Terraform AWS EKS Blueprints中Cluster Autoscaler的IRSA策略条件键修复

在AWS EKS环境中使用Terraform EKS Blueprints部署Cluster Autoscaler时，一个常见的权限配置问题会导致Autoscaler无法正常获取节点组信息。本文将深入分析这个问题的根源以及解决方案。

问题现象

当Cluster Autoscaler运行时，会在日志中看到类似以下的错误信息：

Failed to query the managed nodegroup for the cluster while looking for labels/taints/tags: AccessDeniedException
User is not authorized to perform: eks:DescribeNodegroup on resource

这表明Autoscaler服务账号(IRSA)缺少必要的权限来调用EKS API描述节点组。

问题根源

经过分析，这个问题源于IRSA策略中的条件键配置不正确。在AWS EKS的权限模型中，资源标签的条件键前缀应该是"aws:ResourceTag"而非"autoscaling:ResourceTag"。

错误配置：

"autoscaling:ResourceTag/k8s.io/cluster-autoscaler/${cluster_id}"

正确配置应为：

"aws:ResourceTag/k8s.io/cluster-autoscaler/${cluster_id}"

技术背景

AWS IAM策略中的条件键用于细粒度地控制对资源的访问权限。对于EKS节点组资源，AWS使用特定的前缀来识别资源标签：

1. aws:ResourceTag：这是AWS服务资源的通用标签前缀
2. autoscaling:ResourceTag：这是Auto Scaling组特有的标签前缀

虽然EKS节点组底层使用了Auto Scaling组，但在EKS API层面，需要使用aws:前缀的条件键来控制访问权限。

解决方案

在Terraform EKS Blueprints v4.32.1及更高版本中，这个问题已经被修复。解决方案是确保IRSA策略中使用正确的前缀：

condition {
  test     = "StringEquals"
  variable = "aws:ResourceTag/k8s.io/cluster-autoscaler/${var.addon_context.eks_cluster_id}"
  values   = ["owned"]
}

验证方法

部署后，可以通过以下命令验证Cluster Autoscaler是否正常工作：

kubectl logs -n kube-system <cluster-autoscaler-pod-name> | grep -i "DescribeNodegroup"

如果不再出现权限拒绝的错误，说明修复成功。

最佳实践

1. 始终使用最新版本的Terraform EKS Blueprints模块
2. 部署后检查Cluster Autoscaler日志中的权限错误
3. 确保节点组标签与IRSA策略中定义的条件键匹配
4. 在测试环境中验证Autoscaler功能后再部署到生产环境

通过正确配置IRSA策略的条件键，可以确保Cluster Autoscaler能够正常获取节点组信息，实现自动扩缩容功能。