Terraform无法检测ECR镜像更新以更新Lambda函数

问题核心在于：Terraform仅通过image_uri的字符串内容判断配置是否变化，当你使用:latest标签时，字符串本身不会改变——哪怕该标签已经指向了新的镜像。所以Terraform无法感知到镜像实际内容的更新。

下面提供两种可行的解决方案：

方案一：使用ECR镜像的摘要（Digest）引用镜像 #

通过aws_ecr_image数据源获取latest标签对应的镜像唯一摘要，用完整的仓库URL@摘要格式作为image_uri。每次镜像更新，摘要会随之改变，Terraform就能自动检测到配置变化。

修改后的Terraform代码：

data "aws_ecr_repository" "service" {
  name = "ecr-repository"
}

# 获取latest标签对应的镜像摘要
data "aws_ecr_image" "latest_service_image" {
  repository_name = data.aws_ecr_repository.service.name
  image_tag       = "latest"
}

resource "aws_lambda_function" "test_lambda" {
  # 用摘要替代标签，确保镜像变更能被Terraform感知
  image_uri = "${data.aws_ecr_repository.service.repository_url}@${data.aws_ecr_image.latest_service_image.image_digest}"
  function_name = "lambda_function_name"
  role          = aws_iam_role.iam_for_lambda.arn
  handler       = "index.test"
  runtime       = "nodejs16.x"

  environment {
    variables = {
      foo = "bar"
    }
  }
}

注意：执行Terraform的权限需要包含ecr:DescribeImages操作，确保能读取镜像摘要信息。

方案二：使用Git提交ID作为镜像标签引用 #

既然你的GitLab CI已经给镜像打上了提交ID标签，直接在Terraform里引用这个具体的标签而非latest。每次构建的提交ID唯一，image_uri字符串会随提交变化，Terraform自然能检测到更新。

步骤1：在GitLab CI中传递提交ID给Terraform #

在流水线的Terraform执行步骤中，把CI内置的CI_COMMIT_SHA变量传入：

terraform apply -var commit_sha=$CI_COMMIT_SHA

步骤2：修改Terraform代码接收变量并引用 #

# 定义接收提交ID的变量
variable "commit_sha" {
  type = string
}

data "aws_ecr_repository" "service" {
  name = "ecr-repository"
}

resource "aws_lambda_function" "test_lambda" {
  # 直接引用提交ID标签
  image_uri = "${data.aws_ecr_repository.service.repository_url}:${var.commit_sha}"
  function_name = "lambda_function_name"
  role          = aws_iam_role.iam_for_lambda.arn
  handler       = "index.test"
  runtime       = "nodejs16.x"

  environment {
    variables = {
      foo = "bar"
    }
  }
}

这种方式的优势在于能直接关联Lambda部署版本和Git提交记录，方便追溯问题。

内容的提问来源于stack exchange，提问作者Ramakrishnan_S