Terraform 在使用 for_each 时随机删除资源

Question

我正在尝试从 Terraform 中的对象映射创建安全组规则，但有时 terraform 会删除这些角色，这是随机发生的。我们使用 s3 作为后端和 dynamodb 锁。

这是我的安全组资源

resource "aws_security_group" "ec2_jumper_sg" {
  name        = "${var.app_name}-private-sg"
  description = "Security Group for Private EC2 instance"
  vpc_id      = var.vpc_id

  egress {
    from_port   = 443
    to_port     = 443
    protocol    = "tcp"
    cidr_blocks = [var.vpc_cidr]
  }
}

这些是使用附加到上述安全组的for_each 创建的规则：

resource "aws_security_group_rule" "ec2_jumper_sg_databases_egress" {
  for_each = var.databases

  security_group_id        = aws_security_group.ec2_jumper_sg.id
  from_port                = each.value.port
  to_port                  = each.value.port
  source_security_group_id = each.value.securityGroupId
  protocol                 = "tcp"
  type                     = "egress"
}

这是我的变量映射：

variable "databases" {
  type = map(object({
    id: string
    securityGroupId: string
    port: number
  }))

  default = {
    "db-1": {
      id : "db-1",
      securityGroupId : "sg-000000000",
      port : 5432
    },
    "db-2": {
      id : "db2",
      securityGroupId : "sg-000000000",
      port : 3306
    }
  }
}

当规则不存在时，它会创建它们，但是当它们存在时，它将删除它们：

      - {
              - cidr_blocks      = []
              - description      = ""
              - from_port        = 3306
              - ipv6_cidr_blocks = []
              - prefix_list_ids  = []
              - protocol         = "tcp"
              - security_groups  = [
                  - "sg-0000000",
                ]
              - self             = false
              - to_port          = 3306
            },
          - {
              - cidr_blocks      = []
              - description      = ""
              - from_port        = 5432
              - ipv6_cidr_blocks = []
              - prefix_list_ids  = []
              - protocol         = "tcp"
              - security_groups  = [
                  - "sg-00000000",
                ]
              - self             = false
              - to_port          = 5432
            },

为什么会这样？

Answer 1

您不能混合 egress 在 aws_security_group 中定义的 aws_security_group_rule 资源。来自docs：

Terraform 目前提供独立的安全组规则资源（单个入口或出口规则）和内嵌定义入口和出口规则的安全组资源。目前，您不能将具有内联规则的安全组与任何安全组规则资源结合使用。这样做会导致规则设置冲突，并会覆盖规则。

你只能使用其中之一，不能同时使用。