Terraform 1.5下无法更新AWS CloudWatch组问题求助

先明确核心问题：

• data 数据源是只读的，本身不具备修改资源的能力，想用它更新日志组肯定行不通。
• import 只是把现有资源纳入Terraform状态管理，但如果配置文件里没定义要修改的属性（比如KMS密钥），或者配置和现有资源状态不匹配，Terraform不会执行更新操作。

针对你的目标——给Amazon MQ关联的CloudWatch通用日志组配置KMS，按以下步骤操作：

1. 正确导入日志组并编写对应配置 #

首先找到Amazon MQ对应的CloudWatch日志组名称（通常格式为 aws-mq-{broker-name}-general），执行import命令将其纳入Terraform状态：

terraform import aws_cloudwatch_log_group.mq_general_logs /aws/mq/{broker-name}/general

接着在Terraform配置文件中添加日志组资源定义，先匹配现有状态，再加入KMS密钥配置：

resource "aws_cloudwatch_log_group" "mq_general_logs" {
  name              = "/aws/mq/{broker-name}/general"
  retention_in_days = 30 # 填写现有日志组的保留天数，确保和当前状态一致
  kms_key_id        = "arn:aws:kms:us-east-1:123456789012:key/your-kms-key-id" # 替换为你的KMS密钥ARN或ID
}

2. 执行更新并验证 #

运行 terraform plan 查看变更计划，确认Terraform会执行更新操作（应显示kms_key_id字段的变更）。如果计划无变更，检查以下几点：

• 配置文件中的name是否和日志组完全一致（包括前缀、大小写）
• 现有日志组是否已配置相同的KMS密钥
• AWS Provider版本是否过低，建议升级到4.0以上版本（Terraform 1.5兼容最新AWS Provider）

3. 注意事项 #

• 若日志组是Amazon MQ自动创建的，手动修改KMS配置后，MQ后续操作不会覆盖该配置，无需担心被重置
• 确保Terraform执行权限的IAM角色拥有logs:PutRetentionPolicy、logs:AssociateKmsKey权限，以及KMS密钥的kms:Encrypt、kms:Decrypt等相关权限

内容的提问来源于stack exchange，提问作者rahul patel