如何在单份Terraform脚本中配置两个Container Registry

两次操作触发重复条目报错本质都是资源命名冲突：

• 直接复制module改名称后报错：仅修改了module块的本地调用名，没有调整传入module的、云平台要求全局/同项目下唯一的资源标识字段，比如CR实例名称、绑定的IAM角色名、网络访问策略名等，云侧校验到重名会直接拦截创建。
• 给原有module加count=2后报错：没有给count生成的两个实例分配差异化配置，module内写死的各类资源命名被两个实例完全共用，本质还是重名问题。

方案一：拆分两个独立module块（适配迁移场景，最稳妥） #

不要直接复制原有module块仅改调用名，要给新老CR配置完全独立的唯一标识参数：

• 给新CR分配和旧CR不重复的全局唯一实例名
• 给新CR关联的所有附属资源（CMK权限绑定、日志配置、网络规则绑定资源）设置独立命名后缀，比如旧资源统一带-legacy后缀，新资源统一带-cmk后缀
• 新CR模块单独开启客户管理密钥加密配置，关联提前创建好的CMK密钥

参考配置片段：

# 旧CR实例，迁移完成后可删除
module "cr_legacy" {
  source              = "./modules/container-registry"
  registry_name       = "app-image-registry-legacy"
  resource_suffix     = "-legacy"
  # 保持原有旧CR的所有配置，不启用CMK
}

# 新CR实例，启用客户管理密钥加密
module "cr_cmk" {
  source              = "./modules/container-registry"
  registry_name       = "app-image-registry-cmk"
  resource_suffix     = "-cmk"
  cmk_encryption_enabled = true
  cmk_key_arn         = "arn:xxx:your-cmk-key-arn"
  # 按需配置和旧CR一致的访问权限、网络规则
}

操作流程：先执行terraform plan确认资源计划无冲突，再执行terraform apply完成两个CR的部署；确认新CR的CMK加密配置生效、镜像同步完成、业务流量全部切到新CR之后，再把旧CR对应的module块从脚本中移除，再次执行terraform apply删除旧仓库即可。

方案二：使用for_each迭代部署（适合不想重复写module块的场景） #

不要直接给原有module硬加count=2，将两个CR的差异化配置整理为map类型变量，用for_each做迭代部署（比count稳定性更高，不会因为实例顺序变化触发不必要的资源重建），确保每个实例的唯一标识字段不重复。
参考配置片段：

locals {
  cr_instances = {
    legacy = {
      name           = "app-image-registry-legacy"
      cmk_enabled    = false
      cmk_arn        = null
      suffix         = "-legacy"
    }
    cmk = {
      name           = "app-image-registry-cmk"
      cmk_enabled    = true
      cmk_arn        = "arn:xxx:your-cmk-key-arn"
      suffix         = "-cmk"
    }
  }
}

module "container_registry" {
  for_each            = local.cr_instances
  source              = "./modules/container-registry"
  registry_name       = each.value.name
  resource_suffix     = each.value.suffix
  cmk_encryption_enabled = each.value.cmk_enabled
  cmk_key_arn         = each.value.cmk_arn
  # 通用配置统一写在此处
}

注意：提前确认你使用的CR module本身支持动态命名所有底层资源，不要在module内部硬编码任何资源名称，所有资源命名都要拼接传入的后缀或者registry_name参数，否则还是会触发重名报错。

• 每次执行apply前必须先跑terraform plan，确认两个CR及其附属资源的地址完全独立，无资源冲突、意外替换的提示再执行变更
• 新CR启用CMK前，要提前给CR的服务账号授予对应CMK的加密、解密权限，否则会因为权限不足导致CR创建失败
• 迁移验证完成前不要提前删除旧CR，避免镜像拉取失败影响线上业务

内容的提问来源于stack exchange，提问作者Asterix