如何通过Terraform为Azure公共IP自动配置PTR反向解析记录

整个实现不需要额外搭CLI调用、脚本连接器这类额外组件，靠AzureRM provider的原生资源能力就能搞定，还能完全满足Azure对反向FQDN的校验规则要求。

核心实现逻辑 #

Azure对反向FQDN有强制校验：给公网IP配置reverse_fqdn时，平台会实时验证该FQDN的正向解析结果必须和当前公网IP地址一致，否则直接拒绝配置。因此必须保证执行顺序为：先完成正向A记录创建、等DNS解析生效后，再给公网IP设置反向FQDN，完全匹配平台的校验链路。

具体配置改造 #

基于你现有可正常运行的Terraform配置，可以按如下步骤调整：

• 先优化原来硬切字符串解析出口IP属性的逻辑，避免资源ID分段结构变化导致配置失效
  用provider内置的parse_resource_id函数替换原来手写的split、reverse字符串操作：

locals {
  egress_public_ip_id   = tolist(azurerm_kubernetes_cluster.k8s.network_profile.0.load_balancer_profile.0.effective_outbound_ips)[0]
  egress_public_ip_attr = parse_resource_id(local.egress_public_ip_id)
  target_reverse_fqdn   = "${var.dns_prefix}.${data.azurerm_dns_zone.example.name}"
}

• 现有正向A记录的配置不需要额外修改，直接保留即可
• 新增对K8s自动创建的出口公网IP的属性管理，显式声明对A记录的依赖关系，确保执行顺序符合Azure校验要求，不会出现A记录还没建好就去配反向解析被拦截的情况：

resource "azurerm_public_ip" "k8s_egress" {
  name                = local.egress_public_ip_attr.name
  resource_group_name = local.egress_public_ip_attr.resource_group
  allocation_method   = "Static"
  # 强制等待A记录创建完成再执行本资源的配置更新
  depends_on = [azurerm_dns_a_record.k8s]
  # 配置反向FQDN，对应原CLI命令里的--reverse-fqdn参数
  reverse_fqdn = local.target_reverse_fqdn
  # 配置公网IP的DNS标签，对应原CLI命令里的--dns-name参数
  domain_name_label = "${var.dns_prefix}-${local.egress_public_ip_attr.name}"
}

• 原来的ptr_command输出块可以直接删掉，所有相关操作已经被Terraform完全接管。

关键注意事项 #

• 当你给公网IP设置好reverse_fqdn后，Azure会自动在其托管的反向DNS区域生成对应的PTR记录，不需要额外创建反向DNS区域、手动维护PTR记录。
• Terraform在管理这类非自身创建的公网IP资源时，只会修改你在配置块里声明的属性，不会覆盖K8s集群自动配置的关联规则、IP分配等原生网络配置，不会破坏集群原有网络连通性。
• 这套配置是动态关联K8s集群出口IP的，如果后续集群调整网络配置导致出口IP变更，Terraform会自动同步更新A记录指向、新公网IP的反向FQDN配置，完全适配SMTP外发场景对反向解析记录的要求。
• 这类反向解析配置仅在需要用出口IP对外提供SMTP服务时需要启用，普通业务流量不需要额外配置。

内容的提问来源于stack exchange，提问作者LHMathies