如何通过Terraform重建已删除的AKS集群并保留现有资源？

核心问题分析 #

重置Terraform状态后，Terraform失去了对已存在资源（如资源组、Key Vault访问策略）的跟踪，执行流水线时会尝试重复创建这些资源，导致冲突。我们需要将现有资源重新导入Terraform状态，让它识别这些资源已存在，仅重建AKS集群。

具体操作步骤 #

1. 识别需导入的已存在资源
   查看terraform plan输出或报错信息，确定哪些资源被标记为要创建但实际已存在（比如报错中的资源组、三个Key Vault访问策略）。

2. 导入资源组到Terraform状态
   执行以下命令，替换<订阅ID>和<资源组名称>为实际值：

   terraform import module.rg.azurerm_resource_group.rg /subscriptions/<订阅ID>/resourceGroups/<资源组名称>
   

3. 导入Key Vault访问策略到Terraform状态
   每个Key Vault访问策略对应一个身份（服务主体、用户或读者组），需获取对应身份的对象ID以及Key Vault的资源ID，然后逐个导入：

   # 导入服务主体策略
   terraform import module.keyvault.azurerm_key_vault_access_policy.service_principle_policy <KeyVault资源ID>/accessPolicies/<服务主体对象ID>
   
   # 导入用户策略
   terraform import module.keyvault.azurerm_key_vault_access_policy.users_policy <KeyVault资源ID>/accessPolicies/<用户对象ID>
   
   # 导入读者策略
   terraform import module.keyvault.azurerm_key_vault_access_policy.readers_policy <KeyVault资源ID>/accessPolicies/<读者组对象ID>
   

   • Key Vault资源ID可在Azure门户的Key Vault概览页获取，格式为/subscriptions/<订阅ID>/resourceGroups/<资源组名称>/providers/Microsoft.KeyVault/vaults/<KeyVault名称>
   • 身份对象ID可通过Azure CLI命令获取，例如服务主体对象ID：az ad sp show --id <SP应用ID> --query id -o tsv；用户对象ID：az ad user show --id <用户邮箱> --query id -o tsv

4. 验证状态导入结果
   运行terraform plan，检查输出：

   • 已导入的资源应显示No changes. Your infrastructure matches the configuration.
   • 仅AKS相关资源会被标记为To create

5. 执行AKS重建
   确认无误后，运行：

   terraform apply
   

注意事项 #

• 确保Terraform配置文件中资源的定义与Azure上现有资源的属性完全一致，否则导入后terraform plan会出现配置与状态的差异，需调整配置或修正状态。
• 如果还有其他已存在的资源（如虚拟网络、存储账户等）被Terraform标记为要创建，需按相同方法导入到状态中。

内容的提问来源于stack exchange，提问作者Felipe