Terraform基于Managed Identity的条件部署失效，depends_on不生效问题排查

你的错误点 #

你误用了depends_on属性——它的作用仅控制资源创建的先后依赖顺序，完全不能用来决定资源是否被实例化。不管local.conditional_value的值是0还是1，这个本地值始终存在，Terraform还是会尝试创建azurerm_role_assignment资源，当var.managed_id为空或null时，必然会因为参数无效报错。

正确实现方式 #

要实现"当Managed Identity ID为空/null时忽略角色分配"的需求，核心是通过for_each的条件判断来动态控制资源实例的数量：当不需要创建时，让for_each指向一个空集合，Terraform就不会生成任何该资源的实例。

代码示例 #

data "azurerm_subscription" "primary" {}

resource "azurerm_role_assignment" "assignmipermissions" {
  # 仅当managed_id非空且非null时，使用var.adls作为遍历集合；否则用空集合
  for_each = (coalesce(var.managed_id, "") != "") ? toset(var.adls) : toset([])

  scope                = "/subscriptions/${data.azurerm_subscription.primary.subscription_id}/resourceGroups/${var.resourcegpname}/providers/Microsoft.Storage/storageAccounts/${var.resource}"
  role_definition_name = "Storage Blob Data Reader"
  principal_id         = var.managed_id 
}

关键细节说明 #

• coalesce函数：用来处理var.managed_id为null的情况，将其转换为空字符串，统一判断逻辑
• toset函数：如果var.adls是列表类型，需要转成集合才能用于for_each（Terraform要求for_each的遍历对象必须是map或set）
• 空集合控制：当managed_id无效时，for_each指向空集合，该资源不会被部署，完美兼容两种场景

内容的提问来源于stack exchange，提问作者csuser