Terraform中google_compute_subnetwork的secondary_ip_range更新问题求助

核心结论 #

这不是误导信息，而是Google Provider为兼容旧版本Terraform采用的attr-as-block模式导致的特殊处理逻辑，和你熟悉的普通for_each动态块确实存在差异，并非GCP API限制。

为什么会有差异？ #

attr-as-block是Terraform 0.12版本引入的兼容机制，用于让原本是列表属性的字段可以用块语法编写（兼容0.11及更早版本的写法）。对于这类字段，Terraform会把它当作列表属性而非动态生成的块集合处理：

• 普通动态块：当for_each的输入集合为空时，Terraform会自动移除所有生成的块
• attr-as-block模式的字段：Terraform默认会保留之前配置的块值，除非你显式用空列表覆盖

具体操作方法 #

不管你之前用的是静态块还是动态块，要彻底移除secondary_ip_range，必须显式设置secondary_ip_range = []：

场景1：之前用动态块

删掉原有的dynamic "secondary_ip_range"块，直接在资源块中添加空列表赋值：

resource "google_compute_subnetwork" "example" {
  name                  = "example-subnet"
  ip_cidr_range         = "10.0.0.0/24"
  region                = "us-central1"
  network               = google_compute_network.example.name
  secondary_ip_range    = [] # 显式传递空列表覆盖原有值
}

场景2：之前用静态块

替换所有secondary_ip_range块为secondary_ip_range = []：

resource "google_compute_subnetwork" "example" {
  name                  = "example-subnet"
  ip_cidr_range         = "10.0.0.0/24"
  region                = "us-central1"
  network               = google_compute_network.example.name
  secondary_ip_range    = [] # 替代原有的静态块
}

关键注意点 #

不要只依赖for_each输入为空来移除块——对于attr-as-block模式的字段，这种方式不会触发Terraform更新现有资源的属性，必须显式设置空列表才能让Terraform告知GCP API移除所有二级IP范围。

内容的提问来源于stack exchange，提问作者John Heyer