Terraform遍历locals.tf的ACL规则创建aws_network_acl报错如何解决

你的代码存在4个核心问题：

• 资源逻辑错误：aws_network_acl是VPC下的单个ACL实例，不能通过for_each遍历规则生成多个ACL实例，你的需求是为同一个ACL添加多条出站规则，而非创建多个ACL
• 语法错误：egress参数要求传入对象列表，每条规则需要用{}包裹，且键值对之间需要用逗号分隔，你的原始写法缺少大括号与分隔符
• 变量引用错误：locals.tf中定义的规则列表名为webapp，但你在main.tf中错误引用了locals.posttrade，属于笔误
• 必填参数缺失：ACL规则必须指定cidr_block（或ipv6_cidr_block）参数，你的原始代码未配置该必填项

推荐两种实现方式，可根据场景选择：

方案1：使用动态块在ACL资源内生成规则 #

适合规则数量较少，希望所有规则和ACL绑定管理的场景，main.tf代码如下：

resource "aws_network_acl" "webapp" {
  vpc_id = data.aws_vpc.posttrade-vpc.id

  # 遍历规则列表动态生成egress配置
  dynamic "egress" {
    for_each = local.webapp
    content {
      protocol   = egress.value.protocol
      rule_no    = egress.value.rule_no
      action     = egress.value.action
      from_port  = egress.value.from_port
      to_port    = egress.value.to_port
      cidr_block = "0.0.0.0/0" # 请根据实际业务需求修改为对应的CIDR段
    }
  }

  tags = {
    Name = "webapp-acl"
  }
}

方案2：独立ACL规则资源遍历创建 #

适合规则数量多、后续需要单独调整单条规则的场景，修改单条规则不会触发整个ACL重建，管理更灵活：

# 先创建基础ACL实例
resource "aws_network_acl" "webapp" {
  vpc_id = data.aws_vpc.posttrade-vpc.id
  tags = {
    Name = "webapp-acl"
  }
}

# 遍历规则列表创建独立的出站规则
resource "aws_network_acl_rule" "webapp_egress" {
  for_each          = { for rule in local.webapp : rule.rule_no => rule }
  network_acl_id    = aws_network_acl.webapp.id
  egress            = true
  protocol          = each.value.protocol
  rule_number       = each.value.rule_no
  rule_action       = each.value.action
  from_port         = each.value.from_port
  to_port           = each.value.to_port
  cidr_block        = "0.0.0.0/0" # 请根据实际业务需求修改为对应的CIDR段
}

内容的提问来源于stack exchange，提问作者CEamonn