如何用Terraform将多个现有Azure策略分配给多资源组

背景 #

使用开源Terraform对接Azure平台，需将多个预定义的策略ID动态分配给数量可变的资源组（dev环境1个，其他环境2个）。

已定义的变量与资源组 #

策略ID列表变量：

variable "existing_policy_ids" {
  type        = list(string)
  description = "预定义的Azure策略ID列表"
  default     = [
    "policy-id1",
    "policy-id2",
    "policy-id3",
    # ... 其余7个策略ID
  ]
}

动态创建的资源组：

resource "azurerm_resource_group" "my-rg" {
  count    = var.environment == "dev" ? 1 : 2
  name     = "my-rg-${count.index}"
  location = var.rg_location
}

遇到的问题 #

原尝试的代码仅按资源组数量循环，无法覆盖所有策略ID：

resource "azurerm_resource_group_policy_assignment" "assign-policy" {
  count                = length(azurerm_resource_group.my-rg.id)
  name                 = "${azurerm_resource_group.my-rg[count.index].name}"
  policy_definition_id = var.existing_policy_id[count.index]  # 仅循环1/2次，无法遍历全部10个策略
  resource_group_id    = azurerm_resource_group.my-rg[count.index].id   # 每个循环仅绑定1个策略到1个资源组
}

需求是每个创建的资源组绑定所有existing_policy_ids中的策略，需调整代码逻辑。

解决方案 #

通过setproduct函数生成资源组与策略的笛卡尔积，再用for_each遍历所有组合，实现全量绑定：

完整代码 #

# 生成资源组ID与策略ID的笛卡尔积（所有组合）
locals {
  rg_policy_pairs = setproduct(
    azurerm_resource_group.my-rg[*].id,
    var.existing_policy_ids
  )
}

# 为每个资源组-策略组合创建绑定
resource "azurerm_resource_group_policy_assignment" "assign-policy" {
  for_each = {
    # 生成唯一键：资源组名称 + 策略ID后缀，避免重复
    for pair in local.rg_policy_pairs :
    "${basename(pair[0])}-${basename(pair[1])}" => pair
  }

  name                 = "policy-assign-${each.key}"
  policy_definition_id = each.value[1]
  resource_group_id    = each.value[0]
}

关键逻辑说明 #

• setproduct：将资源组ID列表与策略ID列表进行笛卡尔积运算，比如2个资源组+10个策略会生成20个[资源组ID, 策略ID]的组合，确保每个资源组对应所有策略。
• for_each：使用组合的唯一标识作为键，相比count更稳定，不会因资源顺序变化导致不必要的重建。
• basename：提取资源组ID和策略ID的末尾部分，生成简洁且唯一的绑定名称，符合Azure资源命名规范。

补充：变量的规范定义 #

确保变量符合Terraform语法要求，避免报错：

variable "environment" {
  type        = string
  description = "部署环境标识（如dev/prod）"
}

variable "rg_location" {
  type        = string
  description = "资源组所在Azure区域"
}

内容的提问来源于stack exchange，提问作者Zee A