Terraform调用数据源报资源不存在 云端对应资源实际已存在

问题对应配置 #

当前使用的数据源配置如下（原配置缺少闭合括号，已补全）：

data "azurerm_private_dns_zone" "acr_service" {
  name                = "privatelink.azurecr.io"
  resource_group_name = "it-aue1-cor-arg-privatedns"
}

已知Azure云端对应私有DNS区域、资源组均真实存在，可按以下顺序排查：

• 身份与订阅匹配校验
  首先确认Terraform使用的认证身份（登录账号/服务主体/托管标识）对应的azurerm provider配置，指向的订阅ID和私有DNS区域实际所在订阅完全一致。跨订阅读取资源时如果provider未指定正确订阅ID，会直接返回资源不存在。
  同时确认该身份对目标资源组有Microsoft.Network/privateDnsZones/read权限，Azure RBAC权限不足、Azure策略拦截读请求时，接口不会返回无权限错误，会统一返回资源不存在。
• 参数准确性校验
  逐字符核对两个参数的拼写：确认资源组名it-aue1-cor-arg-privatedns无拼写错误、无复制带来的零宽空格等隐形字符；确认DNS区域名完全匹配privatelink.azurecr.io，末尾没有多余的.（Azure私有DNS区域名末尾加.会被识别为完全不同的资源）。
• Provider与本地缓存校验
  检查当前使用的azurerm provider版本，若版本低于3.0需升级到3.x以上稳定版本，老版本对私有DNS区域的读取接口存在已知兼容问题。
  删除本地项目目录下的.terraform文件夹与.terraform.lock.hcl锁文件，重新执行terraform init拉取正确版本的provider后重试，排除本地缓存脏数据导致的读取异常。
  排查参数覆盖问题：执行Terraform操作前设置环境变量开启debug日志，Linux/macOS执行export TF_LOG=DEBUG，Windows执行set TF_LOG=DEBUG，查看实际发往Azure API的请求参数，确认没有被其他变量、默认值覆盖成错误值。
• Azure侧配置校验
  检查目标私有DNS区域、所属资源组是否配置了只读锁，资源锁在部分场景下会拦截正常读请求返回资源不存在。
  若环境使用Azure Lighthouse做跨租户资源托管，确认当前身份的Lighthouse授权范围覆盖该私有DNS区域，授权缺失时同样会返回资源不存在错误。

内容的提问来源于stack exchange，提问作者Afril