Terraform未检测到Azure门户手动创建的资源变更如何解决

核心成因 #

首先纠正一个绝大多数用户都会踩的认知偏差：Terraform默认根本不会主动扫描托管资源组下的所有非声明资源，自然不会对这些它根本“不知道存在”的资源生成销毁计划。具体原因可以归为四类：

• 纳管逻辑理解错误：Terraform的资源托管边界完全以terraform.tfstate文件中记录的资源列表为准，和Azure平台层面的资源组逻辑容器没有任何从属纳管关系。如果你在配置里只声明了azurerm_resource_group.xyz这一个资源，Terraform只会比对这个资源组本身的属性（位置、标签、资源锁等），不会主动拉取组下嵌套的Key Vault、虚拟机、存储账户等子资源做校验。这些子资源只要没被写进Terraform配置、没被导入state，对Terraform来说就是完全不存在的对象，当然不会出现在plan的输出里。
• 执行参数限制：如果跑terraform plan的时候带了-target或者-exclude参数，Terraform只会处理参数指定范围内的资源，哪怕是state里已经记录的其他资源都不会做漂移检测，更别说识别范围外的未托管资源。
• 身份权限不足：如果你自己写了自定义逻辑（比如调用Azure API拉取组内全量资源做漂移校验），那要检查Terraform使用的服务主体/登录账号是不是缺Key Vault的读取权限——比如没配Key Vault Reader角色、Key Vault的访问策略拦截了读取请求，都会导致API拉不到手动建的Key Vault数据，自然识别不到漂移。
• 资源归属错误：手动创建Key Vault的时候可能误选了其他资源组，实际根本不在XYZ组里，检测逻辑扫错了范围。

排查与解决方案 #

按下面的顺序一步步查就能定位问题：

1. 先确认当前Terraform的实际纳管范围
   执行命令terraform state list看输出的资源清单：
   • 如果清单里只有azurerm_resource_group.xyz和其他你显式写在配置里的资源，没有任何Key Vault相关记录，那这个现象是完全正常的——默认配置下Terraform本来就不会识别资源组下的未托管资源，你之前预期的“自动提示销毁手动资源”本身就不符合Terraform的原生工作逻辑。
   • 如果你确实需要实现“XYZ资源组内所有资源必须由Terraform托管，手动创建的资源在plan时直接提示销毁”的效果，需要额外加自定义配置：比如通过AzAPI provider或者Azure CLI数据源拉取资源组下的全量资源列表，和本地声明的资源集合做差集，对差集资源生成销毁计划，这个能力Terraform默认不提供。
2. 检查plan执行参数
   看一下你跑plan的脚本里有没有加-target、-exclude这类限定资源范围的参数，有的话删掉，重新跑全量plan。
3. 校验权限和资源实际归属
   用和Terraform执行时完全一致的账号/服务主体登录Azure CLI，执行az keyvault list -g XYZ -o table，确认两个点：
   • 输出结果里能看到你手动建的那个Key Vault，证明账号有足够的读取权限；
   • Key Vault的资源组字段确实是XYZ，没有建错位置。
4. 纳管已存在的手动资源
   如果要把这个手动建的Key Vault正式纳入Terraform管理，执行terraform import azurerm_key_vault.example <你的Key Vault完整资源ID>把资源导入state，之后再跑plan的时候就会对这个资源做漂移检测；后续如果你从配置里删掉这个Key Vault的资源块，plan就会生成对应的销毁提示。

别踩这个常见的坑：不要觉得“资源是建在Terraform创建的资源组里，就自动归Terraform管”。所有云厂商的Terraform provider都没做资源组级别的级联纳管逻辑，每个资源的纳管关系都是独立绑定到state记录的，和它放在哪个资源组里没有关系。

内容的提问来源于stack exchange，提问作者Sudhansu