使用Terraform创建Azure IPsec站点到站点监控指标告警失败

1. 确认正确的Metric Namespace与资源目标 #

Azure VPN连接（即azurerm_vpn_connection资源）的监控指标命名空间为Microsoft.Network/connections，但必须确保告警的scopes指向VPN连接资源的ID，而非虚拟网络网关或本地网关ID——这是最常见的配置错误。

以下是正确的Terraform配置示例：

resource "azurerm_monitor_metric_alert" "vpn_connection_alert" {
  name                = "vpn-connection-status-alert"
  resource_group_name = azurerm_resource_group.vpn_rg.name
  scopes              = [azurerm_vpn_connection.vpn_conn.id]
  description         = "Trigger alert when VPN connection status is unhealthy"

  criteria {
    metric_namespace = "Microsoft.Network/connections"
    metric_name      = "ConnectionStatus"
    aggregation      = "Average"
    operator         = "LessThan"
    threshold        = 1

    dimension {
      name     = "ConnectionName"
      operator = "Include"
      values   = [azurerm_vpn_connection.vpn_conn.name]
    }
  }

  action {
    action_group_id = azurerm_monitor_action_group.vpn_alert_action.id
  }
}

2. 核心排查点 #

• 资源目标匹配：scopes必须是VPN连接资源ID，若指向网关资源，即使命名空间正确也会报错。
• 指标名称准确性：可在Azure门户的「监控>指标」中，选择目标VPN连接，确认可用指标的拼写（如ConnectionStatus、TunnelAverageBandwidth等），大小写需完全一致。
• Provider版本：旧版azurerm Provider（<3.0）对部分指标命名空间的支持存在缺陷，建议升级至最新稳定版。
• 权限验证：部署账号需具备Microsoft.Insights/metricAlerts/write权限，以及对目标VPN连接的Microsoft.Network/connections/read权限。

3. 深度错误排查 #

• 执行terraform apply -debug获取完整错误日志，日志会明确提示错误原因（如命名空间不存在、资源权限不足、指标名称错误等）。
• 在Azure门户手动创建相同逻辑的告警，然后通过「导出模板」功能生成Terraform代码，与本地配置对比差异，快速定位问题。

内容的提问来源于stack exchange，提问作者jwisniewski