如何通过Terraform修改RDS实例数据库密码而不重建实例？

要避免修改密码时RDS实例被销毁重建，可按以下步骤操作：

1. 检查并修正RDS资源配置 #

RDS的master_password字段支持原地更新，不会触发实例重建，除非配置中存在其他强制重建的参数变更。重点确认：

• 不要修改engine、storage_type这类AWS要求必须重建实例的核心参数
• 必须设置skip_final_snapshot = true，否则Terraform可能因快照要求触发实例重建

示例正确配置片段：

resource "aws_db_instance" "example_db" {
  identifier             = "my-production-db"
  engine                 = "mysql"
  engine_version         = "8.0"
  instance_class         = "db.t3.large"
  allocated_storage      = 50
  username               = "db_admin"
  master_password        = var.db_master_password
  skip_final_snapshot    = true # 关键配置，避免因快照触发重建
  delete_automated_backups = true

  # 其他必要配置（如子网组、安全组等）
}

2. 正确传递新密码 #

• 用敏感变量存储密码（避免明文泄露），示例变量定义：

variable "db_master_password" {
  type      = string
  sensitive = true
}

• 修改密码值后，直接执行terraform apply，Terraform会检测到master_password的变更，仅执行密码更新操作。

3. 排查强制重建的其他原因 #

如果仍触发实例重建，执行terraform plan查看输出，找到标记为# forces replacement的字段，确认是否有其他参数变更导致重建。例如：

aws_db_instance.example_db will be destroyed #

=> because "engine_version" was changed from "5.7" to "8.0" #

=> (forces replacement) #

需先修正这类强制重建的参数变更，再单独修改密码。

验证操作结果 #

修改密码后执行terraform plan，正常输出应包含：

# aws_db_instance.example_db will be updated in-place
  ~ resource "aws_db_instance" "example_db" {
        id                               = "my-production-db"
      ~ master_password                  = (sensitive value)
        # 其他未变更字段...
    }

看到will be updated in-place即表示是原地更新，不会重建实例。

内容的提问来源于stack exchange，提问作者Paras Nakum