Terraform中AWS资源标签无变更却重复触发更新问题

在未修改任何资源配置的情况下，每次执行terraform apply时，AWS DynamoDB表资源都会被标记为需要原地更新。本地common_tags中的标签值并未变化，但每次都会被重新应用，而资源级别的Name标签则无变动。

相关代码 #

DynamoDB表资源定义 #

resource "aws_dynamodb_table" "sample_table" {
  name         = "sample_table_name"
  billing_mode = "PAY_PER_REQUEST"
  hash_key     = "sample_hash_key"
  range_key    = "sample_range_key"

  attribute {
    name = "sample_hash_key"
    type = "S"
  }
  attribute {
    name = "sample_range_key"
    type = "S"
  }
  tags = merge(
    local.common_tags,
    {
      "Name" = "sample_table_name"
    },
  )
} 

本地公共标签定义 #

locals {
  common_tags = {
    Source          = var.source_tag
    Owner           = var.owner_tag
    Contact         = var.contact_tag
  }
}

Terraform版本配置 #

terraform {
  required_version = "~> 1.4.5"
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "4.63.0"
    }
  }
}

Terraform执行日志 #

# aws_dynamodb_table.sample_table will be updated in-place
 ~ resource "aws_dynamodb_table" "sample_table" {
       id                          = "sample_table_name"
       name                        = "sample_table_name"
     ~ tags                        = {
         + "Contact"         = "contact_me@example.com"
           "Name"            = "sample_table_name"
         + "Owner"           = "Owning_team"
         + "Source"          = "My_source"
       }
       # (10 unchanged attributes hidden)

       # (4 unchanged blocks hidden)
   }

问题原因 #

1. AWS Provider标签大小写处理不一致：AWS服务实际存储标签时保留大小写，但Terraform对比本地配置与远程状态时，可能出现大小写不匹配，导致误判标签需要更新。
2. merge函数的结构差异：部分AWS Provider版本对merge生成的标签集合，内部存储顺序或解析方式与远程状态存在细微差异，触发不必要的更新。
3. 变量隐式类型转换：如果var.source_tag等变量未显式声明为string类型，Terraform可能将其解析为any类型，合并标签时生成的结构与远程存储存在差异。

解决方案 #

1. 显式声明变量类型 #

确保标签变量的类型明确为string，避免隐式转换带来的结构差异：

variable "source_tag" {
  type        = string
  description = "Source tag value"
}

variable "owner_tag" {
  type        = string
  description = "Owner tag value"
}

variable "contact_tag" {
  type        = string
  description = "Contact tag value"
}

2. 使用tags_all替代tags（推荐） #

AWS Provider的tags_all参数会自动合并标签，且能避免merge函数带来的顺序或解析问题：

resource "aws_dynamodb_table" "sample_table" {
  name         = "sample_table_name"
  billing_mode = "PAY_PER_REQUEST"
  hash_key     = "sample_hash_key"
  range_key    = "sample_range_key"

  attribute {
    name = "sample_hash_key"
    type = "S"
  }
  attribute {
    name = "sample_range_key"
    type = "S"
  }

  tags_all = merge(
    local.common_tags,
    {
      "Name" = "sample_table_name"
    },
  )
}

3. 升级AWS Provider版本 #

当前使用的4.63.0版本存在标签处理的已知bug，升级到>=4.70.0的稳定版本可修复该问题：

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = ">= 4.70.0"
    }
  }
}

4. 统一标签键大小写 #

确保本地配置的标签键与AWS控制台中实际存在的标签键大小写完全一致，消除大小写不匹配导致的差异。

内容的提问来源于stack exchange，提问作者krishna hegde