如何在单次Terraform运行中授予Azure API Management访问Key Vault的权限

单次执行方案（推荐） #

你遇到的循环依赖可以通过拆分APIM资源配置打破，不需要分多次运行，核心是使用独立的azurerm_api_management_custom_domain资源代替嵌在azurerm_api_management内部的hostname_configuration块，调整后的配置逻辑如下：

1. 先创建带系统分配托管身份的APIM基础资源，不包含自定义域名配置
2. 基于创建完成的APIM身份ID，配置Key Vault访问策略
3. 最后创建独立的自定义域名资源，关联APIM和Key Vault证书

调整后的代码示例：

data "azurerm_client_config" "current" {}

# 基础APIM资源，无自定义域名配置
resource "azurerm_api_management" "apim" {
  name                 = var.apim_name
  resource_group_name  = var.rg_name
  location             = var.location
  publisher_name       = var.publisher_name
  publisher_email      = var.publisher_email
  sku_name             = var.sku_name_capacity
  virtual_network_type = var.vnet_type

  identity {
    type = "SystemAssigned"
  }

  virtual_network_configuration {
      subnet_id = var.subnet_id
  }
}

# Key Vault访问策略，直接引用APIM的系统分配身份ID
resource "azurerm_key_vault_access_policy" "apim_said" {
  key_vault_id       = var.kv_id
  object_id          = azurerm_api_management.apim.identity[0].principal_id
  tenant_id          = data.azurerm_client_config.current.tenant_id
  secret_permissions = [
    "Get",
    "List"
  ]
}

# 独立的自定义域名资源，依赖访问策略完成配置后再创建
resource "azurerm_api_management_custom_domain" "apim_custom_domain" {
  api_management_id = azurerm_api_management.apim.id

  dynamic "proxy" {
    for_each = var.gateway_endpoint_custom_domains
    content {
      host_name    = proxy.value
      key_vault_id = var.ssl_cert_secret_id
    }
  }

  # 显式声明依赖，确保权限配置完成后再配置域名
  depends_on = [azurerm_key_vault_access_policy.apim_said]
}

该方案在azurerm provider 3.x及以上版本可正常运行，单次terraform apply即可完成全量部署。

多运行方案（Terraform Cloud适配） #

如果受限于provider版本无法使用独立自定义域名资源，不需要拆分多个工作区，可通过变量开关在同一个Terraform Cloud工作区内实现两次运行：

• 定义布尔类型变量custom_domain_enabled，默认值设为false
• 在azurerm_api_management的hostname_configuration块中添加count判断，仅当custom_domain_enabled为true时才创建该配置
• 第一次运行：变量保持默认值，完成APIM基础资源和访问策略的创建
• 第二次运行：在Terraform Cloud工作区的变量配置页将custom_domain_enabled改为true，触发运行即可完成自定义域名配置

相比拆分多工作区的方案，同工作区切换变量的方式避免了跨工作区状态共享的风险，配置更简洁。

内容的提问来源于stack exchange，提问作者wertyq