Terraform嵌套列表动态块遍历实现Vault策略配置问题

错误原因分析 #

1. 初始遍历逻辑错误：YAML解析后的var.policy_statements是map(string, list(object))结构——键是策略名称，值是该策略对应的规则列表。如果直接遍历这个map并尝试通过rule.value.capabilities访问属性，Terraform会报错，因为rule.value是一个列表而非单个对象，无法直接提取capabilities字段。
2. Flatten处理不恰当：若仅简单使用flatten()函数，未正确保留策略名与规则的关联关系，或者扁平化后的结构不符合Terraform对对象属性的访问要求，依然会出现capabilities属性不存在的报错。

正确实现方法 #

1. 变量类型约束（必做） #

首先确保var.policy_statements的类型约束准确，避免类型推断错误：

variable "policy_statements" {
  type = map(list(object({
    capabilities = list(string)
    path         = string
  })))
  description = "经yamldecode解析后的Vault策略配置"
}

2. 动态生成Vault策略资源 #

直接遍历var.policy_statements的键值对，为每个策略创建独立的vault_policy资源，并通过字符串拼接生成符合Vault要求的HCL策略文档：

resource "vault_policy" "dynamic_policies" {
  for_each = var.policy_statements

  name     = each.key
  policy   = <<EOT
${join("\n", [
  for rule in each.value : <<RULE
path "${rule.path}" {
  capabilities = ${jsonencode(rule.capabilities)}
}
RULE
])}
EOT
}

代码说明 #

• for_each = var.policy_statements：遍历每个策略，each.key为策略名称，each.value为该策略下的所有规则列表
• 内层for rule in each.value：遍历当前策略的每条规则，将其转换为Vault策略的path块
• jsonencode(rule.capabilities)：将列表类型的权限转换为Terraform可识别的数组格式，避免手动拼接字符串出错

可选：扁平化结构优化 #

如果需要更灵活的结构处理，可以先将策略名与规则绑定为扁平化的本地变量：

locals {
  policies_flat = flatten([
    for policy_name, rules in var.policy_statements : [
      for rule in rules : {
        policy_name = policy_name
        path        = rule.path
        capabilities = rule.capabilities
      }
    ]
  ])

  # 按策略名重新分组，方便后续遍历
  policies_grouped = {
    for p in local.policies_flat : p.policy_name => collect(p, p)
  }
}

之后使用local.policies_grouped替代var.policy_statements进行遍历，逻辑与上述一致。

内容的提问来源于stack exchange，提问作者pkaramol