设置lifecycle.prevent_destroy时Terraform plan/refresh报错如何解决

执行terraform plan或terraform refresh命令时可能触发如下报错：

Error: Instance cannot be destroyed

  on ..\ec2\ec2.tf line 89:
  89: resource "aws_instance" "strdicomdev" {

Resource module.ec2.aws_instance.strdicomdev has lifecycle.prevent_destroy
set, but the plan calls for this resource to be destroyed. To avoid this error
and continue with the plan, either disable lifecycle.prevent_destroy or reduce
the scope of the plan using the -target flag.

Releasing state lock. This may take a few moments...

报错由Terraform的防误删保护机制触发：module.ec2.aws_instance.strdicomdev资源配置了lifecycle.prevent_destroy = true规则，禁止资源被销毁，但当前执行的变更计划判定该资源需要执行删除操作，Terraform为避免误删关键资源直接中断流程。

• 定位销毁触发源：重新执行terraform plan，在输出中找到aws_instance.strdicomdev对应的变更条目，查看标注*# forces replacement*的关联变更项，常见触发销毁的场景包括：
  • 修改了EC2的不可热更新属性，比如AMI ID、实例规格、所属可用区、绑定子网、根卷加密配置等，这类参数修改后必须销毁原实例重建才能生效
  • 手动在AWS控制台删除了对应EC2实例，Terraform刷新状态时发现云端资源与本地state记录不匹配，判定需要重建资源
  • 调整了Terraform代码结构，比如修改资源命名、移动资源所属模块，导致Terraform将原有资源识别为待删除的旧资源，同时生成同名新资源的创建计划
• 校验防销毁配置：打开路径下的ec2/ec2.tf文件，定位到89行的aws_instance.strdicomdev资源块，确认lifecycle块中的prevent_destroy = true是主动配置的防误删规则，而非误加的无效配置。

根据实际业务场景选择对应处理方式即可：

• 场景1：不希望销毁现有EC2实例，仅做其他资源变更
  将触发强制重建的参数改回与现有资源一致的值，重新执行plan即可消除报错。如果是调整代码结构导致的资源识别异常，可通过terraform state mv命令将state文件中的旧资源地址迁移到新资源地址，避免触发销毁逻辑。
• 场景2：确认需要删除/重建该EC2实例，已完成数据备份、无业务影响
  临时将资源块内的lifecycle.prevent_destroy设置为false，或直接删除该行防销毁配置，重新执行plan/apply完成变更。操作完成后如果需要保留防误删能力，再将配置改回true即可。
• 场景3：仅需操作其他资源，不涉及该EC2实例变更
  执行Terraform命令时增加-target参数，指定需要变更的具体资源地址，缩小计划执行范围，跳过该受保护实例的校验，示例命令：terraform plan -target=module.ec2.aws_security_group.custom_sg

注意：生产环境修改prevent_destroy配置前必须确认实例数据已完成备份，避免误删导致业务中断、数据丢失。

内容的提问来源于stack exchange，提问作者Amit Kumar