如何处理Terraform进程崩溃并避免重试时出现资源泄漏

1. Terraform进程崩溃场景的常规处理方式 #

• 优先使用远程状态存储+状态锁机制：不要将Terraform状态文件存储在Docker容器本地，改用AWS S3存储状态文件+DynamoDB做状态锁的方案。Terraform执行操作前会先抢占分布式锁，每完成一个资源的创建操作就会自动同步更新远程状态文件，不会因为容器崩溃丢失已完成的资源记录。容器重启后会先校验锁状态，确认之前的执行进程已经终止、锁已释放后再执行新的操作，从根源避免重复创建资源。
• 崩溃后先执行terraform refresh同步状态：该命令会拉取云侧真实存在的、已经记录在状态文件中的资源的最新属性，对齐状态与实际基础设施的配置差异。
• 导入状态缺失的已创建资源：通过AWS控制台或CLI筛选出崩溃前已经创建成功但未写入状态文件的资源，使用terraform import命令将资源关联到Terraform模板中对应的资源地址，例如示例中的EC2实例可以执行terraform import aws_instance.web <实际EC2实例ID>，导入完成后再执行terraform plan就会识别到资源已存在，不会触发重复创建。
• 持久化日志排查根因：执行Terraform命令前设置TF_LOG=DEBUG环境变量，将日志输出到容器外部的存储卷或日志服务中，定位崩溃是由云API调用超时、资源配额不足还是容器资源分配不够导致的，避免重复出现崩溃问题。

2. 状态文件无对应EC2资源条目时的回滚方案 #

Terraform本身没有内置的操作事务回滚能力，不会自动清理崩溃前已创建但未写入状态的资源，可通过两种方式完成回滚：

• 手动清理冗余资源：直接登录AWS控制台或通过AWS CLI，按照模板中定义的资源标签（例如示例中的Name=test）筛选出本次执行创建的所有冗余资源，手动删除即可避免资源泄漏。
• 导入资源后统一销毁：先通过云侧资源列表获取已创建的EC2实例ID、安全组ID等信息，依次执行terraform import将所有未录入状态的资源导入到状态文件对应地址，之后执行terraform destroy即可一键销毁本次操作创建的所有关联资源，完成完整回滚。如果不需要回滚，导入资源后执行terraform plan确认无差异即可，后续可正常执行其他操作。

内容的提问来源于stack exchange，提问作者Ranjan Prasad