如何在Terraform destroy时自动删除AWS日志组与日志流？

首先分两种场景处理，取决于日志组是Terraform显式管理的，还是其他AWS资源自动生成的：

场景1：日志组是你在Terraform代码里定义的 #

如果destroy没删，大概率是配置了保护机制：

• 检查你的aws_cloudwatch_log_group资源是否设置了prevent_destroy = true，这个参数会强制阻止资源被销毁，删掉该配置即可。
• 确认资源在Terraform状态文件中存在：运行terraform state list，如果找不到对应的日志组资源，说明它没被Terraform管理，需要用terraform import aws_cloudwatch_log_group.<资源名> <日志组完整路径>导入，之后destroy就会自动处理。

场景2：日志组是其他AWS资源自动创建的（比如Lambda、ECS默认生成的） #

这类日志组不属于Terraform默认管理范围，需要手动介入让Terraform处理：

方案A：提前显式定义日志组并关联到服务 #

比如给Lambda函数指定你自己定义的日志组，这样Terraform会把日志组纳入管理，destroy时一起删除：

resource "aws_cloudwatch_log_group" "lambda_demo" {
  name              = "/aws/lambda/my-demo-function"
  retention_in_days = 1 # 按需设置
}

resource "aws_lambda_function" "demo" {
  function_name = "my-demo-function"
  # 其他Lambda配置（代码包、角色等）...
  
  # 让Lambda依赖日志组，确保创建顺序正确
  depends_on = [aws_cloudwatch_log_group.lambda_demo]
}

方案B：用null_resource在destroy阶段调用AWS CLI删除 #

如果不想提前定义日志组，可以在destroy时执行命令清理：

resource "null_resource" "cleanup_unmanaged_logs" {
  # 用timestamp确保每次destroy都触发
  triggers = {
    always_run = timestamp()
  }

  provisioner "local-exec" {
    when        = destroy
    # 替换成你要删除的日志组名称，支持批量匹配（比如用aws logs describe-log-groups过滤后删除）
    command     = "aws logs delete-log-group --log-group-name '/aws/lambda/my-demo-function'"
    environment = {
      AWS_REGION = var.aws_region
    }
  }
}

注意：执行Terraform的环境需要有logs:DeleteLogGroup的IAM权限，且要准确匹配日志组名称，避免误删。

方案C：导入已存在的自动生成日志组到Terraform #

如果日志组已经被服务创建了，用terraform import把它加入Terraform管理：

terraform import aws_cloudwatch_log_group.lambda_demo /aws/lambda/my-demo-function

之后在代码中补上对应的aws_cloudwatch_log_group资源块，下次destroy就会自动删除。

批量清理的小技巧 #

如果有大量同前缀的日志组要清理，可以用数据源先过滤，再批量删除：

data "aws_cloudwatch_log_groups" "lambda_logs" {
  name_prefix = "/aws/lambda/my-project-" # 按你的前缀过滤
}

resource "null_resource" "batch_cleanup_logs" {
  for_each = toset(data.aws_cloudwatch_log_groups.lambda_logs.names)

  provisioner "local-exec" {
    when        = destroy
    command     = "aws logs delete-log-group --log-group-name '${each.value}'"
    environment = {
      AWS_REGION = var.aws_region
    }
  }
}

内容的提问来源于stack exchange，提问作者Dawid_K