Terraform-AWS Route53：销毁时如何保留域名仅删除记录？

好问题！这是Terraform对接已有AWS基础设施时非常典型的场景，我来给你拆解标准实现方式和优化方案：

一、确保terraform destroy只删除新增记录，保留域名本身 #

核心原则是不要用resource块定义现有域名，而是用data数据源来引用它——Terraform只会管理自己通过resource创建的资源，data块只是读取现有资源的信息，不会对其生命周期做任何操作。

具体配置示例：

# 引用现有的Route53域名（Zone），而非创建它
data "aws_route53_zone" "existing" {
  name         = "your-domain.com."  # 注意域名末尾的点，Route53的标准格式
  private_zone = false  # 如果是私有域则设为true
}

# 新增/修改DNS记录，关联到上述现有域名
resource "aws_route53_record" "example_a_record" {
  zone_id = data.aws_route53_zone.existing.zone_id
  name    = "app.your-domain.com."
  type    = "A"
  ttl     = "300"
  records = ["192.168.1.100"]
}

resource "aws_route53_record" "example_cname_record" {
  zone_id = data.aws_route53_zone.existing.zone_id
  name    = "docs.your-domain.com."
  type    = "CNAME"
  ttl     = "300"
  records = ["app.your-domain.com."]
}

这样执行terraform destroy时，Terraform只会删除上面定义的aws_route53_record资源，完全不会触动原本的Route53域名（Zone）。

二、优化域名信息的引用，替代硬编码 #

硬编码Zone ID确实不够灵活，推荐以下几种更优的方式：

1. 通过域名名称自动查询Zone（最常用） #

不用硬编码Zone ID，直接通过域名名称让Terraform自动查询对应的Zone信息，就是上面示例中data "aws_route53_zone"的写法。只要你的AWS账号有权限访问该Zone，Terraform就能自动获取Zone ID，避免手动维护ID的麻烦。

2. 使用Terraform变量（Variable） #

如果需要在不同环境（比如开发/测试/生产）切换域名，可以定义变量来动态传入：

variable "route53_zone_name" {
  description = "Existing Route53 zone name (with trailing dot)"
  type        = string
  default     = "dev.your-domain.com."  # 默认值可选
}

data "aws_route53_zone" "existing" {
  name         = var.route53_zone_name
  private_zone = false
}

执行terraform apply时可以通过命令行传入变量：terraform apply -var="route53_zone_name=prod.your-domain.com."

3. 结合Terraform工作区（Workspace） #

多环境场景下，可以给每个工作区设置对应的变量值，比如：

# 创建生产环境工作区
terraform workspace new prod
# 设置生产环境的域名变量
terraform workspace select prod
terraform apply -var="route53_zone_name=prod.your-domain.com."

这样不同工作区会维护各自的状态，避免环境混淆。

4. 从AWS参数存储/Secrets Manager读取（可选） #

如果域名信息需要和其他团队共享，或者需要存储敏感配置（比如私有域信息），可以用Terraform的AWS数据源读取：

data "aws_ssm_parameter" "route53_zone_name" {
  name = "/prod/route53/zone_name"
}

data "aws_route53_zone" "existing" {
  name         = data.aws_ssm_parameter.route53_zone_name.value
  private_zone = false
}

注意事项 #

• 确保执行Terraform的AWS账号拥有route53:ListHostedZones权限，否则data数据源无法查询到Zone信息。
• 域名名称末尾的点.是Route53的标准格式，一定要加上，否则可能查询不到对应的Zone。
• 如果你的域名是私有域（VPC关联的），记得把private_zone设为true，并可以指定vpc_id来缩小查询范围。

内容的提问来源于stack exchange，提问作者Chris Slack