Terraform销毁azurerm_resource_group_template_deployment时依赖错误排查

Terraform的azurerm_resource_group_template_deployment资源不会解析ARM模板内部的嵌套资源依赖关系。当你通过该部署创建Healthcare Workspace及其下的DICOM服务时，Terraform仅将整个部署视为单一管理单元，销毁时会直接尝试删除顶层的Workspace资源，完全忽略它依赖的DICOM服务子资源。而Azure本身禁止直接删除包含子资源的Healthcare Workspace，因此返回409（CannotDeleteResource）错误。

方法1：拆分资源，使用Terraform原生资源定义 #

放弃ARM模板的嵌套部署方式，直接用Terraform的Azure原生资源分别定义Workspace和DICOM服务。这种方式下，Terraform会自动识别资源间的父子依赖，销毁时会先删除DICOM服务，再删除Workspace：

resource "azurerm_resource_group" "example" {
  name     = "example-rg"
  location = "eastus"
}

resource "azurerm_healthcareapis_workspace" "example" {
  name                = "example-workspace"
  resource_group_name = azurerm_resource_group.example.name
  location            = azurerm_resource_group.example.location
}

resource "azurerm_healthcareapis_dicom_service" "example" {
  name                  = "example-dicom"
  workspace_id          = azurerm_healthcareapis_workspace.example.id
  identity {
    type = "SystemAssigned"
  }
}

方法2：修改ARM模板，配置自动清理子资源 #

如果必须使用ARM模板部署，可在模板中为Workspace添加自动清理子资源的配置，确保删除Workspace前先移除所有子资源：

1. 在ARM模板的Workspace资源定义里，添加properties.deleteResourcesOnDeletion属性并设为true，Azure会在删除Workspace时自动清理其下的所有子资源：

{
  "type": "Microsoft.HealthcareApis/workspaces",
  "apiVersion": "2023-02-28",
  "name": "[parameters('workspaceName')]",
  "location": "[parameters('location')]",
  "properties": {
    "deleteResourcesOnDeletion": true
  },
  "resources": [
    {
      "type": "dicomServices",
      "apiVersion": "2023-02-28",
      "name": "[parameters('dicomServiceName')]",
      "dependsOn": [
        "[resourceId('Microsoft.HealthcareApis/workspaces', parameters('workspaceName'))]"
      ],
      "properties": {
        "authenticationConfiguration": {
          "authority": "[parameters('aadAuthority')]",
          "audience": "[parameters('aadAudience')]",
          "smartProxyEnabled": false
        },
        "corsConfiguration": {
          "allowCredentials": false,
          "headers": ["*"],
          "methods": ["DELETE", "GET", "OPTIONS", "PATCH", "POST", "PUT"],
          "maxAge": 0,
          "origins": ["*"]
        }
      }
    }
  ]
}

2. 重新执行terraform apply更新部署，之后再执行terraform destroy时，Azure会自动处理子资源的删除顺序。

方法3：临时手动干预销毁顺序 #

如果需要快速解决当前的销毁错误，可以先手动删除DICOM服务，再执行Terraform销毁：

1. 用Azure CLI删除DICOM服务：

az healthcareapis dicom-service delete --resource-group <你的资源组名> --workspace-name <Workspace名称> --name <DICOM服务名称>

2. 运行terraform destroy完成剩余资源的清理。

内容的提问来源于stack exchange，提问作者bandarlogen