Terraform忽略Azure Policy自动添加标签的配置失效问题

问题根源 #

你遇到的情况是因为Terraform资源块中未显式定义tags属性，此时Terraform会默认将该资源的tags视为null。即便配置了ignore_changes = [tags]，Terraform仍会尝试把远程资源上由Azure Policy添加的标签置空——它认为本地状态里不存在这个属性，需要强制对齐远程状态。

解决方案 #

方案1：显式定义空标签配合ignore_changes #

在资源块中显式添加tags = {}，让Terraform在本地状态里记录该资源的标签为空，再通过lifecycle.ignore_changes忽略后续标签的变更。

修正后的代码示例：

resource "azurerm_virtual_machine_extension" "ext_ade" {
  depends_on = [azurerm_virtual_machine_extension.ext_domain_join, azurerm_virtual_machine_extension.ext_dsc]
  count      = var.session_hosts.quantity
  name       = var.ext_ade.name  
  virtual_machine_id = azurerm_windows_virtual_machine.vm.*.id[count.index]
  publisher = "Microsoft.Azure.Security"
  type      = "AzureDiskEncryption"
  type_handler_version = "2.2"
  auto_upgrade_minor_version = true

  settings = <<SETTINGS
  {
      "EncryptionOperation": "EnableEncryption",
      "KeyVaultURL": "${data.azurerm_key_vault.key_vault.vault_uri}",
      "KeyVaultResourceId": "${data.azurerm_key_vault.key_vault.id}",
      "KeyEncryptionKeyURL": "${azurerm_key_vault_key.ade_key.*.id[count.index]}",
      "KekVaultResourceId": "${data.azurerm_key_vault.key_vault.id}",
      "KeyEncryptionAlgorithm": "RSA-OAEP",
      "VolumeType": "All"
  }
  SETTINGS

  # 显式定义空标签，让Terraform状态识别该属性
  tags = {}

  lifecycle {
    ignore_changes = [settings, tags]
  }
}

方案2：全局忽略Azure Policy添加的标签（Azurerm Provider ≥3.0） #

如果不想给每个资源单独配置lifecycle，可以在Azurerm Provider级别配置ignore_tags，指定要忽略的标签前缀或具体键（比如Azure Policy常用的CostCenter、Environment，或自定义Policy添加的标签）。

示例Provider配置：

provider "azurerm" {
  features {}

  ignore_tags {
    # 忽略所有以"policy-"开头的标签
    key_prefixes = ["policy-"]
    # 或者直接忽略特定标签键
    # keys = ["CostCenter", "Environment"]
  }
}

验证步骤 #

1. 执行terraform refresh，让Terraform同步远程资源的当前状态
2. 再运行terraform plan，检查是否还会出现移除标签的冗余变更

内容的提问来源于stack exchange，提问作者Jon