非生产环境创建WAF负载测试IP白名单Terraform配置报错求助

你遇到的错误核心在于：用count创建的资源会变成列表类型（0或1个元素），而WebACL资源未使用count，因此在WebACL的上下文里既不能直接引用资源ID（Terraform要求指定列表索引），也不能用count.index（该变量仅存在于启用count的资源上下文中）。以下是两种可行的解决方式：

方案1：用Dynamic块动态关联规则 #

这是最稳妥的实现方式，通过dynamic块根据负载测试规则的存在性，在WebACL中动态生成规则关联：

1. 定义负载测试IPSet和规则（保留count逻辑） #

resource "aws_waf_ipset" "load_test_ipset" {
  count = var.envtype == "nonprod" ? 1 : 0

  name = "load-test-ipset-${var.envname}"
  ip_set_descriptors {
    type  = "IPV4"
    value = "10.0.0.0/24" # 替换为你的负载测试IP段
  }
}

resource "aws_waf_rule" "load_test_rule" {
  count = var.envtype == "nonprod" ? 1 : 0

  name        = "load-test-rule-${var.envname}"
  metric_name = "LoadTestRule"

  predicates {
    data_id = aws_waf_ipset.load_test_ipset[count.index].id
    negated = false
    type    = "IPMatch"
  }
}

2. 在WebACL中动态添加规则 #

resource "aws_waf_web_acl" "main" {
  name        = "web-acl-${var.envname}"
  metric_name = "WebACL"

  default_action {
    type = "ALLOW"
  }

  # 通用规则（生产/非生产共用）
  rules {
    action {
      type = "BLOCK"
    }

    priority = 1
    rule_id  = aws_waf_rule.general_block_rule.id
    type     = "REGULAR"
  }

  # 动态生成负载测试白名单规则（仅nonprod环境生效）
  dynamic "rules" {
    for_each = aws_waf_rule.load_test_rule
    content {
      action {
        type = "ALLOW"
      }

      priority = 2
      rule_id  = rules.value.id
      type     = "REGULAR"
    }
  }
}

• 当环境为nonprod时，aws_waf_rule.load_test_rule是包含1个元素的列表，dynamic块会自动生成对应的规则关联；
• 当环境为prod时，该列表为空，dynamic块不会生成任何内容，避免无效引用。

方案2：用for_each替代count（更直观的资源引用） #

将count替换为for_each，通过环境条件生成空集合或单元素集合，资源引用时使用key而非索引，逻辑更清晰：

resource "aws_waf_ipset" "load_test_ipset" {
  # 仅nonprod环境创建，生成空或单元素集合
  for_each = var.envtype == "nonprod" ? toset(["load-test"]) : toset([])

  name = "load-test-ipset-${var.envname}"
  ip_set_descriptors {
    type  = "IPV4"
    value = "10.0.0.0/24"
  }
}

resource "aws_waf_rule" "load_test_rule" {
  # 与IPSet联动，IPSet存在时才创建规则
  for_each = aws_waf_ipset.load_test_ipset

  name        = "load-test-rule-${var.envname}"
  metric_name = "LoadTestRule"

  predicates {
    data_id = aws_waf_ipset.load_test_ipset[each.key].id
    negated = false
    type    = "IPMatch"
  }
}

WebACL中的关联逻辑与方案1一致，使用dynamic "rules"块遍历aws_waf_rule.load_test_rule即可。这种方式适合未来可能扩展多个负载测试规则的场景。

补充：之前的引用错误原因 #

• 直接引用aws_waf_rule.load_test_rule.id报错：因为count创建的资源是列表类型，Terraform要求指定具体索引（如[0]），否则无法确定引用哪个实例；
• 添加[count.index]报错：count.index仅能在当前资源启用count的上下文中使用，WebACL未设置count，因此该上下文不存在count变量。

内容的提问来源于stack exchange，提问作者Arcticquiff