Terraform子模块如何配置支持独立运行的跨模块隐式依赖关系

A managed resource has not been declared 并非Terraform运行时提前加载了未创建的资源，而是你在静态配置阶段，传入模块的参数引用了当前配置范围内根本不存在的对象，Terraform做语法校验时直接找不到对应的引用源，流程直接中断，根本走不到运行时解析资源值的环节。
你之前的预期存在偏差：Terraform 0.14版本从来没有“根目录资源的输出自动触发所有模块依赖关系”的机制，所有资源、模块间的依赖，完全是靠显式传值建立的隐式关联——只有当下游模块的入参引用了上游资源/模块的输出值时，Terraform才会自动识别顺序、等待上游创建完成后再执行下游。

1. 梳理清晰依赖传递链路，避免跨层直引 #

按照你的业务场景，正确的依赖传递路径应该是：

• 根目录main.tf创建多台虚拟机，把虚拟机的私网IP列表、LB的VIP地址作为可被引用的源值
• lbaas-pool模块依赖传入的VIP地址创建LB池资源，创建完成后对外输出池的唯一ID
• lbaas-pool-members模块同时依赖传入的LB池ID、虚拟机IP列表创建池成员

2. 根目录文件的正确配置 #

首先不要绕路用根目录的output给模块传参，直接引用对应资源的值传入模块即可：

• 根目录output.tf的输出值只需要给外部调用用，比如：

# 根目录 output.tf
output "all_vm_private_ips" {
  value = [for vm in openstack_compute_instance_v2.business_vms: vm.access_ip_v4]
}

output "lb_vip_address" {
  value = openstack_networking_floatingip_v2.lb_eip.address
}

• 根目录calling_module.tf的模块引用部分，要把上游源值显式传入对应模块，不要漏传：

# 根目录 calling_module.tf
module "lbaas_pool" {
  source = "./modules/lbaas-pool"

  # 直接传入根目录资源的VIP值，Terraform会自动识别依赖：必须等根目录的LB VIP资源创建完成，再开始创建lbaas池
  vip_address = openstack_networking_floatingip_v2.lb_eip.address
  pool_name    = "business-pool"
  protocol     = "TCP"
  lb_method    = "LEAST_CONNECTIONS"
}

module "lbaas_pool_members" {
  source = "./modules/lbaas-pool-members"

  # 同时传入lbaas池模块的输出值、根目录虚拟机的IP列表，Terraform会自动建立两级依赖：先等虚拟机创建完，再等lbaas池创建完，最后创建池成员
  pool_id     = module.lbaas_pool.pool_id
  member_ips  = [for vm in openstack_compute_instance_v2.business_vms: vm.access_ip_v4]
  member_port = 8080
}

3. 实现子模块可独立运行的配置技巧 #

不需要为了联动部署修改模块的核心创建逻辑，只需要给模块的入参设置合理的默认值，就能兼顾“独立运行”和“联动部署”两种场景：

• 编辑modules/lbaas-pool/variable.tf，给所有入参设置类型和默认值，单独运行时自动用默认值创建测试资源：

# modules/lbaas-pool/variable.tf
variable "vip_address" {
  type      = string
  default   = "192.168.1.10" # 独立运行时的默认VIP
  nullable  = false
}

variable "pool_name" {
  type    = string
  default = "standalone-test-pool"
}

variable "protocol" {
  type    = string
  default = "TCP"
}

variable "lb_method" {
  type    = string
  default = "ROUND_ROBIN"
}

• 编辑modules/lbaas-pool-members/variable.tf，同样给入参设置默认值：

# modules/lbaas-pool-members/variable.tf
variable "pool_id" {
  type    = string
  default = "standalone-test-pool-id" # 独立运行时的默认池ID
}

variable "member_ips" {
  type    = list(string)
  default = ["10.0.0.11", "10.0.0.12"]
}

variable "member_port" {
  type    = number
  default = 8080
}

这种配置的好处是：

• 单独进入任意子模块目录执行terraform apply时，会用默认值创建独立的测试资源，不会触发找不到资源的报错
• 在根目录执行全量部署时，传入的真实值会覆盖模块的默认值，Terraform按照依赖顺序自动执行全链路创建，不需要手动指定-target参数

4. 高频踩坑排查 #

• 跨模块直接引用根资源是Terraform明确不支持的写法：禁止在子模块内部直接引用根目录定义的资源对象，比如在lbaas-pool.tf里写openstack_compute_instance_v2.business_vms的引用，这类写法会直接触发静态校验报错，必须通过入参传值的方式把需要的资源值传给模块。
• 不要通过根目录的output对象给模块传参，比如写vip_address = output.lb_vip_address——Terraform的output是面向外部调用的输出接口，模块入参要直接引用资源本身或本地变量，绕一层output传值会触发静态校验报错
• 不存在“靠输出自动建立依赖”的逻辑，所有依赖的本质都是“上下游引用了同一个值”，只要严格走入参传值的路径，Terraform就会自动识别创建顺序

内容的提问来源于stack exchange，提问作者user3899094