eksctl在中国区域创建Fargate集群的ARN格式问题分析

问题背景

在使用eksctl工具在中国宁夏区域(cn-northwest-1)创建Fargate集群时，遇到了创建失败的问题。错误信息显示Fargate Pod执行角色的信任策略配置不正确，提示需要添加eks-fargate-pods.amazonaws.com服务主体。

问题现象

执行命令eksctl create cluster --name fargate-eks --region cn-northwest-1 --fargate后，集群创建过程在创建Fargate配置文件"fp-default"时失败。错误明确指出Pod执行角色的信任策略配置有问题。

根本原因分析

通过检查自动创建的FargatePodExecutionRole的信任策略，发现ARN格式存在问题。在中国区域，AWS资源的ARN应该以"arn:aws-cn:"开头，而不是常规区域的"arn:aws:"格式。

当前生成的策略中使用了：

"aws:SourceArn": "arn:aws:eks:cn-northwest-1:<account-id>:fargateprofile/fargate-eks/*"

而正确的中国区域ARN格式应该是：

"aws:SourceArn": "arn:aws-cn:eks:cn-northwest-1:<account-id>:fargateprofile/fargate-eks/*"

技术细节

1. ARN格式差异：AWS全球区域和中国区域使用不同的ARN前缀，这是AWS中国区域架构设计的特殊性之一。

2. 信任策略验证：EKS服务在验证Fargate Pod执行角色时，会检查ARN格式是否符合区域规范，中国区域必须使用aws-cn前缀。

3. 条件限制：当前策略中的ArnLike条件限制了角色的使用范围，但由于ARN格式不正确，导致验证失败。

解决方案建议

1. eksctl代码修复：需要在eksctl代码中针对中国区域(cn-*)特殊处理ARN前缀，自动使用"aws-cn"而不是"aws"。

2. 临时解决方案：用户可以手动修改CloudFormation模板或创建后修改IAM角色策略，但这不是长期解决方案。

3. 版本更新：用户应关注eksctl的后续版本更新，该问题应该在未来的修复版本中得到解决。

影响范围

这个问题会影响所有在中国区域(北京cn-north-1和宁夏cn-northwest-1)尝试使用eksctl创建Fargate集群的用户。常规节点组模式的集群创建不受此问题影响。

总结

该问题暴露了eksctl工具在中国区域ARN格式处理上的不足，是区域特殊性兼容性问题的一个典型案例。对于跨区域使用的工具来说，正确处理各区域的ARN格式差异是保证功能正常工作的关键。开发团队需要增强区域兼容性测试，特别是对中国区域这类特殊架构的AWS分区。