为何Terraform中仅忽略cluster_members仍会重建RDS集群？

我设置ignore_changes = all时，能成功避免每次执行apply操作时重建RDS集群，但实际只有cluster_members这一个参数会发生变化。可当我仅把该参数加入ignore_changes列表时，集群依然会被销毁重建，想知道这是为什么。

Terraform配置代码 #

resource "aws_rds_cluster" "aurora_cluster" {

  cluster_identifier               = local.cluster_id
  final_snapshot_identifier        = try(data.aws_db_cluster_snapshot.start_from_snapshot[0].id, null)
  engine                           = "aurora-mysql"
  engine_version                   = var.rds_engine_version
  engine_mode                      = "provisioned"
  master_username                  = var.rds_master_username
  master_password                  = var.rds_master_password
  db_subnet_group_name             = aws_db_subnet_group.rds-subnet-group.name
  vpc_security_group_ids           = concat([aws_security_group.rds_inbound.id], var.external_sgs)
  apply_immediately                = true
  skip_final_snapshot              = true
  deletion_protection              = var.deletion_protection
  backup_retention_period          = var.backup_retention_period
  enabled_cloudwatch_logs_exports  = var.rds_cloudwatch_logs
  kms_key_id                       = data.aws_kms_alias.rds_kms_key.arn
  storage_encrypted                = true
  db_cluster_parameter_group_name  = aws_rds_cluster_parameter_group.rds-cluster-params.name
  db_instance_parameter_group_name = aws_db_parameter_group.rds-instance-params.name
  tags = merge(
    local.common_tags,
    {
      Description = "RDS cluster ..."
    }
  )
  lifecycle {
    ignore_changes = [cluster_members]
  }
}

Terraform Plan输出 #

# aws_rds_cluster.aurora_cluster has changed
  ~ resource aws_rds_cluster aurora_cluster {
      ~ cluster_members                     = [
          + rds-1-1,
          + rds-1-2,
        ]
        id                                  = rds-1
        tags                                = {
            Description      = RDS cluster 1
            EnvName          = env
            EnvType          = dev
            ...
        }
        # (37 unchanged attributes hidden)
    }


Unless you have made equivalent changes to your configuration, or ignored the
relevant attributes using ignore_changes, the following plan may include
actions to undo or respond to these changes.

核心原因 #

1. cluster_members是计算属性而非可配置属性：在Terraform的AWS Provider中，cluster_members属于RDS集群的派生计算属性，它是AWS自动维护的实例关联列表，不是用户可以手动配置的字段。单独忽略这个属性，无法覆盖Provider内部可能触发重建的其他隐性逻辑。

2. 存在未被显示的强制重建属性：虽然Plan只展示了cluster_members的变化，但被隐藏的37个属性中，可能存在某个属性的变更被标记为强制替换（forces replacement）。这类属性的修改必然会触发集群重建，和ignore_changes是否包含cluster_members无关。

3. final_snapshot_identifier的动态取值风险：你配置中用try(data.aws_db_cluster_snapshot.start_from_snapshot[0].id, null)来设置该字段，如果这个数据源的结果在每次Plan时发生变动（比如快照ID变化），会导致Terraform认为需要修改该属性，而该字段的变更可能触发集群重建。

解决步骤 #

1. 排查完整的Plan输出：执行terraform plan -no-color，搜索关键词# forces replacement，确认是否有其他属性触发重建。
2. 固定final_snapshot_identifier的取值：如果该字段不需要动态获取，直接设置为固定值；如果必须动态获取，确保数据源的结果稳定，不会在无变更时返回不同值。
3. 升级AWS Provider版本：部分旧版本的AWS Provider对RDS集群的属性处理存在bug，升级到最新稳定版可能解决问题。
4. 扩展ignore_changes的范围：如果确认只有计算属性导致的差异，可以将所有RDS集群的派生计算属性加入ignore_changes，比如cluster_resource_id、endpoint、reader_endpoint等，但前提是先排除其他强制重建的因素。

内容的提问来源于Stack Exchange，提问作者Marisol