如何避免仅因SAS Token变化重部署AzureRM Kusto Script资源？

问题场景 #

我通过Terraform部署Azure Kusto Script资源，脚本内容存储在存储账户Blob中，配置如下：

resource "azurerm_storage_blob" "acquisition-in-table-creation-scripts" {
  name                   = "acquisition-in-scripts.json"
  storage_account_name   = azurerm_storage_account.scripts-storage-account.name
  storage_container_name = azurerm_storage_container.scripts-container.name
  type                   = "Block"
  source_content         = templatefile("${path.module}/scripts/my-script.tftpl", { ** })
}

data "azurerm_storage_account_blob_container_sas" "blob-sas-token" {
  // 省略SAS Token生成配置
}

resource "azurerm_kusto_script" "kusto-script-execution" {
  force_an_update_when_value_changed = filesha1("${path.module}/scripts/my-script.tftpl")
  name                               = "script-execution"
  database_id                        = ***
  url                                = azurerm_storage_blob.table-creation-scripts.id
  sas_token                          = data.azurerm_storage_account_blob_container_sas.blob-sas-token.sas
  continue_on_errors_enabled         = false

  depends_on = [
    azurerm_storage_blob.table-creation-scripts
  ]
}

核心需求是仅当my-script.tftpl文件内容变更时，才替换Kusto Script资源，因此通过force_an_update_when_value_changed传入文件哈希来触发更新。但问题在于：每次流水线运行时生成的SAS Token都会变化，导致Terraform判定需要替换Kusto Script资源，即使脚本内容完全没变：

# module.device-telemetry.azurerm_kusto_script.template must be replaced
-/+ resource "azurerm_kusto_script" "template" {
      ~ id                                 = "/subscriptions/***script-execution" -> (known after apply)
        name                               = "kusto-script-execution"
      ~ sas_token                          = (sensitive value) # forces replacement
        # (4 unchanged attributes hidden)
    }

如果直接用ignore_changes忽略sas_token的变化，会导致脚本内容变更时，新生成的SAS Token无法被使用，资源无法访问存储获取新脚本。

解决方案：结合ignore_changes与replace_triggered_by #

通过Terraform的生命周期配置，既能忽略SAS Token的日常变化，又能保证脚本内容变更时触发资源替换并使用新的SAS Token。修改azurerm_kusto_script资源的配置如下：

resource "azurerm_kusto_script" "kusto-script-execution" {
  force_an_update_when_value_changed = filesha1("${path.module}/scripts/my-script.tftpl")
  name                               = "script-execution"
  database_id                        = ***
  url                                = azurerm_storage_blob.table-creation-scripts.id
  sas_token                          = data.azurerm_storage_account_blob_container_sas.blob-sas-token.sas
  continue_on_errors_enabled         = false

  depends_on = [
    azurerm_storage_blob.table-creation-scripts
  ]

  lifecycle {
    # 忽略SAS Token的变更，避免无意义的资源替换
    ignore_changes = [sas_token]
    # 仅当脚本文件哈希变化时，触发资源替换
    replace_triggered_by = [
      filesha1("${path.module}/scripts/my-script.tftpl")
    ]
  }
}

原理说明 #

1. ignore_changes = [sas_token]：告诉Terraform忽略sas_token属性的变更，即使每次流水线生成新的SAS Token，也不会标记资源需要替换。
2. replace_triggered_by：指定触发资源替换的依赖项，这里绑定到脚本文件的哈希值。当脚本内容变更时，哈希值会变化，触发Kusto Script资源的替换，此时新的SAS Token会被注入到新创建的资源中，确保能正常访问存储获取最新脚本。

备选方案：使用存储账户托管身份（无需SAS Token） #

如果环境允许，可以给Kusto集群分配存储账户的访问权限，通过托管身份访问Blob，彻底避免SAS Token的问题：

1. 给Kusto集群配置系统分配托管身份，授予该身份存储账户的Blob数据读取权限。
2. 修改Kusto Script资源配置，移除sas_token属性，Azure会自动使用托管身份访问Blob：

   resource "azurerm_kusto_script" "kusto-script-execution" {
     force_an_update_when_value_changed = filesha1("${path.module}/scripts/my-script.tftpl")
     name                               = "script-execution"
     database_id                        = ***
     url                                = azurerm_storage_blob.table-creation-scripts.id
     continue_on_errors_enabled         = false
   
     depends_on = [
       azurerm_storage_blob.table-creation-scripts
     ]
   }
   

   这种方式从根源上消除了SAS Token变更带来的问题，同时提升了资源访问的安全性。

内容的提问来源于stack exchange，提问作者Kzryzstof