GitHub Action中Terraform Destroy执行失败问题求助

核心原因 #

Terraform执行destroy时提示无资源可销毁，本质是当前执行环境中的Terraform状态文件（terraform.tfstate）未记录已创建的资源。GitHub Action的Runner是临时环境，若使用本地状态存储，每次Workflow执行结束后状态文件会被销毁，后续destroy步骤无法读取到之前apply生成的资源记录。

解决步骤 #

1. 配置Terraform远程状态存储（Azure Blob Storage） #

将Terraform状态文件托管到Azure Blob Storage，确保所有Workflow执行都共享同一状态：

• 首先通过Azure CLI创建存储资源：

# 创建资源组
az group create --name tfstate-resource-group --location <你的区域>
# 创建存储账户（名称需全局唯一）
az storage account create --name tfstateyouruniquename --resource-group tfstate-resource-group --location <你的区域> --sku Standard_LRS --encryption-services blob
# 创建存储容器
az storage container create --name tfstate --account-name tfstateyouruniquename

• 在你的Terraform配置文件（如main.tf）中添加远程后端配置：

terraform {
  backend "azurerm" {
    resource_group_name  = "tfstate-resource-group"
    storage_account_name = "tfstateyouruniquename"
    container_name       = "tfstate"
    key                  = "terraform.tfstate"
  }
}

2. 确保服务主体有状态存储访问权限 #

给GitHub Action使用的Azure服务主体分配Storage Blob Data Contributor角色（针对存储账户），确保它能读写状态文件：

az role assignment create --assignee <你的服务主体ID> --role "Storage Blob Data Contributor" --scope "/subscriptions/<订阅ID>/resourceGroups/tfstate-resource-group/providers/Microsoft.Storage/storageAccounts/tfstateyouruniquename"

3. 调整GitHub Action Workflow #

• 移除本地状态相关的潜在问题，确保init、apply、destroy步骤都使用远程状态：
  你的现有Workflow只需保留terraform init步骤，它会自动从Azure Blob Storage拉取最新状态。
• 注意：执行destroy前，确保之前的apply已经成功将状态同步到远程存储。

其他排查点 #

• 如果之前的apply是在本地执行的，需将本地状态推送到远程存储：

terraform init -migrate-state

• 检查Workflow的working-directory配置，确保所有Terraform命令都在包含配置文件的目录执行（你的现有配置已设置，可忽略）。

内容的提问来源于stack exchange，提问作者Deeptie Prasad