执行terraform destroy无法删除HashiCorp Vault内部身份组问题咨询

按照出现概率从高到低排序，逐一排查即可：

1. 最高发：Vault 外部身份组的默认保护机制 #

这属于Vault和Terraform Provider的默认设计逻辑，不是Bug：

• 类型为external的身份组，Vault默认认为其生命周期权威源是绑定的外部身份提供方（LDAP、OIDC、SAML、Okta等），因此Terraform Vault Provider从3.5.0版本开始，默认不会主动删除外部身份组，执行destroy时只会移除Terraform托管的配置属性，组实体本身会保留在Vault中。
• 如果需要让Terraform主动删除外部身份组，需要在对应vault_identity_group资源块中显式配置参数：

resource "vault_identity_group" "example_external" {
  name     = "example-external-group"
  type     = "external"
  # 显式允许Provider删除外部身份组
  disable_external_group_removal = false
}

配置完成后执行terraform apply更新状态，再重新执行destroy即可正常删除。

• 额外注意：Vault内置的default身份组是系统保留资源，无论用什么方式都无法删除，如果你的Terraform配置中引用了这个默认组，destroy时会自动跳过该资源，属于正常现象。

2. 配置与权限疏漏 #

• 检查资源是否配置了防删除生命周期规则：打开Terraform配置文件，搜索所有vault_identity_group资源块，如果存在lifecycle { prevent_destroy = true }配置，destroy时会直接跳过该资源的删除操作，且不会抛出阻断级别的错误，仅会在TRACE级别的日志中记录跳过行为。
• 检查Terraform操作Vault使用的Token权限：使用和Terraform相同的Vault Token执行vault token capabilities identity/group/id/*，确认返回的权限列表中包含delete。很多场景下给Terraform分配的Token仅配置了create、update、read权限，漏配delete权限时，apply操作可以正常执行，但destroy时会无提示跳过删除。
• 检查身份组是否存在非Terraform托管的关联资源：如果身份组被手动通过UI/API绑定了实体、子组、访问策略，部分旧版本Provider在校验到非自身管理的关联项时，会直接跳过删除而不返回错误。可以执行vault list identity/group/id列出所有组ID，再通过vault read identity/group/id/<组ID>查看残留组的关联项，手动清理完所有非Terraform创建的关联后，再重试destroy。

3. 已知版本Bug #

• Vault Provider 3.10.0~3.12.0版本存在已知删除顺序问题：当身份组配置了member_group_ids关联子组时，Provider会先尝试删除父组，此时Vault会因为存在子组关联拒绝删除请求，但Provider没有捕获该错误，直接将资源标记为已删除，导致资源残留。该问题在3.13.0及之后版本已经修复，升级Provider版本后执行terraform refresh同步状态，再重新执行destroy即可。
• 如果apply过程中曾出现过中断，可能导致本地状态文件中记录的组ID和Vault实际存储的ID不匹配，Terraform找不到对应资源时会直接跳过删除。这种情况可以先执行terraform state rm <资源地址>将状态中无效的资源项移除，再手动核对Vault控制台的残留资源手动清理即可。

内容的提问来源于stack exchange，提问作者hitman126