Terraform azurerm_key_vault_certificate创建Key Vault证书新版本方法

启用*软删除（soft delete）与清除保护（purge protection）*的Azure Key Vault，会将删除的对象保留指定时长，保留期内同名对象无法重复创建；同时清除保护开启状态下，无法手动永久删除（purge）处于软删除状态的对象，直接使用原生azurerm_key_vault_certificate资源走默认先删后建的变更逻辑时，必然触发创建报错。

核心逻辑是绕开Terraform azurerm provider对Key Vault证书资源的默认生命周期管理，通过null_resource调用本地Azure CLI命令完成证书导入，避免触发先删后建的流程。

前置准备 #

• 确保Terraform执行身份持有目标Key Vault的证书导入、软删除证书列表查询、证书读取权限
• Terraform执行节点预装可正常鉴权的Azure CLI
• 保留原有Let's Encrypt证书申领、VM证书分发的逻辑不变，仅替换证书写入Key Vault的环节

参考配置代码 #

# 引用目标Key Vault实例
data "azurerm_key_vault" "target" {
  name                = "替换为你的Key Vault名称"
  resource_group_name = "替换为Key Vault所在资源组名称"
}

# 该段为你现有Let's Encrypt证书申领资源，保留原有配置即可，示例为acme provider申领的证书输出
resource "acme_certificate" "app_ssl" {
  # 原有证书申领配置保持不变
  # server_url、common_name、dns_challenge等配置按你的业务场景填写
}

# null_resource实现证书导入
resource "null_resource" "kv_cert_import" {
  # 触发器配置：证书内容或Key Vault变更时，自动重新执行导入逻辑
  triggers = {
    cert_fingerprint = acme_certificate.ssl.certificate_fingerprint
    kv_resource_id   = data.azurerm_key_vault.target.id
  }

  provisioner "local-exec" {
    interpreter = ["bash", "-c"]
    command     = <<EOT
# 定义证书固定前缀
CERT_PREFIX="app-ssl-cert"
# 查询是否存在同名的软删除证书
DELETED_CERT=$(az keyvault certificate list-deleted --vault-name ${data.azurerm_key_vault.target.name} --query "[?starts_with(name, '$CERT_PREFIX')].name | [0]" -o tsv)

# 开启purge protection时无法立即清除软删除证书，直接给新证书加时间戳后缀避免重名
NEW_CERT_NAME="${CERT_PREFIX}-$(date +%Y%m%d%H%M)"

# 执行证书导入
az keyvault certificate import \
  --vault-name ${data.azurerm_key_vault.target.name} \
  --name $NEW_CERT_NAME \
  --file ${acme_certificate.app_ssl.certificate_p12_path} \
  --password "${acme_certificate.app_ssl.certificate_p12_password}" \
  --tags "managed-by=terraform" "expire-at=${acme_certificate.app_ssl.expiry_date}"
EOT
  }
}

后续适配要点 #

• 证书分发到VM的环节，不要硬编码固定证书名称，通过Key Vault查询标签为managed-by=terraform的证书，按expire-at标签取最新未过期的版本拉取即可
• 可以配置定期清理任务，自动删除Key Vault中已经过期的历史版本证书，避免证书数量无限增长

如果不想通过调用CLI的方式实现，可以直接调整原生azurerm_key_vault_certificate资源的命名规则，给证书名称增加动态后缀（比如证书生效时间戳、证书指纹片段），每次证书更新时生成全新的资源名称，不会触发同名资源的先删后建逻辑，完全符合Terraform声明式管理的设计，稳定性高于null_resource方案。
示例配置片段：

resource "azurerm_key_vault_certificate" "app_ssl" {
  name         = "app-ssl-${sha256(acme_certificate.app_ssl.certificate_p12):0:8}"
  key_vault_id = data.azurerm_key_vault.target.id
  # 其余证书配置保持不变
  certificate {
    contents = acme_certificate.app_ssl.certificate_p12
    password = acme_certificate.app_ssl.certificate_p12_password
  }
}

内容的提问来源于stack exchange，提问作者Evgenii Fedosov