使用Terraform从CSV读取用户加入Azure AD组及重复UPN报错处理

报错的核心原因是你在for表达式中直接使用AzureUserPrincipalName作为映射键，而同一个用户UPN会对应CSV中多条不同组的记录，导致键重复冲突。

步骤1：读取CSV文件生成本地变量 #

首先添加本地变量块加载CSV数据，同时提取去重的用户列表和组列表：

# 读取CSV文件
locals {
  raw_users = csvdecode(file("${path.module}/users.csv")) # 替换为你的CSV文件实际路径
  # 去重的用户UPN列表，用于查询用户ID
  unique_user_upns = distinct([for user in local.raw_users : user.AzureUserPrincipalName])
  # 去重的Azure组列表，用于批量创建组
  unique_groups = distinct([for user in local.raw_users : user.AzureGroup])
}

步骤2：去重查询Azure AD用户 #

避免同一个用户重复查询AD接口，降低请求量同时避免冗余配置：

data "azuread_user" "user" {
  for_each            = toset(local.unique_user_upns)
  user_principal_name = each.key
}

步骤3：批量创建所有Azure AD组（可选，替代硬编码单个组） #

无需为每个组单独写资源块，自动基于CSV中的组名批量创建：

resource "azuread_group" "ad_group" {
  for_each         = toset(local.unique_groups)
  display_name     = each.value
  security_enabled = true
}

步骤4：修复组成员资源的重复键问题 #

使用组名+用户UPN的组合作为for_each的唯一键，确保每个「组-用户」对应关系的键全局唯一：

resource "azuread_group_member" "member" {
  # 用组合键避免重复：组名:用户UPN
  for_each = { for user in local.raw_users : "${user.AzureGroup}:${user.AzureUserPrincipalName}" => user }

  group_object_id  = azuread_group.ad_group[each.value.AzureGroup].id
  member_object_id = data.azuread_user.user[each.value.AzureUserPrincipalName].id
}

如果你需要保留硬编码单个组的写法 #

针对你原本只处理api-jnk-cld-ops组的代码，仅修改for_each部分即可：

resource "azuread_group_member" "member" {
  # 即使过滤单个组，也用组合键保证后续扩展不会出问题
  for_each = { for user in local.raw_users : "${user.AzureGroup}:${user.AzureUserPrincipalName}" => user if user.AzureGroup == "api-jnk-cld-ops" }
  
  group_object_id  = azuread_group.api-jnk-cld-ops.id
  member_object_id = data.azuread_user.user[each.value.AzureUserPrincipalName].id
}

如果你的CSV中AzureUserId字段是准确可信的，可以直接使用该字段作为member_object_id的值，省去查询azuread_user数据源的步骤，进一步简化配置。

内容的提问来源于stack exchange，提问作者hashim vayalar