如何在Terraform的azurerm_role_assignment资源块中配置多个角色

错误根因 #

azurerm_role_assignment的role_definition_name属性仅支持接收单个字符串值，你传入的是角色列表，所以触发类型不匹配错误。同时你当前的for_each仅遍历了主体ID列表，每个主体只会生成1个角色赋值资源，无法实现多角色绑定需求。

可行实现方案 #

你需要先生成主体ID+角色的全量配对组合，再遍历组合生成对应角色赋值资源，具体配置如下：

1. 生成本地配对组合 #

使用setproduct函数生成主体ID和角色的笛卡尔乘积，每个配对对应一个独立的角色赋值资源：

locals {
  # 生成所有「主体ID-角色」的唯一配对
  principal_role_pairs = setproduct(local.principal_ids, var.role_definition_id)
  # 转换为字符串格式的set，用于for_each遍历
  principal_role_index = toset([
    for pair in local.principal_role_pairs : "${pair[0]}_${replace(pair[1], "/", "_")}"
  ])
}

2. 改造角色赋值资源块 #

遍历上一步生成的配对集合，拆分出主体ID和角色名赋值给对应属性：

resource "azurerm_role_assignment" "example" {
  for_each = local.principal_role_index

  scope                = data.azurerm_subscription.primary.id
  role_definition_name = split("_", each.value)[1]
  principal_id         = split("_", each.value)[0]
}

注意事项 #

• 如果你的自定义角色是在当前Terraform配置中创建的，建议使用role_definition_id属性替代role_definition_name，同时将var.role_definition_id的默认值改为对应角色的资源ID，避免角色创建顺序导致的名称查找失败问题。
• 该方案会为每个「主体+角色」的组合生成独立的Azure资源，完全符合Azure RBAC的API设计规则，不存在单资源块绑定多角色的实现方式。

内容的提问来源于stack exchange，提问作者pk_dhruv