Terraform跨账号创建VPC Peering连接始终触发资源替换问题

• 执行计划首行已经明确给出强制替换的直接原因：aws_vpc_peering_connection.a 被标记为 tainted（污染） 状态。lifecycle.ignore_changes = all 对tainted资源完全无效，该规则仅能忽略配置与状态文件之间的普通属性差异，无法覆盖taint标记触发的强制销毁重建逻辑。
• 资源被自动打上taint标记是跨账号VPC Peering场景的典型兼容问题：
  你作为连接请求方没有对端账号的API访问权限，当对端管理员接受Peering连接后，AWS API返回的资源属性会新增accepter配置块（即执行计划中显示要新增的配置块），但你无法通过跨账号API拉取到该块下ClassicLink配置、对端DNS解析配置等完整属性。3.x及更早版本的Terraform AWS Provider检测到配置中未声明accepter块、且无法读取该块完整属性时，会自动将资源标记为tainted，触发重建流程。

1. 先手动移除状态文件中该资源的taint标记，执行以下命令：

   terraform untaint module.vpc.aws_vpc_peering_connection.a
   

   执行完成后重新生成执行计划，强制替换的提示会直接消失。
2. 调整资源配置，避免后续运行时再次触发自动taint逻辑，参考配置如下：

   resource "aws_vpc_peering_connection" "a" {
     peer_owner_id = var.a.aws_account_id
     peer_vpc_id   = var.a.vpc_id
     vpc_id        = aws_vpc.main.id
     peer_region   = "eu-west-1"
   
     requester {
       allow_remote_vpc_dns_resolution = false
     }
   
     # 补充空accepter块，匹配API返回的资源结构
     accepter {}
   
     lifecycle {
       # 仅忽略无权限管理的对端配置、以及随对端操作变化的状态字段
       ignore_changes = [
         accepter,
         accept_status
       ]
     }
   }
   

3. 不要使用ignore_changes = all的全量忽略配置，该配置会导致你后续修改自有侧配置（比如本端VPC的DNS解析开关、对等连接Region等）时变更无法正常生效，仅需指定忽略无权管理的字段即可。
4. 可选长期方案：将Terraform AWS Provider升级到4.x及以上稳定版本，新版本已经修复了跨账号Peering场景下自动标记资源为tainted的已知bug，不会再出现对端接受连接后资源被误判需要重建的问题。

内容的提问来源于stack exchange，提问作者Roman Banakh