Terraform中如何仅在条件匹配时为资源块分配变量

尝试为Teleport角色的kubernetes_labels仅在条件满足时设置label_1，当前配置如下：

resource "teleport_role" "test_role" {
  spec = {
    allow = {
      kubernetes_labels = {
        "label_1" = "${local.some_var == "something" ? ["value_1"] : null}"
      }
    }
  }
}

当条件不满足时，terraform plan显示该键被设为null：

+ "label_1" = null

执行terraform apply时触发报错：

│ When applying changes to teleport_role.test_role, provider
│ "provider[\"terraform.releases.teleport.dev/gravitational/teleport\"]"
│ produced an unexpected new value:
│ .spec.allow.kubernetes_labels["label_1"]: was null, but now
│ cty.ListVal([]cty.Value{cty.StringVal("")}).

问题核心：null值无法让label_1键被忽略，反而会被provider转换为空列表，导致报错。需要实现类似Python的条件赋值逻辑——仅当条件为true时才添加该键值对。

使用条件式映射合并，仅在条件满足时将label_1加入kubernetes_labels映射：

resource "teleport_role" "test_role" {
  spec = {
    allow = {
      kubernetes_labels = merge(
        # 基础空映射，可添加其他固定标签
        {},
        # 条件判断：满足时加入label_1，否则加入空映射
        local.some_var == "something" ? {
          "label_1" = ["value_1"]
        } : {}
      )
    }
  }
}

原理说明 #

• 当local.some_var == "something"为true时，merge会将包含label_1的映射与空基础映射合并，最终kubernetes_labels包含该键。
• 当条件为false时，合并的是空映射，kubernetes_labels中不会出现label_1键，完全符合需求。

这种方式避免了使用null占位，确保只有满足条件的键才会被传递给Teleport provider，从根源上解决报错问题。

内容的提问来源于stack exchange，提问作者codersofthedark