如何在Terraform销毁流程中跳过非空ECR仓库避免报错？

问题场景 #

在GitHub Action流水线中执行Terraform销毁操作，目标是销毁除ECR仓库外的所有AWS资源，但因ECR仓库非空，触发以下报错导致流水线标记为失败：

╷
│ Error: ECR Repository (container-test) not empty, consider using force_delete: RepositoryNotEmptyException: The repository with name 'container-test' in registry with id '264416219674' cannot be deleted because it still contains images
│
│
╵
Error: Terraform exited with code 1.
Error: Process completed with exit code 1.

已尝试prevent-destroy配置但无效，且资源耦合无法拆分Terraform运行。

可行解决方案 #

方案1：临时移除ECR状态记录 #

1. 在GitHub Action的销毁步骤前，执行命令将ECR仓库从Terraform状态中移除：

terraform state rm aws_ecr_repository.container_test

2. 执行terraform destroy，此时Terraform不会尝试销毁已移除状态的ECR仓库，其他资源可正常销毁。
3. 销毁完成后，若后续仍需用Terraform管理该ECR仓库，执行terraform import aws_ecr_repository.container_test container-test将其重新纳入状态。

方案2：用变量控制ECR资源的创建/销毁 #

1. 在Terraform配置中新增变量控制ECR仓库的实例化：

variable "keep_ecr" {
  type    = bool
  default = false
}

resource "aws_ecr_repository" "container_test" {
  count   = var.keep_ecr ? 1 : 0
  name    = "container-test"
  # 其他原有配置...
}

2. 在GitHub Action的销毁命令中传入变量，跳过ECR仓库的销毁：

terraform destroy -var="keep_ecr=true"

方案3：先清理ECR镜像再执行销毁（镜像可重建场景） #

如果ECR中的镜像可通过后续流程重新构建，可在销毁步骤前添加清理命令：

# 获取仓库内所有镜像的Digest
IMAGE_IDS=$(aws ecr list-images --repository-name container-test --query 'imageIds[*]' --output json)
# 批量删除镜像
if [ -n "$IMAGE_IDS" ] && [ "$IMAGE_IDS" != "[]" ]; then
  aws ecr batch-delete-image --repository-name container-test --image-ids "$IMAGE_IDS"
fi

清理完成后执行terraform destroy，此时ECR仓库为空，配合prevent-destroy配置即可保留仓库。

注意事项 #

• 方案1中移除状态后，Terraform暂时失去对ECR仓库的管理能力，需手动重新导入恢复。
• 方案2需确保所有依赖ECR的资源已被正确销毁，避免出现资源依赖报错。
• 方案3仅适用于镜像无需永久保留的场景。

内容的提问来源于stack exchange，提问作者alonso_50