Terraform用for_each+dynamic块创建Azure存储共享时的属性错误排查

结合你使用的Terraform 0.12.26和Azurerm 2.26.0版本，这个报错的核心原因是类型不匹配和数据结构定义不严谨，导致Terraform无法正确识别acl.value的类型，同时混淆了字符串与对象类型。下面拆解具体原因和对应的解决方法：

一、问题根源 #

1. 变量结构不一致：如果你的存储共享配置中，部分条目用字符串表示acl（比如空字符串），部分用对象列表，Terraform的类型推断会混乱，错误地把acl.value识别为字符串而非预期的对象。
2. acl块的结构不符合Provider要求：Azurerm 2.26.0中azurerm_storage_share的acl块要求每个条目必须包含id、access_policy（包含start、expiry、permission）等属性，若你的配置中缺少这些字段，或者格式错误，就会触发属性缺失的报错。
3. for_each与dynamic块的结合逻辑问题：在dynamic块中遍历acl时，若没有处理空值（比如不需要acl的共享），可能会遍历到非列表类型的值，导致类型冲突。

二、解决步骤 #

1. 标准化存储共享的配置结构 #

首先，明确定义变量的类型，确保所有共享的acl字段要么是符合要求的对象列表，要么是null（而非空字符串或其他类型）。示例变量定义：

variable "storage_shares" {
  type = map(object({
    name                 = string
    quota                = number
    # 明确acl的结构：列表类型，每个元素是包含id和access_policy的对象
    acl = list(object({
      id             = string
      access_policy = object({
        start       = string
        expiry      = string
        permission  = string
      })
    }))
  }))
  default = {
    share1 = {
      name  = "share1"
      quota = 50
      acl = [
        {
          id = "user1"
          access_policy = {
            start      = "2024-01-01T00:00:00Z"
            expiry     = "2025-01-01T00:00:00Z"
            permission = "rwdl"
          }
        }
      ]
    },
    share2 = {
      name  = "share2"
      quota = 100
      acl   = [] # 无acl时用空列表，而非null或字符串
    }
  }
}

2. 正确编写dynamic acl块 #

在azurerm_storage_share资源中，使用dynamic块遍历acl时，要确保只遍历有效的列表对象，避免类型冲突：

resource "azurerm_storage_share" "example" {
  for_each             = var.storage_shares
  name                 = each.value.name
  storage_account_name = azurerm_storage_account.example.name
  quota                = each.value.quota

  # 动态生成acl块：仅当acl列表非空时创建
  dynamic "acl" {
    for_each = each.value.acl
    content {
      id             = acl.value.id
      access_policy {
        start       = acl.value.access_policy.start
        expiry      = acl.value.access_policy.expiry
        permission  = acl.value.access_policy.permission
      }
    }
  }
}

3. 处理无ACL的共享场景 #

如果部分共享不需要ACL，建议将其acl字段设为空列表而非null（Terraform 0.12对null的处理在dynamic块中可能需要额外判断）。若一定要用null，可修改dynamic块的for_each逻辑：

dynamic "acl" {
  for_each = each.value.acl != null ? each.value.acl : []
  # 后续content块不变
}

4. 验证类型一致性 #

运行terraform validate命令检查配置的类型错误，这能快速发现变量结构与资源块不匹配的问题。如果仍有报错，可通过terraform console查看变量的实际类型，比如执行var.storage_shares["share1"].acl来确认其类型是否为预期的对象列表。

三、额外注意事项 #

• Terraform 0.12.26属于较旧版本，对复杂类型的推断能力不如新版本，尽量保证变量结构的严格一致性，避免混合类型。
• Azurerm 2.26.0的azurerm_storage_share的acl块不支持嵌套的动态块之外的写法，必须严格按照Provider文档的结构配置。

内容的提问来源于stack exchange，提问作者Liquid