Terraform执行destroy提示删除完成但AWS VPC等资源未删除问题

你执行terraform destroy时，仅删除了Terraform状态文件中记录的、归它管理的资源，控制台残留的VPC、子网等资源并未被Terraform实际删除。日志中显示的module.vpc.aws_vpc.this[0]销毁成功仅代表Terraform将该VPC记录从自身状态文件中移除，不等同于AWS侧实际完成了资源删除操作。

• VPC下存在Terraform管理范围外的关联资源，导致AWS侧删除请求被拒绝。最常见的情况是你部署完EKS集群后，在K8s中创建了LoadBalancer类型的Service、PersistentVolumeClaim（对应AWS EBS卷），或是手动在该VPC下创建了EC2实例、RDS实例、额外的安全组规则等资源。这些资源不在Terraform的状态清单中，AWS删除VPC时会检测到存在未销毁的依附资源，直接拒绝删除操作。你贴出的日志中间有省略段，大概率是省略了NAT网关、子网删除失败的报错，你可能只注意到了末尾的执行完成提示，忽略了中间的错误信息。
• Terraform状态文件与实际资源不匹配。如果部署完成后你修改过Terraform配置、更换过命令执行目录、或是状态文件被损坏/恢复到了旧版本，那么执行destroy时的状态清单和AWS上实际运行的资源就不是一一对应的。比如你后续修改过VPC参数触发了新VPC创建，旧VPC就脱离了Terraform的管理范围，destroy只会删除新创建的VPC，旧VPC自然会残留。
• EKS隐式资源依赖未清理。部分版本的Terraform EKS模块不会自动关联管理K8s内部创建的云资源，如果你没有先清空EKS集群内的所有工作负载就直接执行destroy，集群内由K8s云控制器管理器创建的AWS资源（ELB、EBS、弹性网卡等）会成为VPC删除的阻碍，最终导致VPC、子网、路由表、NAT网关等关联资源删不干净。

如果后续遇到同类问题，可以先执行terraform state show module.vpc.aws_vpc.this[0]核对状态文件中记录的VPC ID，和控制台残留的VPC ID是否一致。再到AWS VPC控制台查看残留VPC的「依赖资源」标签页，就能直接定位到是哪些未被Terraform管理的资源导致删除失败。

内容的提问来源于stack exchange，提问作者tintin