Terraform更新Cloud Run服务时无法识别同Tag不同哈希的Docker镜像问题

Terraform的状态管理核心是对比配置中的字符串值，而非镜像的实际内容（比如镜像digest或commit hash）：

• 你的配置里image字段值始终是${local.image}:latest，这个字符串没有任何变化，所以Terraform判定资源配置未变更，不会触发更新流程。
• latest本质只是一个指向镜像的软链接，Terraform不会主动去Artifact Registry拉取镜像的digest或校验内容是否更新。

有三种常用的解决方式：

1. 使用镜像digest替代标签 #

每次推送镜像后，获取该镜像的唯一digest（可通过docker inspect <镜像名>或Artifact Registry API获取），将digest作为镜像引用的一部分，格式为${local.image}@sha256:xxxxxx。这样即使标签不变，digest变化时配置值也会同步变化，Terraform能立刻检测到变更。

调整本地变量示例：

locals {
  # 假设镜像digest通过环境变量传入
  image_with_digest = "${local.image}@${var.image_digest}"
}

然后在Cloud Run配置中替换为image = local.image_with_digest。

2. 添加可变触发参数到资源注解 #

在Cloud Run的metadata.annotations中添加一个可变参数（比如commit hash、部署时间戳），每次部署时更新这个参数，强制Terraform创建新的修订版本：

template {
  metadata {
    annotations = {
      "autoscaling.knative.dev/minScale" = "1"
      "deploy.trigger" = var.COMMIT_SHA # 每次部署传入不同的COMMIT_SHA
    }
  }
}

当注解值变化时，Terraform会认为资源配置有变更，从而创建新的修订版本，自动拉取最新的latest镜像。

3. 用Terraform数据源自动拉取镜像digest #

使用google_container_registry_image数据源（兼容Artifact Registry）获取镜像的最新digest，让Terraform自动感知镜像内容变化：

data "google_container_registry_image" "example_image" {
  name = local.image_latest
}

resource "google_cloud_run_service" "example_service" {
  # ... 保留原有配置 ...
  template {
    spec {
      containers {
        image = data.google_container_registry_image.example_image.image_url
      }
    }
  }
}

这个数据源会在terraform plan/apply时拉取镜像的最新digest，当镜像内容更新时，image_url会变成带digest的完整地址，Terraform就能检测到变更并触发更新。

Terraform只认你写在配置里的字符串，不会主动校验镜像的实际内容。要让它感知到镜像更新，要么让配置中的某个值（比如镜像digest、触发注解）发生变化，要么通过数据源自动获取镜像的唯一标识。

内容的提问来源于stack exchange，提问作者Vyacheslav Gorbov