Terraform配置Azure Windows函数应用auth_settings的active_directory报错解决

错误原因 #

你遇到的问题是因为active_directory是auth_settings下的嵌套块类型，而非参数。Terraform不允许通过active_directory = var.xxx这种参数赋值的方式声明块，必须使用嵌套块的语法来定义。

正确配置方式 #

1. 定义模块变量

首先在模块中定义对应active_directory配置的对象类型变量，包含你需要的所有属性：

variable "auth_active_directory" {
  type = object({
    client_id         = string
    client_secret     = string
    allowed_audiences = list(string)
    # 根据需求添加其他属性，比如 issuer、issuer_validate_inbound等
  })
  description = "Active Directory认证配置参数"
  nullable    = false
}

2. 在资源中嵌套active_directory块

在azurerm_windows_function_app的auth_settings块内，直接嵌套active_directory块，并将变量的属性逐个传入：

resource "azurerm_windows_function_app" "main" {
  # 函数应用必填属性（名称、资源组、服务计划等）
  name                       = var.function_app_name
  resource_group_name        = var.resource_group_name
  service_plan_id            = var.service_plan_id
  storage_account_name       = var.storage_account_name
  storage_account_access_key = var.storage_account_access_key

  auth_settings {
    enabled = true # 必须启用认证配置，否则嵌套块不生效

    # 嵌套active_directory块，替代参数赋值的写法
    active_directory {
      client_id         = var.auth_active_directory.client_id
      client_secret     = var.auth_active_directory.client_secret
      allowed_audiences = var.auth_active_directory.allowed_audiences
      # 其他属性按需添加，比如 issuer = "https://sts.windows.net/your-tenant-id/"
    }
  }
}

3. 可选：支持动态启用AD认证

如果需要根据变量决定是否启用AD认证，可以使用动态块实现：

# 调整变量为可选
variable "auth_active_directory" {
  type = object({
    client_id         = string
    client_secret     = string
    allowed_audiences = list(string)
  })
  description = "可选的Active Directory认证配置参数"
  nullable    = true
  default     = null
}

variable "auth_enabled" {
  type        = bool
  description = "是否启用函数应用认证"
  default     = false
}

# 资源块中的动态配置
resource "azurerm_windows_function_app" "main" {
  # 函数应用必填属性...

  auth_settings {
    enabled = var.auth_enabled

    # 仅当auth_active_directory非空时，创建active_directory块
    dynamic "active_directory" {
      for_each = var.auth_active_directory != null ? [var.auth_active_directory] : []
      content {
        client_id         = active_directory.value.client_id
        client_secret     = active_directory.value.client_secret
        allowed_audiences = active_directory.value.allowed_audiences
      }
    }
  }
}

注意事项 #

• 确保使用的AzureRM Provider版本与配置属性匹配，不同版本的active_directory块可能有不同的必填/可选属性。
• client_secret建议使用敏感变量存储，避免明文暴露，可在变量中添加sensitive = true。

内容的提问来源于stack exchange，提问作者michasaucer