Terraform AWS EKS模块中Karpenter在中国区的权限问题解析

背景介绍

在使用Terraform AWS EKS模块部署Kubernetes集群时，Karpenter作为自动节点伸缩组件，在中国区（如cn-north-1）运行时可能会遇到特定的IAM权限问题。这个问题表现为Karpenter无法正确执行iam:PassRole操作，导致节点无法正常创建。

问题本质

该问题的核心在于AWS中国区（aws-cn分区）与全球区（aws分区）在服务端点命名上的差异。AWS中国区的服务端点通常使用".amazonaws.com.cn"后缀，而全球区使用".amazonaws.com"后缀。当Karpenter尝试将IAM角色传递给EC2服务时，由于策略中只配置了全球区的服务端点，导致在中国区操作失败。

技术细节分析

在AWS IAM策略中，iam:PassRole操作通常需要配合iam:PassedToService条件使用，以限制角色只能传递给指定的AWS服务。原始策略中仅配置了"ec2.amazonaws.com"作为允许传递的目标服务，这在中国区环境下无法匹配实际的EC2服务端点"ec2.amazonaws.com.cn"。

解决方案演进

社区最初提出的解决方案是在策略中同时包含两种服务端点格式：

condition {
  test     = "StringEquals"
  variable = "iam:PassedToService"
  values   = ["ec2.amazonaws.com", "ec2.amazonaws.com.cn"]
}

这种方案简单直接，但可能不是最优雅的解决方案。另一种更动态的解决方案是使用Terraform的本地变量根据AWS分区自动选择正确的域名后缀：

aws_domain_suffix = local.partition == "aws-cn" ? "amazonaws.com.cn" : "amazonaws.com"

然后将其应用于策略条件中：

condition {
  test     = "StringEquals"
  variable = "iam:PassedToService"
  values   = ["ec2.${local.aws_domain_suffix}"]
}

官方推荐方案

值得注意的是，Karpenter官方文档推荐使用包含两种域名的方案，无论集群部署在哪个AWS分区。这种方案虽然看起来不够动态，但具有更好的兼容性和可读性，特别是在跨区域部署的场景下。

问题修复情况

该问题已在Terraform AWS EKS模块的20.24.1版本中得到修复。用户升级到该版本后，在中国区使用Karpenter时将不再遇到此权限问题。

最佳实践建议

对于在中国区使用AWS服务的用户，建议：

1. 始终注意服务端点命名的差异
2. 在编写IAM策略时考虑跨区域兼容性
3. 定期更新Terraform模块到最新版本
4. 测试时特别注意权限相关的错误信息
5. 参考官方文档的推荐实践

总结

AWS中国区与全球区在服务端点命名上的差异是许多权限问题的根源。通过理解这一差异并采取适当的策略配置，可以确保Karpenter等组件在中国区环境中正常工作。Terraform AWS EKS模块已经通过更新解决了这一问题，为用户提供了更好的跨区域兼容性。