Terraform全新apply时for_each引用未知子网ID报错解决

报错的核心逻辑是Terraform执行规则限制：for_each的键集合必须在plan阶段完全确定，不允许出现长度未知的集合。
你之前用aws_subnets数据源反查模块创建的子网，在全新全量部署场景下，plan阶段VPC和子网还没实际创建，数据源既无法确定返回的子网数量，也无法获取子网ID，返回值是完全的未知值，自然无法给for_each提供确定的键集合。
你之前添加的depends_on写法本身不符合Terraform语法要求：depends_on只能引用完整的资源、模块对象，不能引用对象的内部属性；就算修正依赖写法，也解决不了数据源在plan阶段查未创建资源的问题，依然会报相同错误。

你使用的VPC模块本身已经直接暴露了所有子网的ID、ARN属性，完全不需要绕路用数据源查询，从根源上避免未知值问题。
核心思路是：你自己定义子网配置时，用静态字符串作为for_each的键（比如可用区名称、业务标识），确保plan阶段就能确定资源数量，子网ARN等动态值从模块输出中取，等apply阶段自动填充即可。
参考代码如下：

# 静态定义dev环境子网配置，键为可用区，plan阶段即可确定子网总数量
locals {
  dev_private_subnets = {
    "ca-central-1a" = {
      cidr_block = "10.0.0.0/24"
    }
    "ca-central-1b" = {
      cidr_block = "10.0.1.0/24"
    }
    "ca-central-1c" = {
      cidr_block = "10.0.2.0/24"
    }
  }
}

# VPC模块直接引用本地静态配置创建子网
module "vpc" {
  source  = "terraform-aws-modules/vpc/aws"
  version = "~> 5.0"

  # 省略VPC基础配置（CIDR、VPN网关等）
  azs             = keys(local.dev_private_subnets)
  private_subnets = [for s in values(local.dev_private_subnets) : s.cidr_block]

  # 给dev子网打对应标签
  private_subnet_tags = {
    Environment = "dev"
  }
}

# 创建RAM资源共享
resource "aws_ram_resource_share" "dev_subnet_share" {
  name                      = "dev-account-subnet-share"
  allow_external_principals = true
}

# 关联共享目标账号
resource "aws_ram_principal_association" "dev_account" {
  resource_share_arn = aws_ram_resource_share.dev_subnet_share.arn
  principal          = var.dev_account_id # 替换为待共享的目标账号ID
}

# 创建子网RAM关联，for_each用静态定义的子网键，plan阶段可确定实例数量
resource "aws_ram_resource_association" "dev_subnet" {
  for_each = local.dev_private_subnets

  resource_arn       = module.vpc.private_subnet_arns[index(keys(local.dev_private_subnets), each.key)]
  resource_share_arn = aws_ram_resource_share.dev_subnet_share.arn
}

这种写法不需要分阶段执行，全新terraform apply可以一次性跑完所有资源，没有plan阶段的未知值报错。

如果现有VPC模块配置已经固化无法修改，必须用数据源反查子网，可以通过分阶段target执行绕过：

• 第一次执行仅创建VPC和子网资源：terraform apply -target=module.vpc
• 等子网创建完成后，执行全量terraform apply，此时数据源可以查询到已存在的子网，for_each可以正常计算键集合。

注意：该方案需要人工拆分执行步骤，无法在全自动化CI/CD流水线中直接使用，优先选择直接引用模块输出的方案。

内容的提问来源于stack exchange，提问作者Jason Stanley