使用Terraform部署Azure Key Vault遇context deadline exceeded错误求助

问题描述 #

部署Azure KeyVault时遇到以下超时错误：

Error: retrieving contact for KeyVault: keyvault.BaseClient#GetCertificateContacts: Failure sending request: StatusCode=0 -- Original Error: context deadline exceeded

相关代码片段 #

主配置文件

# data "azurerm_client_config" "current" {}
data "azuread_client_config" "current" {}

resource "azurerm_key_vault" "aks_key_vault" {
  name                        = var.aks_kv_name
  location                    = var.location
  resource_group_name         = var.rg_name
  enabled_for_disk_encryption = true
  tenant_id                   = data.azuread_client_config.current.tenant_id
#   soft_delete_retention_days  = var.aks_kv_soft_delete_retention_days
#   purge_protection_enabled    = false

  sku_name = var.aks_kv_sku

  access_policy {
    tenant_id = data.azuread_client_config.current.tenant_id
    object_id = data.azuread_client_config.current.object_id

    key_permissions     = var.aks_kv_key_permissions
    secret_permissions  = var.aks_kv_secret_permissions
    storage_permissions = var.aks_kv_storage_permissions
  }
  tags = merge(var.common_tags)
}

variables.tf

# Key Vault related variables
aks_kv_name                       = "jana-azure-csi-kv"
aks_kv_soft_delete_retention_days = 7
aks_kv_sku                        = "standard"
aks_kv_key_permissions            = ["Get"]
aks_kv_secret_permissions         = ["Get"]
aks_kv_storage_permissions        = ["Get"]

使用版本 #

• Terraform版本：Terraform v1.3.6 on darwin_amd64
• Azurerm Provider版本：version = "=3.0.0"

原因分析 #

• 网络连接问题：本地网络与Azure KeyVault服务端点的通信延迟过高，或请求被防火墙、代理拦截，导致请求超时。
• Provider版本缺陷：3.0.0版本属于Azurerm的早期大版本，存在证书联系人获取逻辑的超时处理不完善或已知bug。
• 资源未就绪：KeyVault创建完成后，服务内部未完全初始化，Terraform立即读取联系人信息触发超时。
• 权限问题（可能性较低）：当前身份无读取证书联系人的权限，但这类问题通常返回明确的权限错误而非超时。

解决办法 #

1. 优化网络连接 #

• 验证本地网络能否访问目标KeyVault的服务端点：执行curl https://<你的kv名称>.vault.azure.net，检查是否能正常响应。
• 若使用代理，确保Terraform配置了正确的环境变量：HTTP_PROXY、HTTPS_PROXY。

2. 升级Azurerm Provider版本 #

新版本修复了大量API交互和超时问题，建议升级到3.70.0及以上的稳定版本：

1. 修改versions.tf中的provider约束：

terraform {
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">= 3.70.0"
    }
  }
}

2. 执行terraform init -upgrade完成升级。

3. 跳过证书联系人验证（临时 workaround） #

在KeyVault资源中添加参数，跳过证书联系人的读取步骤，避免触发超时请求：

resource "azurerm_key_vault" "aks_key_vault" {
  name                        = var.aks_kv_name
  location                    = var.location
  resource_group_name         = var.rg_name
  enabled_for_disk_encryption = true
  tenant_id                   = data.azuread_client_config.current.tenant_id
  sku_name                    = var.aks_kv_sku
  # 添加此参数跳过证书联系人验证
  skip_certificate_contacts_validation = true

  access_policy {
    tenant_id = data.azuread_client_config.current.tenant_id
    object_id = data.azuread_client_config.current.object_id

    key_permissions     = var.aks_kv_key_permissions
    secret_permissions  = var.aks_kv_secret_permissions
    storage_permissions = var.aks_kv_storage_permissions
  }
  tags = merge(var.common_tags)
}

4. 延长API请求超时时间 #

在Azurerm Provider配置中增加超时时间，给请求更多完成时间：

provider "azurerm" {
  features {}
  request_timeout = "5m" # 设置为5分钟，可根据实际情况调整
}

内容的提问来源于stack exchange，提问作者Jananath Banuka