Terraform使用azurerm数据源读取Azure WAF Policy提示资源不存在问题求助

排查解决思路 #

• 校验资源名称、资源组的大小写匹配：Azure资源本身不区分大小写，但azurerm provider的数据源查询对大小写敏感，核对Azure门户中实际的WAF策略名称、所属资源组名称的大小写与代码中配置的是否完全一致，重点检查资源组名的区域拼写、WAF名称中的特殊字符和字母大小写是否有输入偏差。
• 显式指定订阅ID避免订阅不匹配：确认创建WAF时使用的订阅，和当前Terraform执行时provider默认配置的订阅是否为同一个，可直接在数据源块中指定subscription_id参数明确查询范围：

data "azurerm_web_application_firewall_policy" "example" {
  name                = "a205555-az-waf-policy"
  resource_group_name = "eastus2-204161-platform-resources"
  # 替换为WAF实际所在的订阅ID
  subscription_id     = "xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}

• 用Azure CLI直接验证资源存在性：执行以下命令确认资源确实存在于指定资源组下，排除Terraform之外的资源定位问题：

# 先切换到WAF所在的订阅
az account set --subscription "你的订阅名称/ID"
# 查询指定WAF策略
az network waf-policy show --name a205555-az-waf-policy --resource-group eastus2-204161-platform-resources

如果上述命令返回找不到资源，可执行全订阅WAF列表查询，定位资源实际所在的资源组和订阅：

az network waf-policy list --query "[].{Name:name, ResourceGroup:resourceGroup, Subscription:id.split('/')[2]}" -o table

• 检查执行身份的权限：当前运行Terraform的Azure账号（用户/服务主体）需要拥有对应资源组的Microsoft.Network/applicationFirewallPolicies/read权限，权限不足时provider会返回404找不到的错误，而非明确的权限拒绝提示。
• 匹配provider版本与资源兼容：如果你用的是azurerm 3.x以上版本，确认WAF的SKU类型属于provider支持的范围，部分早期预览版WAF策略在新版provider中查询逻辑有变更，可以临时降级到创建WAF时使用的azurerm版本进行对比测试。
• 排查软删除冲突：Azure部分网络资源删除后会进入软删除周期，即使重建同名资源也可能出现查询异常，可以更换一个全新的WAF名称创建后再用数据源查询，验证是否为名称残留导致的问题。

内容的提问来源于stack exchange，提问作者Paul Dawson