如何通过Pulumi高效更新Cloud Armor规则？

我们用Pulumi管理Cloud Armor（WAF）方案，编辑规则时即便设置了deleteBeforeReplace: true，仍触发以下错误：

CommandError: code: -2
 stdout: 
 stderr: Command failed with exit code 255: pulumi up --yes --skip-preview --diff --exec-agent pulumi/actions@v5 --color auto --suppress-outputs --suppress-progress --exec-kind auto.local --stack dev --non-interactive
error:   sdk-v2/provider2.go:566: sdk.helper_schema: Error creating SecurityPolicyRule: googleapi: Error 400: Invalid value for field 'resource.priority': '6003'. Cannot have rules with the same priorities., invalid: provider=google-beta@8.31.0

error: 1 error occurred:
  * Error creating SecurityPolicyRule: googleapi: Error 400: Invalid value for field 'resource.priority': '6003'. Cannot have rules with the same priorities., invalid

目前的临时解决步骤是：

• 修改待更新规则的priority值（如递增）
• 执行pulumi up（Pulumi会创建带新参数的临时规则并删除旧规则）
• 将priority恢复为原目标值
• 再次执行pulumi up（Pulumi创建带新参数的规则并删除临时规则）

有没有无需频繁调整priority值的更优方案？

更优解决方案 #

1. 升级Google Beta Provider并正确配置替换规则

问题核心是旧版本google-beta@8.31.0未正确处理deleteBeforeReplace逻辑，导致Pulumi仍先创建新规则再删除旧规则，触发优先级冲突。

• 先将google-beta Provider升级到最新版本，新版本通常会修复这类资源操作顺序的bug。
• 确保deleteBeforeReplace和replaceOnChanges配置到位，明确告知Pulumi需要先删再建：

// TypeScript示例
import * as gcp from "@pulumi/gcp";

new gcp.compute.SecurityPolicyRule("my-waf-rule", {
  securityPolicy: "my-security-policy",
  priority: 6003,
  action: "deny(403)",
  match: {
    versionedExpr: "SRC_IPS_V1",
    config: {
      srcIpRanges: ["192.168.1.0/24"],
    },
  },
}, {
  deleteBeforeReplace: true,
  replaceOnChanges: ["action", "match"], // 指定修改这些字段时触发资源替换
});

2. 脚本化临时优先级切换

如果升级Provider后问题仍存在，可以写脚本自动化临时优先级的切换流程，免去手动操作：

#!/bin/bash
STACK="dev"
# 假设优先级在配置文件中以变量形式定义
ORIG_PRIORITY=$(pulumi config get waf-rule-priority --stack $STACK)
TEMP_PRIORITY=$((ORIG_PRIORITY + 100))

# 切换到临时优先级并执行更新
pulumi config set waf-rule-priority $TEMP_PRIORITY --stack $STACK
pulumi up --yes --stack $STACK

# 恢复原优先级并执行最终更新
pulumi config set waf-rule-priority $ORIG_PRIORITY --stack $STACK
pulumi up --yes --stack $STACK

3. 优先使用可原地更新的字段（限特定场景）

如果修改的内容属于Cloud Armor支持原地更新的字段（如部分规则描述类配置），则直接修改这类字段，避免触发整个规则的替换操作，自然不会出现优先级冲突。但该方案适用范围有限，多数核心规则变更（如动作、匹配条件）仍需替换资源。

内容的提问来源于stack exchange，提问作者Adam Smooch