Terraform如何在depends_on块中使用for_each变量索引对应依赖资源

问题场景 #

使用Terraform向Proxmox部署虚拟机前，需要通过SSH仅传输当前待部署实例对应的cloud-init配置文件，无需等待所有实例的配置都传输完成。尝试在同for_each的资源块中用each.key作为depends_on的索引时触发语法错误。

错误复现 #

1. 传输cloud-init配置的null_resource定义 #

resource "null_resource" "transfer_cloud_init" {
  # 用timestamp作为触发器，让该资源每次执行都重新传输配置，不复用历史状态
  for_each = var.instances
  triggers = {
    build_number = "${timestamp()}"
  }
  connection {
    type        = "ssh"
    user        = "root"
    private_key = file("~/.ssh/id_ed25519")
    agent       = false
    host        = "pve1.example.com"
    port        = 22
  }
  provisioner "file" {
    source      = "files/rendered-templates/cloud_init_ub2004-${each.key}.yaml"
    destination = "/mnt/pve/cloudinit/snippets/cloud_init_ub2004-${each.key}.yaml"
  }
}

2. 错误的虚拟机资源依赖写法 #

resource "proxmox_vm_qemu" "proxmox_vm" {
  for_each = var.instances
  # 尝试为每个实例指定对应的传输资源依赖，触发报错
  depends_on = [
    null_resource.transfer_cloud_init["${each.key}"]
  ]
  # 其余VM配置省略
}

报错信息 #

╷
│ Error: Invalid expression
│
│   on main.tf line 90, in resource "proxmox_vm_qemu" "proxmox_vm":
│   90:         null_resource.transfer_cloud_init["${each.key}"]
│
│ A single static variable reference is required: only attribute access and indexing with constant keys. No
│ calculations, function calls, template expressions, etc are allowed here.

根因说明 #

depends_on是Terraform的元参数，设计上要求必须使用完全静态的资源引用，不支持动态计算的索引、插值、函数调用等表达式，因此无法直接用each.key作为索引在depends_on中指定一对一的依赖。

解决方案 #

无需使用显式的depends_on，改为通过隐式属性引用建立依赖关系，隐式引用支持动态索引，Terraform会自动为每个VM实例匹配对应的传输资源，实现仅等待当前实例配置传输完成的需求。
修改后的虚拟机资源写法如下：

resource "proxmox_vm_qemu" "proxmox_vm" {
  for_each = var.instances
  # 其余VM配置保持不变
  # 新增标签字段，引用对应传输资源的触发器属性，建立隐式依赖
  tags = [null_resource.transfer_cloud_init[each.key].triggers.build_number]
  lifecycle {
    # 忽略标签变动，避免每次timestamp更新触发VM重建，仅重新执行配置传输
    ignore_changes = [tags]
  }
}

该方案既满足了每个VM实例仅等待自身对应cloud-init配置传输完成的需求，也符合原设计中每次执行都重新传输配置的逻辑，不会触发不必要的VM重建。

内容的提问来源于stack exchange，提问作者Lethargos