Terraform AWS EKS模块中VPC-CNI网络策略配置问题解析

在使用Terraform AWS EKS模块(v19.21.0)配置VPC-CNI插件时，许多用户遇到了网络策略激活失败的问题。本文将深入分析这一常见配置问题的根源，并提供正确的解决方案。

问题背景

当用户尝试通过Terraform配置EKS集群的VPC-CNI插件时，希望通过设置enableNetworkPolicy和enablePolicyEventLogs参数来启用网络策略功能。常见的错误配置方式包括：

1. 直接将参数放在VpcCni层级下
2. 尝试使用vpc.cni.properties嵌套结构
3. 将参数与env变量平级放置

这些配置方式都会导致AWS API返回400错误，提示JSON schema验证失败。

根本原因分析

AWS EKS服务对VPC-CNI插件的配置参数有严格的格式要求。用户遇到的错误表明，提供的JSON配置不符合AWS预期的schema结构。关键在于理解：

1. VPC-CNI插件的配置需要遵循特定的层级结构
2. 网络策略相关参数不能随意放置在任何位置
3. 布尔值参数需要以字符串形式提供("true"/"false")

正确配置方法

经过验证，正确的配置方式应该遵循AWS官方文档中指定的格式。以下是一个可用的配置示例：

cluster_addons = {
  vpc-cni = {
    version        = "v1.15.5-eksbuild.1"
    before_compute = true
    configuration_values = jsonencode({
      env = {
        ENABLE_PREFIX_DELEGATION = "true"
        AWS_VPC_K8S_CNI_CUSTOM_NETWORK_CFG = "true"
        ENI_CONFIG_LABEL_DEF = "topology.kubernetes.io/zone"
        WARM_PREFIX_TARGET = "1"
      }
      enableNetworkPolicy = "true"
      nodeAgent = {
        enablePolicyEventLogs = "true"
      }
    })
  }
}

配置要点说明

1. 参数位置：网络策略相关参数应该直接放在JSON的根层级，而不是嵌套在vpc或VpcCni结构中

2. 值格式：所有布尔值参数必须以字符串形式提供，而不是直接使用true/false

3. 版本兼容性：确保使用的VPC-CNI版本支持网络策略功能

4. 参数组合：env变量和其他配置参数可以共存于同一配置中

最佳实践建议

1. 在修改生产环境前，先在测试环境中验证配置
2. 逐步添加参数，每次只修改一个参数以确认其效果
3. 查阅AWS官方文档获取最新的参数格式要求
4. 考虑使用Terraform的验证功能预先检查JSON格式

通过遵循这些指导原则，用户可以成功配置VPC-CNI插件的网络策略功能，避免常见的配置错误。