如何在Terraform中实现条件式显式依赖，管控Azure资源创建顺序

以下是两种原生支持的方案，无需额外插件即可实现你需要的条件依赖逻辑：

方案1：隐含属性依赖（最推荐） #

利用Terraform内置的隐含依赖规则实现：只要在Resource B的参数中引用Resource A的属性，Terraform会自动等待Resource A处理完成后再执行Resource B的操作，若Resource A配置了count = 0不需要创建，引用会返回空值，不会触发依赖等待也不会报错。
针对你的Azure场景代码示例：

# 条件创建的Network Watcher资源
resource "azurerm_network_watcher" "this" {
  count               = var.create_network_watcher ? 1 : 0
  name                = "nw-${var.region}"
  location            = var.region
  resource_group_name = azurerm_resource_group.nw_rg[0].name
}

# VNet资源
resource "azurerm_virtual_network" "this" {
  name                = var.vnet_name
  address_space       = var.vnet_cidr
  location            = var.region
  resource_group_name = var.rg_name

  # 新增引用Network Watcher属性的配置，自动建立隐含依赖
  tags = merge(var.default_tags, {
    network_watcher_ref = join("", azurerm_network_watcher.this[*].id)
  })

  # 可选：忽略该tag的变更，避免后续更新触发VNet重配置
  lifecycle {
    ignore_changes = [tags["network_watcher_ref"]]
  }
}

方案2：空资源依赖桥接 #

如果不想修改原有VNet的业务配置，可以用null_resource作为中间依赖桥接层，Terraform 0.13+原生支持依赖列表中包含count为0的资源，不会报错。
代码示例：

resource "azurerm_network_watcher" "this" {
  count               = var.create_network_watcher ? 1 : 0
  name                = "nw-${var.region}"
  location            = var.region
  resource_group_name = azurerm_resource_group.nw_rg[0].name
}

# 依赖桥接空资源
resource "null_resource" "nw_dependency_bridge" {
  count = var.create_network_watcher ? 1 : 0
  triggers = {
    nw_id = azurerm_network_watcher.this[0].id
  }
}

resource "azurerm_virtual_network" "this" {
  # 原有所有配置不变，仅新增depends_on
  depends_on = [null_resource.nw_dependency_bridge]
}

Azure场景专属优化 #

针对你遇到的Azure自动创建Network Watcher的问题，还可以直接关闭对应订阅、对应区域的Network Watcher自动创建功能，从根源避免Azure提前创建资源的冲突：

• 手动关闭命令：az network watcher configure --locations <目标区域> --enabled false --subscription <订阅ID>
• 也可以通过Terraform的azapi_resource资源管控该订阅级配置，实现全链路IaC管控。

内容的提问来源于stack exchange，提问作者Scott McArron