使用 DeployIfNotExists 策略对私有(private) dns 区域组进行 Azure Terraformignore_changes

Question

我遇到了一个问题，Terraform 尝试更改由 DeployIfNotExists 策略部署的资源。此策略自动为专用端点 ( source ) 创建 DNS 条目。通常，我会使用 ignore_changes，但这仅适用于首先由 Terraform 部署的资源，然后忽略 Terraform 之外的所有 future 更改。

如何在没有 private_dns_zone_group 的情况下部署专用端点，以防止任何 future 的部署删除由 Azure 策略部署的 private_dns_zone_group？

resource "azurerm_private_endpoint" "private_endpoint" {
  name                = var.private_endpoint_name
  location            = var.location
  resource_group_name = var.resource_group_name
  subnet_id           = var.private_subnet_id

  private_service_connection {
    name                           = var.private_service_connection_name
    is_manual_connection           = false
    private_connection_resource_id = azurerm_app_service.app_service.id
    subresource_names              = ["sites"]
  }

  # This cannot be included, otherwise the DeployIfNotExists policy will not run
  # private_dns_zone_group {
  #   name                 = "deployedByPolicy"
  #   private_dns_zone_ids = []
  # }

  lifecycle {
    ignore_changes = [
      private_dns_zone_group
    ]
  }
}

Answer 1

显然，问题来自内置的 Azure 策略。

您可以创建自定义策略，该策略将直接在Azure 私有(private) DNS 区域上创建记录。