Terraform templatefile遍历对象Map生成YAML文件报错解决

问题根因 #

• 模板语法标记错误：Terraform v1.2.2模板控制流的标准起始标记为%{，用于去除前后空白的~符号必须写在大括号内部，格式为%{ for ... ~}。原有代码写的%{~ for会让Terraform将~识别为位运算符，直接触发"不支持位运算符"的报错。
• 类型不匹配：kubernetes_manifest资源的manifest字段要求传入结构化的map/object类型参数，原有代码直接将templatefile渲染生成的YAML字符串传入，会触发字符串到map的反序列化失败，也就是报错can't unmarshal tftypes.String into *map[string]tftypes.Value的核心原因。
• 逻辑冗余错误：定义的serviceName变量本身已经是map(object)结构，不需要额外调用zipmap函数做键值映射转换，重复转换会导致遍历逻辑错乱。

推荐实现方案（无模板依赖，零语法问题） #

直接通过HCL原生结构定义资源，配合for_each批量生成，完全规避模板渲染、字符串转对象的各类问题，适配Terraform v1.2.2版本。

1. 变量定义（variables.tf） #

variable "services" {
  type = map(object({
    app_selector = string       # 对应spec.selector.matchLabels.app的取值
    ports        = list(string) # 对应服务端口列表，支持1-3个任意数量
  }))
  default = {
    # 按格式填写全部50个服务的配置即可
    order-service = {
      app_selector = "order-service"
      ports        = ["8080", "9090"]
    }
    user-service = {
      app_selector = "user-service"
      ports        = ["80"]
    }
  }
}

2. 批量资源定义（main.tf） #

resource "kubernetes_manifest" "calico_global_network_policy" {
  for_each = var.services

  manifest = {
    apiVersion = "projectcalico.org/v3"
    kind       = "GlobalNetworkPolicy"
    metadata = {
      name = each.key # 对应metadata.name，可按需调整命名规则
    }
    spec = {
      selector = "app == '${each.value.app_selector}'"
      types    = ["Ingress", "Egress"] # 替换为你原有固定配置
      order    = 1000 # 替换为你原有固定配置
      # 按你原有YAML的固定结构补全所有规则，下面是入站规则示例
      ingress = [
        {
          action      = "Allow"
          protocol    = "TCP"
          source      = {} # 替换为你原有固定源端配置
          destination = {
            ports = each.value.ports
          }
        }
      ]
      egress = [] # 替换为你原有固定出站规则配置
    }
  }
}

可选方案（基于templatefile模板的修正写法） #

如果必须使用外部模板文件，按如下方式修正语法和类型转换逻辑：

1. 修正后的模板文件（networkfile.yaml.tpl） #

%{ for s_key, s_val in services ~}
---
apiVersion: projectcalico.org/v3
kind: GlobalNetworkPolicy
metadata:
  name: ${s_key}
spec:
  selector: "app == '${s_val.app_selector}'"
  types: ["Ingress", "Egress"]
  order: 1000
  ingress:
    - action: Allow
      protocol: TCP
      destination:
        ports:
%{ for port in s_val.ports ~}
        - ${port}
%{ endfor ~}
# 补全所有固定配置内容
%{ endfor ~}

2. 模板渲染与资源调用逻辑 #

locals {
  # 拆分多文档YAML并解码为结构化对象，过滤空文档
  rendered_policies = [
    for doc in split("---", templatefile("${path.module}/templates/networkfile.yaml.tpl", {
      services = var.services
    }))
    : yamldecode(doc) if trimspace(doc) != ""
  ]
  # 以policy名称为键生成map，供for_each调用
  policy_map = { for pol in local.rendered_policies : pol.metadata.name => pol }
}

resource "kubernetes_manifest" "calico_gnp_from_tpl" {
  for_each = local.policy_map
  manifest = each.value
}

避坑说明 #

• 不要给kubernetes_manifest的manifest字段传YAML/JSON字符串，必须传入HCL原生结构化对象，否则必然触发反序列化报错。
• 模板控制流标记必须严格遵循%{ 逻辑 ~}格式，~符号不能放在大括号外部，否则会被识别为运算符触发语法错误。
• 本身已经是map/list类型的变量，不需要重复调用zipmap、flatten等转换函数，直接遍历即可，避免逻辑错乱。

内容的提问来源于stack exchange，提问作者Eva