Terraform导入aws_api_gateway_account时cloudwatchRoleArn导入异常

该问题和你执行的导入命令操作无关，由两类因素共同导致：

1. AWS Provider 4.18.0版本存在已知字段解析Bug：该版本中aws_api_gateway_account资源的导入读取逻辑存在代码缺陷，调用AWS GetAccount接口后，响应体中cloudwatchRoleArn字段的JSON解析路径配置错误，导入时不会把接口返回的角色ARN写入Terraform状态，属于Provider本身的功能问题，该Bug在后续小版本迭代中才被修复。
2. AWS API Gateway接口最终一致性影响：API Gateway的账号级配置是全局分发的，如果你在配置CloudWatch角色后的短时间内执行导入/查询操作，get-account接口可能返回未同步完成的旧数据，暂时缺失cloudwatchRoleArn字段，该问题属于AWS侧的接口特性，和Terraform无关。

按顺序执行以下操作定位具体原因：

• 执行AWS CLI命令校验接口真实返回值：aws apigateway get-account --query cloudwatchRoleArn --output text，如果返回结果为None，说明AWS侧接口暂未同步配置，等待2-3分钟后重试即可；如果返回了正确的角色ARN，可确定是Provider侧的解析问题。
• 执行terraform state show aws_api_gateway_account.rest_api_account查看本地状态中存储的资源属性，确认cloudwatch_role_arn字段为空，排除导入后配置漂移导致的字段不匹配。
• 执行terraform version核对当前运行的Provider版本，确认AWS Provider版本为4.18.0，匹配已知Bug的影响范围。

根据你的环境约束选择对应方案：

• 推荐方案：升级Provider版本：将AWS Provider升级到4.22.0及以上的4.x稳定版本，或兼容Terraform 1.2.2的5.10.0以上5.x版本。升级完成后先执行terraform state rm aws_api_gateway_account.rest_api_account移除状态中导入错误的资源，再重新执行原导入命令即可正常拉取所有字段。
• 临时方案（无法升级Provider时使用）：在Terraform配置文件中为aws_api_gateway_account资源显式配置cloudwatch_role_arn参数，值填CLI查询到的正确角色ARN，先执行terraform plan确认无预期外变更，再执行terraform apply -refresh-only强制刷新状态中的字段值，即可完成字段对齐。
• 导入操作前预留3-5分钟的配置同步窗口，避开AWS接口最终一致性的缓存周期，不要在修改CloudWatch角色后立刻执行导入。

注：aws_api_gateway_account是API Gateway的全局单例资源，不存在实际的资源ID，你使用的导入命令terraform import aws_api_gateway_account.rest_api_account api-gateway-account完全符合官方文档要求，不存在操作错误。

内容的提问来源于stack exchange，提问作者tomilers