Terraform能否同时使用for_each与count实现资源条件启停？

Terraform 规则明确要求同一资源块内for_each与count为互斥参数，不能同时声明。要实现「全局开关控制资源是否启用+遍历配置批量创建子网」的需求，可直接采用以下落地性强的方案，无需同时使用两个参数：

方案1：直接给for_each传入集合增加条件判断（最推荐） #

for_each接收集合类型参数时，只要传入空映射/空集合就不会创建任何资源，完全可以替代count的0/1开关效果，同时保留for_each按key标识资源、不会出现索引偏移重建的优势。
直接删除原代码中的count参数行，修改for_each的赋值逻辑即可，修正后代码如下：

resource "google_compute_subnetwork" "network-ip-ranges" {
  # 删除原count行，通过给for_each传空值实现开关
  for_each      = var.vpc_network_firewall ? var.subnets : {}
  name          = each.key
  ip_cidr_range = each.value.cidr_block
  region        = each.value.region
  project       = google_project.sharedprojects["Shared-Dev-VPC"].number
  network       = google_compute_network.sc_vpc_network.id
}

*注意：如果你的var.subnets是列表类型而非映射类型，需要先转成键值稳定的映射，比如for_each = var.vpc_network_firewall ? {for s in var.subnets : s.name => s} : {}，避免列表顺序变化触发资源重建。

方案2：通过局部值预处理遍历集合（适合多过滤条件场景） #

如果除了全局开关之外，后续还需要增加子网过滤、环境匹配等额外逻辑，可以把遍历集合的处理逻辑抽到局部值中统一维护，避免资源块内逻辑过于冗余：

locals {
  # 所有子网的过滤、开关逻辑统一在这里处理
  filtered_subnets = var.vpc_network_firewall ? var.subnets : {}
}

resource "google_compute_subnetwork" "network-ip-ranges" {
  for_each      = local.filtered_subnets
  name          = each.key
  ip_cidr_range = each.value.cidr_block
  region        = each.value.region
  project       = google_project.sharedprojects["Shared-Dev-VPC"].number
  network       = google_compute_network.sc_vpc_network.id
}

方案3：模块级count开关（适合多关联资源统一启停场景） #

如果这个开关不只是控制子网创建，还要同步控制配套的防火墙规则、路由、服务绑定等一整套关联资源，可以把子网及关联资源封装为独立子模块，在模块调用层用count做全局开关，模块内部正常使用for_each遍历资源：

# 主调用层
module "vpc_subnets" {
  count  = var.vpc_network_firewall ? 1 : 0
  source = "./modules/subnets"
  subnets = var.subnets
  # 其他模块入参
}

# ./modules/subnets 内部的子网资源块
resource "google_compute_subnetwork" "network-ip-ranges" {
  for_each      = var.subnets
  name          = each.key
  ip_cidr_range = each.value.cidr_block
  region        = each.value.region
  # 其余参数保持不变
}

避坑提醒 #

不要为了兼容count把for_each逻辑改成count遍历集合长度的写法：

# 错误示例，会导致资源标识不稳定
count = var.vpc_network_firewall ? length(var.subnets) : 0
name  = keys(var.subnets)[count.index]

这种写法依赖集合的元素顺序，只要子网配置的顺序调整、新增/删除中间位置的子网，就会导致对应位置之后的所有子网被强制销毁重建，生产环境风险极高。

内容的提问来源于stack exchange，提问作者Muneeb Arshad