如何在Terraform中搭配templatefile使用policy_definition_reference配置Azure策略

你的原有配置存在两个核心问题：

1. 单个policy_definition_reference块的parameter_values参数仅接受当前策略对应的参数JSON字符串，你传入了包含两条策略参数的完整数组，格式不符合要求
2. 手动重复编写policy_definition_reference块维护性差，不适合多策略场景

步骤1：调整标签策略配置文件结构 #

统一将所有标签策略的元信息存放在tag_definitions.json中，方便后续批量维护：

[
  {
    "policyDefinitionId": "/providers/Microsoft.Authorization/policyDefinitions/XXXXXXX-XXXXXXX",
    "tagName": "cost_center",
    "tagValueVar": "cost_center"
  },
  {
    "policyDefinitionId": "/providers/Microsoft.Authorization/policyDefinitions/XXXXXXXXX",
    "tagName": "common.env_type",
    "tagValueVar": "env_type"
  }
]

如果所有标签策略共用同一个内置追加标签的策略定义ID，可以将ID从JSON中移除，直接写在Terraform配置中即可。

步骤2：修改main.tf使用动态块生成策略引用 #

通过Terraform的dynamic块循环读取策略配置，自动生成对应policy_definition_reference块：

locals {
  # 解析标签策略配置文件
  tag_policies = jsondecode(file("${path.module}/templates/tag_definitions.json"))
  # 统一管理所有标签变量映射
  tag_value_map = {
    cost_center = var.cost_center
    env_type    = var.env_type
    # 后续新增标签直接在此处添加变量映射即可
  }
}

resource "azurerm_policy_set_definition" "tag_definition" {
  name         = "${var.subscription_name}-tag-definition"
  display_name = "${var.subscription_name}-tag-definition"
  description  = "Append the default tags definition"
  policy_type  = "Custom"

  dynamic "policy_definition_reference" {
    for_each = local.tag_policies
    content {
      policy_definition_id = policy_definition_reference.value.policyDefinitionId
      # 生成当前策略符合格式要求的参数JSON
      parameter_values = jsonencode({
        tagName = {
          value = policy_definition_reference.value.tagName
        }
        tagValue = {
          value = local.tag_value_map[policy_definition_reference.value.tagValueVar]
        }
      })
    }
  }

  metadata = <<METADATA
    { "category" : "Tags" }
  METADATA
  lifecycle { ignore_changes = [metadata] }
}

验证 #

执行terraform plan检查配置，确认策略引用和参数渲染符合预期后再执行应用即可。后续新增标签策略仅需在tag_definitions.json中添加对应条目，在tag_value_map中补充变量映射即可，无需修改资源块核心逻辑。

内容的提问来源于stack exchange，提问作者Pradeep