Terraform init报错Variables not allowed，求问题排查方案

错误信息 #

│ Error: Variables not allowed
│ 
│   on ../../resources/s3-bucket/main.tf line 12, in resource "aws_s3_bucket" "s3-bucket":
│   12:     prevent_destroy = var.prevent_destroy
│ 
│ Variables may not be used here.
╵

╷
│ Error: Unsuitable value type
│ 
│   on ../../resources/s3-bucket/main.tf line 12, in resource "aws_s3_bucket" "s3-bucket":
│   12:     prevent_destroy = var.prevent_destroy
│ 
│ Unsuitable value: value must be known

问题原因 #

Terraform的lifecycle块中prevent_destroy属于核心元参数，用于保护资源不被意外销毁。该参数要求值必须是编译阶段即可确定的常量，不允许通过变量引用传递——即便变量已在.tfvars中赋值也不行。Terraform需要在计划阶段明确知晓该保护开关的状态，无法接受依赖运行时解析的动态值。

解决方案 #

直接使用常量值 #

修改../../resources/s3-bucket/main.tf中的lifecycle块，将prevent_destroy替换为固定布尔值：

resource "aws_s3_bucket" "s3-bucket" {
  # 其他配置...
  lifecycle {
    prevent_destroy = false # 根据需求设置为true或false
  }
  # 其他配置...
}

动态生成常量（如需环境区分） #

如果需要根据环境等条件动态控制该特性，可在模块调用处通过本地值生成常量，再传递给模块（模块内部仍需直接使用常量，不能用变量）：

# 调用模块的配置文件中
locals {
  # 根据环境标签生成常量
  prevent_destroy = var.tags_environment == "prod" ? true : false
}

module "s3-bucket" {
  source                  = "../../resources/s3-bucket"
  # 其他变量传递...
  # 此处传递的是编译时可确定的常量
  prevent_destroy         = local.prevent_destroy
}

涉及的配置参考 #

资源配置（原代码） #

resource "aws_s3_bucket" "s3-bucket" {
  bucket                  = var.bucket_name
  tags = {
    Name        = var.tags_name
    Environment = var.tags_environment
  }
  versioning { enabled = var.versioning }
  lifecycle {
    prevent_destroy = var.prevent_destroy
  }
  server_side_encryption_configuration {
    rule {
      apply_server_side_encryption_by_default {
        sse_algorithm = var.encryption_algorithm
      }
    }
  }
}

变量定义（原代码） #

variable "prevent_destroy" {
    type = bool
    description = "Turn on or off lifecycle"
}

模块调用（原代码） #

module "s3-bucket" {
    source                  = "../../resources/s3-bucket"
    region                  = var.region
    access_key              = var.access_key
    secret_key              = var.secret_key
    bucket_name             = var.bucket_name
    tags_name               = var.tags_name
    tags_environment        = var.tags_environment
    versioning              = var.versioning
    prevent_destroy         = var.prevent_destroy
    encryption_algorithm    = var.encryption_algorithm
}

TFVARS配置（原代码） #

prevent_destroy     = false

内容的提问来源于stack exchange，提问作者Chase