如何防止 Terraform 在更改 keyvault 或更改 vm 凭据后破坏虚拟机？

Question

我正在尝试更改 terraform 中我的虚拟机使用的密钥保管库。当我尝试应用更改时，Terraform 然后尝试用新的密钥保管库替换虚拟机。 如何在不破坏虚拟机的情况下仅更改 vm 使用的密钥库或更改 terraform 中的凭据？

我尝试使用 lifecyle (prevent_destroy = true) 但它无法显示此消息

`> 错误：无法销毁实例

on.terraform\modules\avd_vm\Modules\AVD_VM\main.tf 第 388 行：388：资源“azurerm_windows_virtual_machine”“acumen_vm_kv”{

资源 module.avd_vm.azurerm_windows_virtual_machine.acumen_vm_kv 已设置 lifecycle.prevent_destroy，但计划要求销毁此资源。 要避免此错误并继续执行计划，请禁用 lifecycle.prevent_destroy 或使用 -target 标志减少计划的 scope。

Answer 1

我试图从头开始重现相同的内容。

收到同样的错误：

Resource vmpassword has lifecycle.prevent_destroy set, but the plan calls for this resource to be destroyed. To avoid this error and continue 
│ with the plan, either disable lifecycle.prevent_destroy or reduce the scope of the plan using the -target flag

注意：如果您尝试为 VM 使用两个不同的 Key Vault，最好为新的 Keyvault 使用另一个资源块。

resource "azurerm_key_vault_secret" "vmpassword" {
  name         = "vmpassword"
  value        = random_password.vmpassword.result
  key_vault_id = azurerm_key_vault.kv1.id
  depends_on = [ azurerm_key_vault.kv1 ]


  lifecycle {
            prevent_destroy = true
    }

}

resource "azurerm_key_vault" "kv2" {
  name                        = "kavy-newkv2"
  resource_group_name = data.azurerm_resource_group.example.name
  location            = data.azurerm_resource_group.example.location
  enabled_for_disk_encryption = true
  tenant_id                   = data.azurerm_client_config.current.tenant_id
  soft_delete_retention_days  = 7
  purge_protection_enabled    = false
  sku_name = "standard"
  access_policy {
    tenant_id = data.azurerm_client_config.current.tenant_id
    object_id = data.azurerm_client_config.current.object_id
    key_permissions = [
      "Get","Create", "Decrypt", "Delete", "Encrypt", "Update"
    ]
    secret_permissions = [
      "Get", "Backup", "Delete", "List", "Purge", "Recover", "Restore", "Set",
    ]
    storage_permissions = [
      "Get", "Restore","Set"
    ]
  }
}

resource "azurerm_key_vault_secret" "vmpassword" {
  name         = "vmpassword"
  value        = random_password.vmpassword.result
  key_vault_id = azurerm_key_vault.kv1.id
  depends_on = [ azurerm_key_vault.kv1 ]
}

手动导入每个资源以显示在您的 state 文件中。 Terraform 单独跟踪每个资源。

如果需要，您可以忽略 vm 中的更改

lifecycle {
    ignore_changes = [
      
      tags,
    ]
  }

参考：

1. terraform-lifecycle-prevent-destroy | 堆栈溢出
2. https://developer.hashicorp.com/terraform/language/meta-arguments/lifecycle#prevent_destroy