合并PR时GitHub Actions与Terraform部署AWS资源重复创建问题

核心问题原因 #

Terraform依赖**状态文件（tfstate）**追踪已部署资源，你当前的问题是：每次GitHub Actions运行都是全新虚拟机，默认使用本地状态文件，PR阶段的计划生成后状态未持久化，合并PR后的push流程无法获取之前的部署状态，导致Terraform误以为资源未创建，尝试重复创建。

分步解决方案 #

1. 配置远程状态存储（必须做） #

本地状态无法在GitHub Actions的不同运行实例间共享，必须用AWS S3作为远程状态存储，搭配DynamoDB做状态锁防止并发冲突。

操作步骤：

• 手动在AWS创建：
  • 一个全局唯一名称的S3桶，开启版本控制和服务器端加密
  • 一个DynamoDB表，主键设为LockID（字符串类型）
• 在你的Terraform代码目录下创建backend.tf，添加以下配置：

terraform {
  backend "s3" {
    bucket         = "你的S3桶名称"
    key            = "terraform/state.tfstate"
    region         = "你的AWS区域"
    dynamodb_table = "你的DynamoDB表名称"
    encrypt        = true
  }
}

2. 检查IAM角色权限 #

确保github-actions IAM角色拥有：

• S3桶的读写权限（s3:GetObject、s3:PutObject、s3:ListBucket等）
• DynamoDB表的读写权限（dynamodb:GetItem、dynamodb:PutItem、dynamodb:DeleteItem等）

3. 修复当前已存在资源的状态同步 #

如果已经有资源在AWS上，但Terraform状态未记录，可手动导入：

terraform import aws_iam_role.lambda-role lambda-role

建议本地执行该命令后，Terraform会更新远程状态，之后GitHub Actions的apply就能识别到已存在的资源。

4. 优化GitHub Actions流程 #

• 确保terraform init步骤正常拉取远程状态，不要添加-reconfigure等会重置状态的参数
• 可选：PR阶段生成计划时保存为文件，合并后直接应用该计划，避免代码变更导致的差异：

# PR阶段的Plan步骤修改为
- name: Terraform Plan
  id: plan
  if: github.event_name == 'pull_request'
  run: |
    terraform plan -no-color -out=planfile
    continue-on-error: true

# Push阶段的Apply步骤修改为
- name: Terraform Apply
  id: apply
  if: github.ref == 'refs/heads/main' && github.event_name == 'push'
  run: |
    terraform apply -auto-approve -input=false planfile

调试技巧 #

• 在GitHub Actions的Terraform Initialization步骤后添加一个步骤，执行terraform state list，查看当前状态中的资源列表，确认是否包含已创建的资源
• 将TF_LOG从INFO改为DEBUG，查看更详细的Terraform日志，排查状态加载过程中的问题

内容的提问来源于stack exchange，提问作者anoneumox