet
resource "azurerm_subnet" "afw_subnet" {
  count               = var.afw_subnet.enabled ? 1 : 0
  name                = var.subnets.subnet1.name
  resource_group_name = var.rg.name
  virtual_network_name = azurerm_virtual_network.vnet.name
  address_prefix      = var.subnets.subnet1.address_prefix
}

补充说明 #

• 两种方案均要求Terraform版本≥0.12（当前主流版本均满足）
• 方案2更适合生产环境，独立资源的维护和扩展更灵活，避免嵌套块带来的配置限制

内容的提问来源于stack exchange，提问作者Jon