修改aws_s3_bucket_lifecycle_configuration过期值后Terraform误判S3资源变更

此前将所有S3桶资源放在同一个Terraform资源块中时，部署未出现问题。拆分至独立资源块后，修改aws_s3_bucket_lifecycle_configuration的过期天数从30改为90，执行terraform apply/terraform plan时，会检测到未做任何修改的S3桶主资源（aws_s3_bucket.karthik_s3）存在变更。

相关Terraform代码如下：

resource "aws_s3_bucket" "karthik_s3" {
  bucket = module.naming.name

  tags = module.tags.default_tags
}

resource "aws_s3_bucket_versioning" "karthik_s3_versioning" {
  bucket = aws_s3_bucket.karthik_s3.id
  versioning_configuration {
    status = "Enabled"
  }
}

resource "aws_s3_bucket_server_side_encryption_configuration" "karthik_s3_encryption" {
  bucket = aws_s3_bucket.karthik_s3.bucket

  rule {
    apply_server_side_encryption_by_default {
      kms_master_key_id = aws_kms_key.kms_key.arn
      sse_algorithm     = "aws:kms"
    }
  }
}

resource "aws_s3_bucket_lifecycle_configuration" "karthik_s3_lifecycle" {
  bucket = aws_s3_bucket.karthik_s3.id
  rule {
    id      = "expire_all_files"

    expiration {
      days = 30
    }

    noncurrent_version_expiration {
      noncurrent_days  = 30
    }

    status = "Enabled"
  }
}

resource "aws_s3_bucket_policy" "karthik_s3_policy" {
  bucket = aws_s3_bucket.karthik_s3.id
  policy = data.aws_iam_policy_document.karthik_s3_policy_document.json
}

这种问题源于Terraform AWS Provider处理S3子资源（版本控制、加密配置、生命周期规则等）时的状态刷新机制：

• 子资源变更触发API调用后，Provider会重新拉取主桶的状态信息，AWS S3 API返回的部分隐含属性（如bucket_domain_name、内部元数据）可能被重新计算，导致Terraform误判主桶存在变更。
• 主桶资源块未显式声明所有可选属性时，Terraform会将API返回的默认值纳入状态管理，子资源变更后的状态刷新会让这些默认值被当作“新变更”。
• 当前代码中，子资源对桶的引用字段不统一（有的用id，有的用bucket），进一步加剧了状态不一致的问题。

1. 统一桶引用字段 #

确保所有子资源（版本控制、加密、生命周期、桶策略）使用相同的桶标识符字段，要么全用aws_s3_bucket.karthik_s3.id，要么全用aws_s3_bucket.karthik_s3.bucket，避免混合引用导致的状态冲突。

2. 显式声明主桶属性 #

在aws_s3_bucket资源块中显式添加所有可能被API返回的属性（即使使用默认值），比如：

resource "aws_s3_bucket" "karthik_s3" {
  bucket = module.naming.name
  tags = module.tags.default_tags
  
  # 显式声明默认属性，避免Terraform将API返回值视为变更
  force_destroy       = false
  object_lock_enabled = false
}

3. 忽略不必要的变更字段 #

如果某些属性是AWS自动生成且无需管理的，可通过lifecycle块忽略其变更检测，示例：

resource "aws_s3_bucket" "karthik_s3" {
  bucket = module.naming.name
  tags = module.tags.default_tags

  lifecycle {
    ignore_changes = [
      # 根据plan输出的变更字段添加，比如bucket_domain_name、arn等
      bucket_domain_name,
    ]
  }
}

4. 升级AWS Provider版本 #

部分旧版本的AWS Provider存在S3状态刷新的bug，升级到最新稳定版可解决此类问题，修改required_providers配置：

terraform {
  required_providers {
    aws = {
      source  = "hashicorp/aws"
      version = "~> 5.0" # 使用最新稳定版
    }
  }
}

内容的提问来源于stack exchange，提问作者karthik