azure - Terraform - 'Objects have changed outside of Terraform' 用于新的 Azure 资源组

Question

我一直在尝试使用 terraform 使用以下基本配置文件来创建资源组...

resource "azurerm_resource_group" "myrg" {
  name = "MyResourceGroup"
  location = "westeurope"
}

output resource_group_details {
  value = azurerm_resource_group.myrg
}

• 第一个 terraform 计划 - 将创建 1 个资源
• 第一个 terraform apply - 创建了 1 个资源
• 第二个 terraform 计划(未对配置文件进行任何更改)- 对象已在 Terraform 外部更改(见下文)
• 第二个 terraform apply - 对象在 Terraform 之外发生了更改，添加/更改/销毁了 0 个
• 第三个 terraform 计划(未对配置文件进行任何更改)- 无更改。您的基础设施与配置相匹配。

Note: Objects have changed outside of Terraform

Terraform detected the following changes made outside of Terraform since the last "terraform apply" which may have
affected this plan:

  # azurerm_resource_group.myrg has changed
  ~ resource "azurerm_resource_group" "myrg" {
        id       = "/subscriptions/176f2ee3-d0a2-476d-9106-43cad1f63f16/resourceGroups/MyResourceGroup"
        name     = "MyResourceGroup"
      + tags     = {}
        # (1 unchanged attribute hidden)
    }

根据我在网上尝试找到的相关信息，此警告似乎是因为 Azure 在创建过程中向资源组添加了一个空标记数组。然后，当 terraform 将现有资源与配置文件和状态进行比较时，它会警告您存在差异。我不太确定 terraform 如何在第三个 terraform plan 上协调这一点......

这里的工作流程应该是什么？特别是在考虑 CI 时？

被告知存在我尚未定义的空可选属性似乎只是噪音。

我查看了 -refresh=false，但看起来这可能会抑制您可能希望收到通知的基础架构上发生的真正更改。当在第二个 terraform plan 上使用 -refresh-only 并apply时，它只会输出与上面相同的噪音。

Answer 1

事实上，您在这里观察到的是 Azure 提供程序中的一个小错误，即应用期间返回的对象与刷新期间返回的对象之间不一致。

提供商通常可以为未设置的参数插入默认值，这似乎是这里发生的情况，但提供商应该在其所有结果中保持一致:初始计划、应用后创建的新状态以及下一个计划创建的刷新状态。 Terraform 会生成此消息，特别是如果下一个计划创建的刷新状态与上一个应用创建的新状态不同。

<小时/>

隐藏错误的一种方法是显式设置 tags提供程序的刷新步骤插入的默认值的参数:

resource "azurerm_resource_group" "myrg" {
  name     = "MyResourceGroup"
  location = "westeurope"

  tags = {}
}

只要提供者逻辑在计划和应用期间不将空 map 视为特殊(我不确定)，这应该会导致初始结果与刷新结果一致，从而避免显示不正确的“在 Terraform 之外更改”注释。

<小时/>

另一个单独的答案是更改输出值以返回资源组的更具体属性，以便 Terraform 可以看到最终结果不依赖于 tags属性。

Terraform 显示此消息是为了解释为什么 resource_group_details输出值也计划更改，因此如果 Terraform 可以确定您的输出值不会受到标签更改的影响，则不应显示该消息。例如:

output "resource_group_details" {
  value = {
    name     = azurerm_resource_group.myrg.name
    location = azurerm_resource_group.myrg.location
    # (...and any other attributes you want to export,
    # as long as you don't refer to "tags".)
  }
}

请注意，此规则通常适用于配置中可能直接或间接引用 tags 的任何内容。属性，因此，如果您的配置中有更多内容未在此处显示，那么您还应该确保没有其他内容引用 tags .

Terraform 对此的分析并不完全精确，因此如果不确定是否有任何对 tags 的引用那么它仍然会显示注释以防万一。因此，您需要坚持使用直接引用 azurerm_resource_group.myrg 的各个属性的相对简单的表达式。 ，并避免使用对整个资源对象进行动态处理的表达式，这会阻止 Terraform 的分析证明 tags属性未使用。