Terraform 0.14+ 如何在销毁阶段撤销AWS Client VPN入站规则

报错根因 #

Terraform 0.13及以上版本对destroy阶段provisioner的引用做了强制规则限制：仅允许访问当前资源自身通过self暴露的属性，不允许跨资源引用其他资源、模块的参数。这类跨引用不仅容易触发依赖循环，在配置了create_before_destroy的场景下，执行destroy命令时被依赖的资源可能已经被提前销毁，会出现参数为空、命令执行失败的问题。
原有实现的报错，本质就是destroy阶段的local-exec直接引用了aws_ec2_client_vpn_endpoint的外部属性，违反了上述校验规则。

实现思路 #

将create、destroy两个阶段需要用到的所有外部参数，提前持久化存储到当前null_resource的自身属性中，destroy阶段直接从自身属性取值，完全规避跨资源引用，符合Terraform的校验要求。

改造步骤 #

• 为null_resource.client_vpn_ingress添加triggers映射，将流程依赖的所有参数（Client VPN端点ID、VPC CIDR块、AWS区域、CLI profile）存入该映射，Terraform会将triggers内容持久化到state文件，资源销毁阶段可正常读取。
• create阶段的授权命令不受destroy引用规则限制，可直接读取triggers中存储的参数，减少重复引用逻辑。
• 重写destroy阶段的撤销命令，所有参数值全部通过self.triggers.<key>获取，不再直接引用外部资源、根级变量。

改造后的完整配置 #

resource "null_resource" "client_vpn_ingress" {
  # 持久化存储全流程依赖的参数到state
  triggers = {
    vpn_endpoint_id = aws_ec2_client_vpn_endpoint.vpn_endpoint.id
    target_cidr     = var.vpc_cidr_block
    aws_region      = var.aws_region
    aws_profile     = var.profile
  }

  # 创建阶段：授权Client VPN入站规则
  provisioner "local-exec" {
    when    = create
    command = "aws ec2 authorize-client-vpn-ingress --client-vpn-endpoint-id ${self.triggers.vpn_endpoint_id} --target-network-cidr ${self.triggers.target_cidr} --authorize-all-groups --region ${self.triggers.aws_region} --profile ${self.triggers.aws_profile}"
  }

  # 销毁阶段：撤销Client VPN入站规则，全部参数从自身属性读取，无跨资源引用
  provisioner "local-exec" {
    when    = destroy
    command = "aws ec2 revoke-client-vpn-ingress --client-vpn-endpoint-id ${self.triggers.vpn_endpoint_id} --target-network-cidr ${self.triggers.target_cidr} --revoke-all-groups --region ${self.triggers.aws_region} --profile ${self.triggers.aws_profile}"
  }
}

注意事项 #

• 只要triggers中存储的任意参数发生变更，Terraform会自动触发null_resource的销毁重建流程，对应执行旧规则的撤销、新规则的授权，流程完全闭环，不会出现入站规则残留。
• 该实现不会产生依赖循环，也不会因为create_before_destroy的资源销毁顺序导致参数读取失败，适配所有Terraform >=0.13的版本。
• 不需要调整现有资源的依赖拓扑，改动量最小。

内容的提问来源于stack exchange，提问作者James