Terraform Plan执行时报Invalid count argument错误，求可行解决方法

该报错本质是count表达式用到的var.aadgroup_displayname、var.rbac_scope、var.rbac_role_ids三个参数中，至少有一个的取值来自其他还未创建的Terraform资源的输出属性。Plan阶段这类未创建资源的属性属于未知值，Terraform无法计算出count的最终数值，因此无法生成合法执行计划。

方案1：使用-target参数分步应用（临时解决） #

• 第一步：定位count依赖的上游资源
  打开调用rbac-assign-roles-aadgroup模块的配置文件，排查上述三个参数的赋值来源，确认它们分别对应哪些Terraform资源的输出属性。例如如果var.aadgroup_displayname取值为azuread_group.my_group.display_name，则上游资源就是azuread_group.my_group。
• 第二步：单独应用上游资源
  执行命令时通过-target参数指定所有依赖的上游资源，示例：

  terraform apply -target=azuread_group.my_group -target=azurerm_subscription.my_sub
  

  注意：示例中的资源地址需要替换为你自己环境中实际对应的资源地址
  执行完成后，这些资源的属性会被存入Terraform状态文件，后续操作可直接读取到确定值。
• 第三步：执行常规操作
  上游资源创建完成后，再运行正常的terraform plan或terraform apply即可绕过该报错。

方案2：修改配置从根源解决（推荐） #

直接优化配置逻辑，避免count依赖运行时才能确定的属性，常用两种优化方向：

• 方向1：用静态开关控制count
  新增静态布尔变量作为模块启停开关，该变量在Plan阶段就能确定取值，示例：

  # 新增变量定义
  variable "enable_rbac_assignment" {
    type    = bool
    default = false
  }
  
  # 修改count逻辑
  count = var.enable_rbac_assignment ? length(var.rbac_role_ids) : 0
  

• 方向2：用for_each替代count
  Terraform允许for_each的取值包含未知属性，只要for_each的键是可确定的即可，示例修改：

  for_each = var.aadgroup_displayname != "" && var.rbac_scope != "" ? toset(var.rbac_role_ids) : []
  

  后续引用该模块资源时，将原来的count.index替换为each.value即可正常使用。

内容的提问来源于stack exchange，提问作者Harry Leboeuf