Terraform调用模块时引用each变量的Azure私有端点配置问题

问题背景 #

你想在Azure里批量创建不同类型的私有端点（比如密钥保管库KV、存储账户SA），打算用Terraform的for_each遍历端点类型列表来实现，但遇到了变量引用的坑——按字符串插值写的变量路径只会返回字面字符串，拿不到tfvars里配置的实际资源ID。

踩坑的错误写法 #

一开始你可能定义了列表类型的端点类型变量，再给每种类型单独配资源ID变量：

variable "endpoint_type" {
  type    = list(string)
  default = ["kv", "sa"]
}

variable "kv_private_connection_resource_id" {
  type = string
}

variable "sa_private_connection_resource_id" {
  type = string
}

然后在私有端点资源块里尝试用字符串拼接变量名：

resource "azurerm_private_endpoint" "example" {
  for_each             = toset(var.endpoint_type)
  name                 = "${each.value}-private-endpoint"
  location             = azurerm_resource_group.example.location
  resource_group_name  = azurerm_resource_group.example.name
  subnet_id            = azurerm_subnet.example.id

  private_service_connection {
    name                           = "${each.value}-psc"
    # 这里会出问题，返回的是字面字符串"var.kv.private_connection_resource_id"
    private_connection_resource_id = "var.${each.value}.private_connection_resource_id"
    is_manual_connection           = false
  }
}

Terraform不支持这种动态拼接变量名的方式，所以这里的资源ID只会是你写的字符串字面量，根本拿不到实际配置的值。

解决办法：改用嵌套Map变量 #

把端点类型和对应的资源ID（还有其他需要的属性）整合成一个嵌套Map，让for_each直接遍历这个Map，就能通过each.value直接引用属性值了。

1. 定义嵌套Map变量 #

variable "private_endpoints" {
  type = map(object({
    private_connection_resource_id = string
    subresource_names              = list(string) # 按需添加其他属性
  }))
  default = {}
}

2. 在tfvars里配置具体端点信息 #

private_endpoints = {
  kv = {
    private_connection_resource_id = "/subscriptions/xxx/resourceGroups/xxx/providers/Microsoft.KeyVault/vaults/your-kv-name"
    subresource_names             = ["vault"]
  }
  sa = {
    private_connection_resource_id = "/subscriptions/xxx/resourceGroups/xxx/providers/Microsoft.Storage/storageAccounts/your-sa-name"
    subresource_names             = ["blob"]
  }
}

3. 编写资源块遍历Map #

resource "azurerm_private_endpoint" "example" {
  for_each             = var.private_endpoints
  name                 = "${each.key}-private-endpoint"
  location             = azurerm_resource_group.example.location
  resource_group_name  = azurerm_resource_group.example.name
  subnet_id            = azurerm_subnet.example.id

  private_service_connection {
    name                           = "${each.key}-psc"
    # 这里直接引用Map里的实际资源ID
    private_connection_resource_id = each.value.private_connection_resource_id
    subresource_names              = each.value.subresource_names
    is_manual_connection           = false
  }
}

这样就能正确批量创建不同类型的Azure私有端点，每个端点都能拿到对应的资源ID了。

内容的提问来源于stack exchange，提问作者ozz0191