添加安全组规则时Terraform拟替换EC2实例问题咨询

问题现象 #

在Terraform中定义EC2实例及独立安全组规则资源后，新增一条SSH入站规则，执行terraform plan/apply时，Terraform提示需替换整个安全组，进而导致关联的EC2实例被强制替换。

现有安全组及规则配置 #

resource "aws_security_group" "ec2_web" {
  name        = "${var.project_name}_${var.env}_ec2_web"
  description = "ec2 instances that serve to the load balancer"
  vpc_id      = aws_vpc.main.id
}
resource "aws_security_group_rule" "ec2_web_http" {
  type              = "egress"
  from_port         = 80
  to_port           = 80
  protocol          = "tcp"
  # cidr_blocks       = ["0.0.0.0/0"]
  security_group_id = aws_security_group.ec2_web.id
  source_security_group_id = aws_security_group.elb.id
}
resource "aws_security_group_rule" "ec2_web_ssh" {
  type              = "ingress"
  from_port         = 22
  to_port           = 22
  protocol          = "tcp"
  cidr_blocks       = ["${var.ip_address}/32"]
  security_group_id = aws_security_group.ec2_web.id
}

新增的安全组规则 #

resource "aws_security_group_rule" "ec2_web_ssh_test" {
  type              = "ingress"
  from_port         = 22
  to_port           = 22
  protocol          = "tcp"
  cidr_blocks       = ["${var.ip_address}/32"]
  security_group_id = aws_security_group.ec2_web.id
}

EC2实例核心配置 #

resource "aws_instance" "ec2" {
  ami           = "ami-0b5eea76982371e91"
  instance_type = "t3.small"
  key_name      = "${var.project_name}"

  # ... 其他配置省略

  security_groups = [aws_security_group.ec2_web.id]
  # vpc_security_group_ids = [aws_security_group.main.id]
  subnet_id = aws_subnet.main1.id
}

Terraform Plan核心输出 #

# aws_instance.ec2 must be replaced
-/+ resource "aws_instance" "ec2" {
...
      ~ security_groups                      = [ # forces replacement
          + "sg-0befd5d21eee052ad",
        ]

问题原因 #

1. 参数适配场景错误：

   • security_groups参数是为**经典EC2（非VPC环境）**设计的，用于通过名称引用安全组；而VPC环境下，应该使用vpc_security_group_ids参数关联安全组ID。
   • 在VPC中使用security_groups时，Terraform会将安全组的规则变更误判为安全组实体的根本性变更，进而标记安全组需要替换，关联的EC2实例也会被强制替换。

2. 独立规则资源的触发逻辑：

   • 当使用aws_security_group_rule独立管理安全组规则时，安全组的rules属性由外部资源维护。若EC2实例用security_groups关联该安全组，Terraform检测到规则变更时，会认为安全组状态已发生不可逆变化，触发替换流程。

解决办法 #

方法1：使用VPC专用参数关联安全组 #

将EC2实例配置中的security_groups替换为vpc_security_group_ids，参数值保持不变：

resource "aws_instance" "ec2" {
  # ... 其他配置保留
  # security_groups = [aws_security_group.ec2_web.id]
  vpc_security_group_ids = [aws_security_group.ec2_web.id]
  subnet_id = aws_subnet.main1.id
}

这是VPC环境下的标准配置方式，修改后安全组规则的变更不会触发EC2实例替换。

方法2：将规则内联到安全组资源（可选） #

若不想使用独立的aws_security_group_rule资源，可将规则直接定义在aws_security_group的ingress/egress块中：

resource "aws_security_group" "ec2_web" {
  name        = "${var.project_name}_${var.env}_ec2_web"
  description = "ec2 instances that serve to the load balancer"
  vpc_id      = aws_vpc.main.id

  egress {
    from_port         = 80
    to_port           = 80
    protocol          = "tcp"
    source_security_group_id = aws_security_group.elb.id
  }

  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = ["${var.ip_address}/32"]
  }

  # 新增的SSH规则
  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = ["${var.ip_address}/32"]
  }
}

这种方式下规则变更不会触发安全组替换，但仍建议优先使用vpc_security_group_ids适配VPC环境。

内容的提问来源于stack exchange，提问作者iateadonut