如何避免Terraform删除AWS已创建资源并阻止新增资源？

你的核心问题是误用了aws_s3_bucket资源块处理已存在的桶——Terraform的resource块本质是管理资源生命周期的，哪怕加了ignore_changes = all，只要桶不在Terraform状态库中，它还是会尝试创建，而桶已存在就会触发报错。另外你配置的aws_s3_bucket_public_access_block属于要新增的资源，也不符合“不创建额外资源”的要求。

正确配置思路 #

1. 用data "aws_s3_bucket"读取已存在的桶，而非resource块，让Terraform只读取桶信息，不干预桶的生命周期
2. 用aws_s3_object上传代码文件，通过lifecycle规则限制操作，只做上传/更新，不删除现有资源

修改后的配置代码 #

# 读取已存在的S3桶
data "aws_s3_bucket" "static_website" {
  for_each = var.env == "ololo" ? { "bucket" = var.bucket_name } : {}
  bucket   = each.value["bucket"]
}

# 上传代码文件到桶中（示例：遍历当前模块目录下所有文件，可按需调整范围）
resource "aws_s3_object" "website_files" {
  for_each = fileset(path.module, "**/*")
  bucket   = data.aws_s3_bucket.static_website[each.key].id
  key      = each.value
  source   = "${path.module}/${each.value}"

  # 关键规则：禁止删除对象，忽略桶属性变化带来的更新触发
  lifecycle {
    prevent_destroy = true
    ignore_changes  = [bucket]
  }
}

variable "bucket_name" {
  type        = string
  description = "已存在的S3桶名称"
  default     = ""
}

variable "env" {
  type        = string
  description = "环境变量，仅当值为ololo时执行上传操作"
  default     = "dev"
}

补充说明 #

• 若你的桶已配置好静态网站、公共访问策略等，无需在Terraform中重复配置，data源仅做读取，不会修改桶的原有配置
• fileset(path.module, "**/*")会遍历当前模块目录下所有文件，若只需上传特定文件（比如仅index.html），可改为fileset(path.module, "index.html")或指定具体路径
• prevent_destroy = true能彻底避免Terraform意外删除桶内已有对象，保障资源安全

内容的提问来源于stack exchange，提问作者highfive