为Google Artifact Registry远程仓库添加upstream_credentials触发Terraform强制替换

这不是你的配置错误，而是当前GCP Terraform Provider对google_artifact_registry_repository资源的upstream_credentials字段设置了**强制重建（ForceNew）**约束——也就是说，当你给已创建的仓库添加该配置时，Terraform无法通过更新现有资源来应用变更，只能删除旧仓库并创建新的带认证配置的仓库。

为什么GCP UI可以直接修改？ #

GCP的API本身支持在线更新仓库的上游认证信息，但Terraform Provider的当前版本（截至2024年）没有实现这个更新逻辑，而是将upstream_credentials标记为只能在资源创建时配置的字段，所以修改时会触发强制替换。

解决方案 #

1. 接受仓库重建（推荐，若允许） #

直接执行terraform apply即可完成配置，但注意：

• 旧仓库会被删除，仓库内的所有镜像、包等数据会丢失，操作前务必备份数据。
• 重建后的仓库会自动带上upstream_credentials配置，后续Terraform管理该资源时不会再触发替换（除非修改该字段）。

2. 保留现有仓库（仅应急，不推荐长期使用） #

如果不能删除现有仓库，可以通过以下方式绕过：

• 在Terraform配置中添加lifecycle块，让Terraform忽略upstream_credentials字段的变更：

  resource "google_artifact_registry_repository" "my_repo" {
    location      = "us-central1"
    repository_id = "my-repo"
    format        = "DOCKER"
  
    lifecycle {
      ignore_changes = [upstream_credentials]
    }
  }
  

• 手动通过GCP UI或gcloud命令配置上游认证：

  gcloud artifacts repositories update my-repo --location=us-central1 --upstream-username=USERNAME --upstream-password=PASSWORD
  

• 执行terraform refresh同步资源状态，之后Terraform不会再试图修改该字段。

注意：这种方式会导致Terraform配置与实际资源状态不一致，长期维护会有风险，建议等Terraform Provider更新支持该字段的在线更新后再切换回标准配置方式。

内容的提问来源于stack exchange，提问作者carrotcakeslayer