代码无变更，Terraform为何触发GKE集群强制替换？

差异来源及原因： #

• GKE默认Scopes的隐式注入：当你显式指定oauth_scopes时，Terraform会试图覆盖GKE自动添加的默认节点scopes，但GCP API返回的集群实际配置里，会包含一些节点运行必需的基础scopes（比如compute-rw、storage-ro）——这些是GKE底层自动注入的，不会被Terraform的状态文件记录，所以plan时会把这些当成“额外”的scopes，提示要移除。
• Terraform Provider的严格对齐逻辑：Terraform的Google Provider对oauth_scopes的处理是精确匹配，即只认可你配置在代码里的列表。哪怕你手动把那些默认scopes加到配置里，Provider依然会认为这些是不必要的——因为当你指定cloud-platform这个超级权限时，GKE其实不需要额外的细分scopes，Provider会自动忽略那些冗余的配置，所以plan还是会提示移除。
• cloud-platform权限的覆盖性：https://www.googleapis.com/auth/cloud-platform已经包含了所有GCP服务的访问权限，GKE节点运行所需的所有基础权限都被这个超级权限覆盖了。但GKE后台在返回集群配置时，依然会把那些细分的默认scopes列出来，这就导致Terraform的状态（只记录你配置的单个scope）和API返回值出现不一致。

解决方法： #

1. 确保你的Terraform代码中node_config只保留oauth_scopes = ["https://www.googleapis.com/auth/cloud-platform"]，不要添加其他默认scopes。
2. 执行terraform apply，让Terraform强制将集群的scopes更新为你配置的值——GKE后台会自动处理底层的权限依赖，因为超级权限已经覆盖了所有需求。
3. 升级到最新版本的Google Terraform Provider，旧版本可能存在状态同步的bug，导致不必要的差异提示。

内容的提问来源于stack exchange，提问作者m00s3