Terraform现有VM模块依赖新KMS密钥的授权延迟问题求解

方案1：用独立的oci_core_volume_kms_key资源关联密钥与启动盘 #

这种方式能把VM创建和KMS密钥关联操作解耦，避免VM模块因依赖策略被强制重建：

• 保留原vm-instances模块配置，暂不直接传入boot_volume_key_id（或传入空值，后续通过独立资源更新）
• 单独定义oci_core_volume_kms_key资源，指定目标启动盘ID、KMS密钥ID，并显式依赖身份策略：

resource "oci_core_volume_kms_key" "boot_volume_kms_association" {
  count = local.create_kms_key ? 1 : 0

  volume_id       = module.vm-instances.boot_volume_ids[0]
  kms_key_id      = oci_kms_key.vm_key.id
  depends_on      = [oci_identity_policy.kms_access_policy]
}

• 优势：VM模块完全独立，不会因策略依赖触发重建；关联操作会等待策略生效后执行，从根源避免权限错误；后续更新密钥只需修改该资源，不影响VM本身。

方案2：给oci_identity_policy配置自定义超时+精准依赖 #

如果不想拆分资源，可调整策略资源的超时设置，确保Terraform等待策略完全生效后再推进后续操作：

• 给oci_identity_policy添加timeouts块，延长创建阶段的等待时长（OCI策略生效通常需要1-3分钟，可根据实际情况调整）：

resource "oci_identity_policy" "kms_access_policy" {
  # 原有配置...

  timeouts {
    create = "5m"
  }
}

• 若模块支持，可仅让boot_volume_key_id的引用逻辑依赖策略，而非整个VM模块，避免触发VM重建。

方案3：用null_resource动态检查策略生效状态 #

相比固定时长的time_sleep，这种方式更高效，仅在策略未生效时等待：

• 创建null_resource，通过local-exec调用OCI CLI循环检查权限，直到确认策略生效：

resource "null_resource" "wait_for_policy" {
  count = local.create_kms_key ? 1 : 0

  provisioner "local-exec" {
    command = <<EOT
      until oci kms key get --key-id ${oci_kms_key.vm_key.id} --query 'data' >/dev/null 2>&1; do
        echo "Waiting for KMS policy to take effect..."
        sleep 10
      done
    EOT
    interpreter = ["bash", "-c"]
  }

  depends_on = [oci_identity_policy.kms_access_policy]
}

# 让KMS关联操作依赖该检查资源
resource "oci_core_volume_kms_key" "boot_volume_kms_association" {
  count = local.create_kms_key ? 1 : 0

  volume_id       = module.vm-instances.boot_volume_ids[0]
  kms_key_id      = oci_kms_key.vm_key.id
  depends_on      = [null_resource.wait_for_policy]
}

• 优势：仅在需要时等待，不会无意义拖慢执行速度；通过实际权限检查判断策略状态，比固定超时更可靠。

内容的提问来源于stack exchange，提问作者N. J