terraform plan 未检测到漂移

Question

我有一个非常基本的 ec2 配置，只包含

AMI 和实例类型：

provider "aws" {
  region="ap-south-1"
}

resource "aws_instance" "tec3"{
    ami=var.image_id
    instance_type=var.instance_type
    subnet_id=var.default_subnet
}

但我注意到 terraform plan 和 tfstate 文件的奇怪行为。

第一种情况：

当我在控制台中添加一个新标签时（在所需的配置/状态中不存在），它显示为在执行 terraform plan 时要删除的更改。

第二个场景：

当我从控制台将信用规范更改为无限制时（在所需的配置/状态中也不存在）。建筑在 terraform 计划中显示为最新的。

你能告诉我，为什么会这样吗？

据我了解，所需配置中不存在的属性不会受到控制台中所做更改的影响。

因此，在这两种情况下，基础设施都应该是最新的。

请解释这种情况以及任何其他情况，以备将来使用。从控制台更改时。

Answer 1

检测漂移的能力取决于每个单独的供应商的各种设计细节，而且供应商团队通常在其他限制范围内工作，或者有其他优先于漂移检测的优先级。出于这个原因，Terraform 提供程序漂移检测是一个尽力而为的功能，而不是你应该构建你的流程来依赖的东西。

虽然我不熟悉您在此处描述的特定提供程序功能，但在某些情况下可能会实施提供程序以忽略漂移的一个原因是，如果未设置参数的值是由服务器动态选择的，而不是在您的配置或提供程序本身中明确设置。在这种情况下，提供者对该值的唯一记录是远程系统中的值，因此没有什么可以与该值进行比较以检测漂移。

您可以通过为配置中的每个参数显式设置一个值，而不是让远程系统选择默认值，从而为提供者提供更好的机会来检测漂移：

resource "aws_instance" "tec3"{
  ami           = var.image_id
  instance_type = var.instance_type
  subnet_id     = var.default_subnet

  credit_specification {
    cpu_credits = "unlimited"
  }
}

虽然最终还是由提供者实现来决定哪些算作漂移，哪些不算，但在配置中编写一个显式参数至少会给提供者一个期望值来比较远程系统，从而允许它潜在地检测并计划更正对该特定参数的不需要的更改。

---

更新：在 AWS 提供商存储库的 issue #17856 中，AWS 提供商团队的一名成员独立证实了我的假设，即这是团队有意的设计决策，但包括一些不同的和更多的详细说明为什么会这样，对于这种特殊情况，以及 AWS 提供商团队在发展现有资源类型以支持新的 AWS API 行为时所做的一些权衡。