Terraform为何无法通过destroy删除Azure Network Watcher资源

NetworkWatcherRG资源组及内部的Network Watcher资源是Azure平台自动创建的托管资源，不属于Terraform管控范围，因此不会随terraform destroy命令被删除。

具体机制说明 #

• 当你在任意Azure区域创建首个虚拟网络资源时，Azure平台会自动在对应区域部署Network Watcher网络监控服务，该服务默认存放在平台预置的NetworkWatcherRG资源组中。这个创建动作是Azure后台的默认行为，不管你用什么工具创建虚拟网络（门户、CLI、Terraform、ARM模板）都会触发，和Terraform本身没有关系。
• Terraform仅会管理你在配置文件中明确定义、且已经写入本地state状态文件的资源，这个自动生成的资源组从未被纳入Terraform的资源清单，因此执行销毁操作时Terraform不会触碰这部分资源。
• 该资源组默认在Azure门户常规视图下处于隐藏状态，需要切换到资源简化视图多次刷新、或等待平台资源同步完成后才能看到，属于Azure平台的默认设计，不是资源部署异常。

处理建议 #

• Network Watcher是Azure提供的基础网络监控服务，默认部署的实例不会产生额外费用，日常使用无需手动删除。
• 如果你需要在环境清理阶段移除该资源组，不要尝试通过Terraform配置管理该资源——只要对应区域内还存在虚拟网络，平台会自动重建被删除的Network Watcher实例。你可以在执行完terraform destroy清理完所有自定义资源后，通过Azure CLI或门户手动删除该资源组。

本次测试使用的Terraform配置内容如下：

# Terraform settings Block
terraform {
  required_version = ">= 1.0.0"
  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = ">= 2.0"
    }
  }
}

# Provider Block
provider "azurerm" {
  features {}
}

# create virtual network
resource "azurerm_virtual_network" "myvnet" {
  name                = "vivek-1-vnet"
  address_space       = ["10.0.0.0/16"]
  location            = azurerm_resource_group.myrg.location
  resource_group_name = azurerm_resource_group.myrg.name
  tags = {
    "name" = "vivek-1-vnet"
  }
}

# Resource: Azure Resource Group
resource "azurerm_resource_group" "myrg" {
  name     = "vivek-vnet-rg"
  location = var.resource_group_location
}


variable "resource_group_location" {
  default     = "centralindia"
  description = "Location of the resource group."
}

本次测试依次执行的命令如下：

terraform fmt

terraform init

terraform validate

terraform plan -out main.tfplan

terraform apply main.tfplan

terraform plan -destroy -out main.destroy.tfplan

terraform apply main.destroy.tfplan

内容的提问来源于stack exchange，提问作者VivekDev