地图列表中的 Terraform 循环

Question

我有一个生成地图输出列表的 Terraform 模块：

object_ids = [
  {
    "object_id" = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
    "upn" = "john@domain.com"
    "user" = "john"
  },
  {
    "object_id" = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
    "upn" = "martin@domain.com"
    "user" = "martin"
  },
]

使用 for_each 我可以循环一个值来构建这个资源：

resource "azurerm_role_assignment" "subread" {
    for_each = toset(module.user.map_object_ids[*].object_id)
    scope                = data.azurerm_subscription.primary.id
    role_definition_name = "Reader"
    principal_id         = each.value
}

但是我不知道如何循环多个值。

我对另一个需要输出 2 个不同值的资源尝试了以下操作：

resource "azurerm_role_assignment" "contribrg" {
    scope                = [for map in module.user.map_object_ids[*]: "${data.azurerm_subscription.primary.id}/resourceGroups/${lookup(map,"user")}"]
    role_definition_name = "Contributor"
    principal_id         = [for map in module.user.map_object_ids[*]: lookup(map,"object_id")]
}

出现以下错误：

Error: Incorrect attribute value type
module.user.map_object_ids is tuple with 2 elements
Inappropriate value for attribute "scope": string required.
Inappropriate value for attribute "principal_id": string required.

Answer 1

资源for_each 的一个基本要求是，您使用的集合必须为每个要创建的实例有一个元素，因此不可能基于多个值重复，但幸运的是我认为这是'实际上不是你在这里问的。

相反，您似乎希望module.user.map_object_ids 的每个元素都有一个实例，因此我们需要处理的唯一额外问题是for_each 期望获得对象映射而不是列表对象，因此它可以使用映射键作为每个实例的标识符。

我们可以使用for expression 将对象列表转换为对象映射，但我们需要确定嵌套对象的属性之一，该属性将用作每个元素的唯一键。我将在这里使用user，因为它似乎是一个很好的人类可理解的、配置选择的唯一标识符：

resource "azurerm_role_assignment" "contribrg" {
  for_each = { for obj in module.user.map_object_ids : obj.user => obj }

  scope                = "${data.azurerm_subscription.primary.id}/resourceGroups/${each.value.user}"
  role_definition_name = "Contributor"
  principal_id         = each.value.object_id
}

上面的for 表达式会将您的对象列表投影到对象映射中，如下所示：

{
  "john" = {
    "object_id" = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
    "upn" = "john@domain.com"
    "user" = "john"
  }
  "martin" = {
    "object_id" = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx"
    "upn" = "martin@domain.com"
    "user" = "martin"
  }
}

然后在资源参数表达式中each.key 将引用用户名（因为它们现在是键），而each.value 将引用对象，因此我们可以使用each.value.object_id 来获取相应的对象标识符。

由此，Terraform 将计划创建具有以下地址的资源实例：

• azurerm_role_assignment.contribrg["john"]
• azurerm_role_assignment.contribrg["martin"]

---

附注：我发现您的输出命名为 object_ids 有点令人困惑，因为它不仅仅是返回 id。将其命名为objects 可能更清楚。