启用版本控制的AWS S3 Bucket通过Terraform删除时出现BucketNotEmpty报错

我之前也碰到过这个问题——当S3桶启用版本控制时，Terraform的force_destroy = true参数默认只会清理当前版本的对象和空的删除标记，不会处理历史版本的对象以及非空的删除标记，所以即使设置了这个参数，销毁时还是会收到BucketNotEmpty的报错。

下面给你几个可行的解决方案：

方案一：添加生命周期规则自动清理所有版本（推荐） #

在你的S3桶资源中加入生命周期配置规则，让S3自动过期所有对象版本、清理删除标记。这样Terraform销毁时，桶里的内容已经被自动清理了：

resource "aws_s3_bucket" "bucket" {
  bucket = "${module.naming.aws_s3_bucket}"
  acl    = "log-delivery-write"

  force_destroy = true

  versioning {
    enabled = true
  }

  lifecycle_configuration {
    rule {
      id = "cleanup-all-versions"
      status = "Enabled"

      # 过期当前版本对象
      expiration {
        days = 1
      }

      # 过期历史版本对象
      noncurrent_version_expiration {
        noncurrent_days = 1
      }

      # 清理未完成的分片上传
      abort_incomplete_multipart_upload {
        days_after_initiation = 1
      }

      # 自动清理删除标记
      delete_marker {
        status = "Enabled"
      }
    }
  }
}

操作步骤：

1. 运行terraform apply让生命周期规则生效
2. 等待1-2天（S3生命周期规则不是实时执行的，通常会在24小时内处理）
3. 再运行terraform destroy即可成功删除桶

方案二：用local-exec提前清理所有版本（快速解决） #

如果不想等生命周期规则执行，可以通过local-exec provisioner调用AWS CLI，在销毁桶之前手动清理所有对象版本和删除标记：

resource "aws_s3_bucket" "bucket" {
  bucket = "${module.naming.aws_s3_bucket}"
  acl    = "log-delivery-write"

  force_destroy = true

  versioning {
    enabled = true
  }

  provisioner "local-exec" {
    when        = destroy
    # 递归删除所有版本的对象和删除标记
    command     = "aws s3 rm s3://${self.bucket} --recursive --include '*' --version-id '*'"
    # 根据你的环境配置AWS认证参数（如果已经配置了环境变量可以省略）
    environment = {
      AWS_ACCESS_KEY_ID     = var.aws_access_key
      AWS_SECRET_ACCESS_KEY = var.aws_secret_access_key
      AWS_REGION            = var.aws_region
    }
  }
}

注意：这个方法需要你的执行环境已经安装并配置好AWS CLI，并且拥有S3对象的删除权限。

方案三：先暂停版本控制再销毁 #

你也可以先把桶的版本控制改为暂停状态，再执行销毁操作：

resource "aws_s3_bucket" "bucket" {
  bucket = "${module.naming.aws_s3_bucket}"
  acl    = "log-delivery-write"

  force_destroy = true

  versioning {
    enabled = false # 对应S3的版本控制暂停状态
  }
}

操作步骤：

1. 运行terraform apply更新桶的版本控制状态
2. 运行terraform destroy删除桶

这个方法相对简单，但如果桶里有大量历史版本对象，可能还是需要配合前两种方法的清理步骤。

内容的提问来源于stack exchange，提问作者Obivan