如何阻止Terraform因S3存储桶变更触发aws_iam_access_key重建PGP密钥

问题根因 #

1. aws_iam_access_key资源的pgp_key属于强制重建参数，只要Terraform判定该参数值可能发生变更，就会自动销毁并重建访问密钥。
2. 当S3桶本身发生配置变更（如修改标签）时，aws_s3_bucket_object数据源依赖的桶资源属性处于变更状态，Terraform会将该数据源标记为「Apply阶段才可读取」，导致data.aws_s3_bucket_object.test_key.body的值在计划阶段被判定为known after apply。
3. 由于计划阶段无法确认pgp_key是否和原有值一致，Terraform会保守触发访问密钥的重建流程。

可行解决方案 #

方案1：解除数据源对桶资源的隐式依赖（最简便） #

如果S3桶名称固定，直接在aws_s3_bucket_object数据源中写死桶名字符串，不要引用aws_s3_bucket.test_bucket.id等桶资源的动态属性，这样桶本身的变更不会触发数据源的重新读取判定：

data "aws_s3_bucket_object" "test_key" {
  bucket = "test-credential-recreation" # 直接填写固定桶名
  key    = "pgp-keys/test_key.txt"
}

方案2：固定读取指定版本的密钥文件 #

如果你的S3桶开启了版本控制功能，可以在数据源中显式指定密钥文件的version_id，确保无论桶配置如何变更，始终读取固定版本的密钥内容，Terraform在计划阶段就能确认body值不会变化：

data "aws_s3_bucket_object" "test_key" {
  bucket     = aws_s3_bucket.test_bucket.id
  key        = "pgp-keys/test_key.txt"
  version_id = "xxx" # 替换为你的密钥文件对应的固定版本ID
}

方案3：通过lifecycle规则明确忽略非内容变更影响 #

如果必须使用动态桶引用且未开启版本控制，可以在aws_iam_access_key资源中添加precondition校验规则，只有当pgp_key内容真的发生变化时才触发重建：

resource "aws_iam_access_key" "client" {
  user    = aws_iam_user.client.name
  pgp_key = var.pgp_key

  lifecycle {
    precondition {
      condition     = var.pgp_key == self.pgp_key
      error_message = "PGP key content has changed, access key will be recreated."
    }
  }
}

内容的提问来源于stack exchange，提问作者pinki