Terraform循环创建AzureAD用户时密码生成报错及需求咨询

问题根源 #

报错password is required when creating a new user是因为Terraform未获取到有效的密码值——手动输入字符串正常，说明动态生成逻辑未正确将密码传递给azuread_user资源。另外，for_each完全支持为每个用户生成唯一密码，只需配合合适的随机资源实现。

实现方案 #

1. 批量生成唯一密码并关联用户 #

通过为random_password资源添加for_each，与azuread_user的循环逻辑保持一致，为每个用户生成独立的合规随机密码：

# 为每个用户生成唯一随机密码
resource "random_password" "user_passwords" {
  for_each = var.users
  length   = 16
  special  = true
  upper    = true
  lower    = true
  number   = true
  # 限制特殊字符范围，避免AzureAD因密码规则拒绝
  override_special = "!@#$%^&*()"
}

# 创建AzureAD用户
resource "azuread_user" "users" {
  for_each = var.users

  user_principal_name = each.value.user_principal_name
  display_name        = each.value.display_name
  mail_nickname       = each.value.mail_nickname
  password            = random_password.user_passwords[each.key].result
  account_enabled     = true
}

2. 补充说明 #

• random_password与azuread_user使用同一个var.users作为for_each的数据源，确保每个用户对应唯一的密码实例。
• 可根据AzureAD的密码策略调整random_password的参数（如长度、字符类型），override_special用于规避AzureAD不允许的特殊字符。
• 若需保留密码记录，可添加敏感输出块：

output "user_passwords" {
  value = {
    for k, v in random_password.user_passwords : k => v.result
  }
  sensitive = true # 标记为敏感信息，避免控制台明文输出
}

3. 常见踩坑点 #

如果之前尝试直接在password字段用函数生成（如random_string()），可能因函数在规划阶段求值的特性导致值为空，或生成的密码不符合AzureAD规则。使用random_password资源则会明确为每个实例生成并持久化值，确保传递有效密码。

内容的提问来源于stack exchange，提问作者emilk