基于区域切换Principal ID的Terraform角色分配实现方案咨询

DevOps 小满

2026-9-29

Terraform 按区域动态切换Principal ID实现角色分配方案

1. 确认geo变量定义

首先显式定义geo变量，支持从环境变量TF_VAR_geo读取值，示例配置：

variable "geo" {
  type        = string
  description = "部署区域标识，cn代表中国区，其他值代表全球区"
  default     = "global"
}

2. 新增条件选择的本地值

在你的locals块里新增一个selected_principal_ids本地值，用三元条件表达式实现区域判断切换：

locals {
  # 你原有已定义的两个本地值
  principal_ids    = jsondecode(file("${path.module}/global_principals.json"))
  principal_ids_cn = jsondecode(file("${path.module}/cn_principals.json"))

  # 新增动态选择逻辑
  selected_principal_ids = var.geo == "cn" ? local.principal_ids_cn : local.principal_ids
}

3. 替换角色分配资源中的Principal ID引用

把你现有的azurerm_role_assignment的custom和builtin两类资源里，原来引用区域Principal ID的位置，统一替换为local.selected_principal_ids即可，示例：

# 内建角色分配示例
resource "azurerm_role_assignment" "builtin" {
  for_each             = toset(local.selected_principal_ids)
  scope                = azurerm_resource_group.example.id
  role_definition_name = "Contributor"
  principal_id         = each.value
}

# 自定义角色分配示例
resource "azurerm_role_assignment" "custom" {
  for_each             = toset(local.selected_principal_ids)
  scope                = azurerm_resource_group.example.id
  role_definition_name = "Custom_Permission_Role"
  principal_id         = each.value
}