修改Google Compute Engine启停调度器时，如何避免Terraform重建实例？

这个问题确实挺棘手的，我之前也遇到过类似的情况——Terraform对GCP资源策略的处理方式确实有点反直觉，尤其是绑定实例后的更新操作。让我帮你拆解一下问题根源，再给出可行的解决方案：

问题本质 #

1. GCP API限制：资源策略一旦绑定到实例，就无法直接删除或修改，必须先从实例上解绑。
2. Terraform Provider限制：Google Provider把google_compute_instance的resource_policies参数标记为ForceNew，意味着修改这个列表会强制重建实例，这也是你一开始不想碰这个参数的原因。
3. ignore_changes的副作用：当你给resource_policies加上ignore_changes后，Terraform会忽略实例上的策略绑定更新，但它还是会尝试销毁旧的资源策略——而此时旧策略还绑在实例上，自然就触发了resourceInUseByAnotherResource错误。

最优解决方案：用null_resource配合gcloud命令（无需重建实例） #

虽然你一开始不想用null_resource，但这是目前纯代码方式里唯一能避免实例重建的方法，它直接调用GCP API执行解绑/绑定操作，绕过Terraform的ForceNew限制。修改后的代码如下：

resource "google_compute_resource_policy" "instance_schedule" {
  name        = "my-instance-schedule"
  region      = var.region
  description = "Start and stop instance"

  # 先创建新策略再删旧的，避免启停调度中断
  lifecycle {
    create_before_destroy = true
  }

  instance_schedule_policy {
    vm_start_schedule {
      schedule = var.vm_start_schedule
    }
    vm_stop_schedule {
      schedule = var.vm_stop_schedule
    }
    time_zone = "Europe/Paris"
  }
}

resource "google_compute_instance" "my-instance" {
  lifecycle {
    ignore_changes = [resource_policies]
  }

  name         = "my-instance"
  machine_type = var.machine_type
  zone         = "${var.region}-b"
  allow_stopping_for_update = true

  # 初始部署时绑定策略，后续由null_resource管理更新
  resource_policies = [
    google_compute_resource_policy.instance_schedule.id
  ]

  boot_disk {
    device_name = local.ref_name
    initialize_params {
      image = var.boot_disk_image
      type  = var.disk_type
      size  = var.disk_size
    }
  }

  network_interface {
    network = data.google_compute_network.default.name
    access_config {
      nat_ip = google_compute_address.static.address
    }
  }
}

# 在旧策略销毁前，先从实例上解绑它
resource "null_resource" "detach_old_policy" {
  depends_on = [google_compute_instance.my-instance]

  provisioner "local-exec" {
    command = "gcloud compute instances remove-resource-policies ${google_compute_instance.my-instance.name} --resource-policies ${google_compute_resource_policy.instance_schedule.name} --zone ${google_compute_instance.my-instance.zone}"
    when    = "destroy"
  }
}

# 策略更新时，自动绑定新策略到实例
resource "null_resource" "attach_new_policy" {
  triggers = {
    # 策略ID变化时触发绑定操作
    policy_id = google_compute_resource_policy.instance_schedule.id
  }

  depends_on = [google_compute_resource_policy.instance_schedule]

  provisioner "local-exec" {
    command = "gcloud compute instances add-resource-policies ${google_compute_instance.my-instance.name} --resource-policies ${google_compute_resource_policy.instance_schedule.name} --zone ${google_compute_instance.my-instance.zone}"
  }
}

工作流程

1. 首次部署：正常创建资源策略和实例，实例绑定初始策略。
2. 修改调度时间：
   • Terraform先创建新的资源策略（因为create_before_destroy = true）
   • attach_new_policy触发，把新策略绑定到实例
   • detach_old_policy在旧策略销毁前执行，解绑旧策略
   • 旧策略被安全删除，整个过程实例不会重建

备选方案：接受临时实例重建（纯Terraform） #

如果你的业务能接受短暂的停机，可以不用外部命令，分两步操作：

1. 把实例的resource_policies设为空，执行terraform apply——这会重建实例并解绑旧策略
2. 修改调度时间，恢复resource_policies配置，再执行terraform apply——创建新策略并绑定到实例，实例再次重建

这个方法虽然简单，但会导致实例两次重建，只适合对停机时间不敏感的场景。

为什么Terraform会这么“低效”？ #

主要是因为Google Provider的历史遗留问题：早期GCP API不支持动态修改实例的策略绑定，所以Provider把resource_policies设为ForceNew。现在GCP已经支持动态绑定/解绑，但Provider的更新没跟上，或者为了兼容性保留了这个设置。

内容的提问来源于stack exchange，提问作者David