aws_s3_bucket_lifecycle_configuration的prevent_destroy等效配置

你混淆了两个完全独立的概念，这也是配置报错的根本原因：

• 旧资料提到的prevent_destroy是Terraform自带的资源生命周期元参数，和AWS S3服务本身的生命周期规则没有任何关系，不需要通过aws_s3_bucket_lifecycle_configuration资源配置。这个元参数的作用是在Terraform执行阶段检测到删除对应资源的操作时直接抛出错误，拦截Terraform发起的删除动作。
• aws_s3_bucket_lifecycle_configuration是用于配置S3服务端对象生命周期规则的专用资源，仅支持配置对象自动转储、自动过期删除等对象级操作，本身没有任何防止存储桶被删除的能力。你之前写的空规则触发报错，是因为AWS API强制要求每条S3生命周期规则必须绑定至少一个对象操作动作，空规则不符合接口校验规则。

Terraform侧删除拦截（即旧版lifecycle_configuration=prevent_destroy的等效写法） #

直接在aws_s3_bucket资源块内部嵌套lifecycle元参数块即可，不需要额外创建其他关联资源：

resource "aws_s3_bucket" "tf_remote_state" {
  bucket = "你的tf远程状态桶名称"
  # 其余桶基础配置（如标签、区域等）按实际需求填写

  # 防删除元参数配置
  lifecycle {
    prevent_destroy = true
  }
}

注意：该配置仅能拦截通过Terraform流程发起的桶删除操作，无法拦截通过AWS控制台、CLI、SDK等其他渠道发起的删除动作。

AWS侧全链路防误删加固（推荐配置） #

如果需要在云侧也拦截任意渠道发起的删除操作，需要额外补充两类配置：

• 开启桶版本控制与MFA删除，删除桶或对象版本必须校验MFA验证码：

resource "aws_s3_bucket_versioning" "tf_state_versioning" {
  bucket = aws_s3_bucket.tf_remote_state.id
  versioning_configuration {
    status     = "Enabled"
    mfa_delete = "Enabled"
  }
}

• 配置桶拒绝删除策略，默认拒绝所有主体的删除桶、删除对象权限，仅给指定运维角色放开白名单。

不存在任何在aws_s3_bucket_lifecycle_configuration资源内配置prevent_destroy的写法，所有相关误导性资料都是混淆了Terraform元参数和S3服务端生命周期资源的概念。

内容的提问来源于stack exchange，提问作者j7skov