Terraform无修改执行Plan时提示更新AWS ACM证书问题

排查方向及解决办法 #

1. 查看隐藏属性的真实差异 #

Terraform输出里隐藏了15个属性和1个块，这些才是触发变更提示的核心原因。先执行命令查看资源完整状态：

terraform show aws_acm_certificate.resume-app-cert

重点核对以下内容：

• SAN列表：确认状态中的subject_alternative_names和配置完全一致，注意Terraform会严格匹配字符串（即使AWS域名不区分大小写）
• 密钥算法：如果配置未指定key_algorithm，AWS默认算法可能发生变更（比如旧证书用RSA-1024，当前默认RSA-2048）。显式指定算法即可解决：

resource "aws_acm_certificate" "resume-app-cert" {
  domain_name       = var.domain_name
  validation_method = "DNS"
  key_algorithm     = "RSA_2048" # 固定算法，避免默认值波动

  subject_alternative_names = [var.wildcard_domain_name]

  tags = {
    Name = var.aws_certificate_name
  }
}

• 只读状态字段：status、not_before/not_after（证书有效期）、renewal_summary等AWS自动更新的字段，部分Provider版本会误将其识别为需要变更的项。

2. 升级AWS Provider版本 #

老版本的Terraform AWS Provider可能存在ACM证书状态检测bug，导致无中生有提示变更。直接升级到最新稳定版：
在versions.tf中指定版本：

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0" # 替换为当前最新稳定版号
    }
  }
}

执行升级命令：

terraform init -upgrade

3. 重新导入证书状态强制同步 #

当Terraform本地状态与AWS实际状态不同步时，导入证书可强制对齐：

terraform import aws_acm_certificate.resume-app-cert <你的证书ARN>

导入完成后再次执行terraform plan，验证是否仍有变更提示。

4. 忽略只读字段的变更 #

如果是AWS自动更新的只读字段导致的问题，可通过lifecycle规则忽略这些字段：

resource "aws_acm_certificate" "resume-app-cert" {
  domain_name       = var.domain_name
  validation_method = "DNS"

  subject_alternative_names = [var.wildcard_domain_name]

  tags = {
    Name = var.aws_certificate_name
  }

  lifecycle {
    ignore_changes = [
      renewal_summary,
      status,
      not_before,
      not_after
    ]
  }
}

若怀疑是标签问题（比如AWS自动添加系统标签），可将tags也加入ignore_changes列表。

内容的提问来源于stack exchange，提问作者Assaf