基于Terraform实现Azure Function应用配置动态密钥集成问询

你想要的这种"仅更新密钥列表就能自动生成配置映射"的需求，完全可以通过Terraform的本地值（local）和for表达式实现，核心是把硬编码的密钥配置改成动态生成逻辑，彻底摆脱手动维护每个密钥引用的麻烦。

下面是修正并优化后的完整代码，我会逐段解释关键改动：

variable "secretKeys" {
  type    = list(string)
  default = [ 
    "TestDbPassword", 
    "TestDbUserId"
  ]
}

data "azurerm_key_vault" "keyvault" {
  name                = "source-keyvault"
  resource_group_name = "source-keyvault-rg"
}

data "azurerm_key_vault_secret" "kvSecrets" {
  for_each = toset(var.secretKeys)
  name     = each.key
  key_vault_id = data.azurerm_key_vault.keyvault.id
}

# 动态生成Key Vault引用的app配置映射（核心改动）
locals {
  # 这里的键名转换逻辑可以根据你的实际命名规则调整
  # 示例：去掉secret key的"Test"前缀，生成对应的app setting键名（比如TestDbPassword → DBPassword）
  appSettingsSecretsMap = {
    for secret_key in var.secretKeys :
    replace(secret_key, "^Test", "") => "@Microsoft.KeyVault(SecretUri=${data.azurerm_key_vault_secret.kvSecrets[secret_key].id})"
  }

  # 如果你的secret key和app setting键名完全一致，直接用下面的简化写法：
  # appSettingsSecretsMap = {
  #   for secret_key in var.secretKeys :
  #   secret_key => "@Microsoft.KeyVault(SecretUri=${data.azurerm_key_vault_secret.kvSecrets[secret_key].id})"
  # }
}

# 自定义配置映射（变动频率低的基础配置）
variable "appSettingsCustomMap" {
  type    = map(string)
  default = {
    WEBSITE_RUN_FROM_PACKAGE        = ""
    FUNCTIONS_WORKER_RUNTIME        = ""
    APPINSIGHTS_INSTRUMENTATIONKEY  = ""
    # FUNCTIONS_EXTENSION_VERSION = "~1"
  }
}

resource "azurerm_function_app" "functionApp_workerFunctions" {
  name                       = "worker-function-${var.ENVIRONMENT}"
  location                   = "XYZ-Example"
  resource_group_name        = "XYZ-Example"
  app_service_plan_id        = "XYZ-Example"
  storage_account_name       = "XYZ-Example"
  storage_account_access_key = "XYZ-Example"
  # 合并自定义配置和动态生成的密钥配置
  app_settings = merge(var.appSettingsCustomMap, local.appSettingsSecretsMap)
}

# 可选：输出生成的配置映射，方便验证结果
output "generated_secret_settings" {
  value = local.appSettingsSecretsMap
}

关键改动说明： #

1. 移除硬编码的密钥配置：删掉了原来手动维护的appSettingsSecretsMap变量，改用locals动态生成。现在你只需要更新secretKeys列表，Terraform会自动遍历每个密钥，生成对应的Key Vault引用格式。
2. 灵活的键名转换：示例中用replace(secret_key, "^Test", "")把TestDbPassword转换成DBPassword，你可以根据自己的命名规则调整这个逻辑（比如去掉固定前缀、下划线转驼峰等），如果不需要转换，直接用secret key作为app setting键名即可。
3. 配置合并逻辑：用merge函数把自定义配置和动态生成的密钥配置合并，注意顺序：后面的映射会覆盖前面的，如果自定义配置和密钥配置有同名键，密钥配置会优先生效（需要调换顺序的话，把两个参数位置互换即可）。
4. 修正代码错误：修复了原代码中variabe的拼写错误，把appSettingsCustomMap的类型明确为map(string)（符合Terraform最佳实践），同时修正了app_settings中引用的变量名错误。

额外注意事项： #

• 确保Azure Function的托管标识（或Terraform部署使用的身份）拥有Key Vault的Get密钥权限，否则Function App无法解析密钥引用。
• 如果需要对密钥引用添加版本控制，可以在生成的字符串中追加版本号（比如${data.azurerm_key_vault_secret.kvSecrets[secret_key].version}）。

内容的提问来源于stack exchange，提问作者Sl-NZ