Terraform销毁时先移除Provider引发依赖资源报错问题

问题场景 #

销毁包含AWS跨区域依赖的特性分支（us-west-2部署依赖us-east-1资源）时，执行terraform destroy报错。此前为创建跨区域SNS主题订阅，添加了别名sns2sqs的us-east-1 AWS Provider，销毁时出现以下错误：

│ Error: Provider configuration not present
│
│ To work with aws_sns_topic_subscription.els_event_subscription (orphan) its
│ original provider configuration at
│ provider["registry.terraform.io/hashicorp/aws"].sns2sqs is required, but it
│ has been removed. This occurs when a provider configuration is removed
│ while objects created by that provider still exist in the state. Re-add the
│ provider configuration to destroy
│ aws_sns_topic_subscription.els_event_subscription (orphan), after which you
│ can remove the provider configuration again.

相关Terraform代码片段：

provider "aws" {
  alias  = "sns2sqs"
  region = "us-east-1"

    default_tags {
        tags = {
          "<some-tags>" = ""
        }
    }

    ignore_tags {
        key_prefixes = ["<some_prefix>"]
    }
}

# 报错的主题订阅资源
resource "aws_sns_topic_subscription" "els_event_subscription" {
  provider               =  aws.sns2sqs
  topic_arn              = "${var.environment}" == "prod" ? "${var.els_sns_topics["prod"]}" : "${var.els_sns_topics["dev"]}"
  protocol               = "sqs"
  endpoint               = "${some-endpoint.arn}"
  endpoint_auto_confirms = true
  filter_policy          = jsonencode(var.event_filter_policy)
}

解决方案 #

方法一：临时恢复Provider配置（官方推荐） #

1. 在Terraform配置文件中恢复之前删除的aws.sns2sqs Provider配置，确保配置和创建资源时完全一致（别名、区域、标签规则等都不能修改）。
2. 执行terraform init，让Terraform重新加载该Provider配置。
3. 运行terraform destroy，此时Terraform可以找到对应的Provider来销毁跨区域的SNS订阅资源。
4. 销毁完成后，即可再次删除该Provider配置，此时状态中已无该Provider管理的资源。

方法二：修改Terraform状态（进阶操作） #

如果不想恢复Provider配置，可通过修改状态文件将资源关联到现有默认Provider（需确保默认Provider有权限访问us-east-1）：

1. 查看目标资源的当前Provider关联信息：

terraform state show aws_sns_topic_subscription.els_event_subscription

输出中会包含provider = provider["registry.terraform.io/hashicorp/aws"].sns2sqs的内容。
2. 执行状态迁移命令，先通过-dry-run测试：

terraform state mv -dry-run 'aws_sns_topic_subscription.els_event_subscription' 'aws_sns_topic_subscription.els_event_subscription' -provider='registry.terraform.io/hashicorp/aws'

确认输出无误后，去掉-dry-run执行实际迁移：

terraform state mv 'aws_sns_topic_subscription.els_event_subscription' 'aws_sns_topic_subscription.els_event_subscription' -provider='registry.terraform.io/hashicorp/aws'

3. 执行terraform destroy，资源将通过默认Provider完成销毁。

注意事项 #

• 方法二属于状态文件操作，执行前务必备份状态（terraform state pull > backup.tfstate），防止误操作导致状态损坏。
• 用于销毁资源的Provider（无论是恢复的别名Provider还是默认Provider）需拥有sn s:Unsubscribe权限，确保能正常删除SNS订阅。

内容的提问来源于stack exchange，提问作者user3683706