解决Terraform AWS EKS模块中Karpenter的EC2标签权限问题

问题背景

在使用Terraform AWS EKS模块(版本20.33.1)部署Karpenter时，可能会遇到一个常见的权限问题：Karpenter控制器无法为EC2实例添加标签。具体表现为Karpenter日志中会出现"UnauthorizedOperation: You are not authorized to perform: ec2:CreateTags"的错误提示。

问题分析

Karpenter作为Kubernetes集群的自动节点供应器，需要为它创建的EC2实例添加各种标签(如Kubernetes集群名称、节点组信息等)。这些标签对于Kubernetes调度器正确识别和管理节点至关重要。

在默认配置下，Terraform AWS EKS模块为Karpenter控制器创建的IAM策略可能不包含ec2:CreateTags权限。这是因为模块设计时考虑了权限最小化原则，默认只提供最基本的操作权限。

解决方案

通过深入研究，我们发现Terraform AWS EKS模块提供了一个关键参数enable_v1_permissions，这个参数专门用于控制是否为Karpenter启用v1版本所需的完整权限集。

在模块配置中添加以下参数即可解决问题：

enable_v1_permissions = true

这个参数会为Karpenter控制器添加包括ec2:CreateTags在内的一系列必要权限，确保Karpenter能够完整地管理EC2实例的生命周期。

配置示例

以下是完整的Karpenter模块配置示例，包含了解决此问题的关键参数：

module "karpenter" {
  source  = "terraform-aws-modules/eks/aws//modules/karpenter"
  version = "20.33.1"

  cluster_name           = module.eks.cluster_name
  cluster_ip_family      = "ipv4"
  enable_irsa            = true
  irsa_oidc_provider_arn = module.eks.oidc_provider_arn
  enable_v1_permissions  = true  # 关键参数
  
  node_iam_role_additional_policies = {
    AmazonSSMManagedInstanceCore = "arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore"
    CloudWatchAgentServerPolicy  = "arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy"
  }
  
  iam_role_use_name_prefix      = false
  iam_role_name                 = "${var.name}-karpenter-controller"
  node_iam_role_use_name_prefix = false
  node_iam_role_name            = "${var.name}-karpenter-node"
  queue_name                    = "${var.name}-karpenter"
}

最佳实践建议

1. 权限最小化：虽然enable_v1_permissions可以解决问题，但在生产环境中应考虑根据实际需要定制IAM策略，只授予必要的权限。

2. 版本兼容性：确保Karpenter版本与Terraform模块版本兼容，不同版本的Karpenter可能需要不同的权限集。

3. 监控与审计：定期检查CloudTrail日志，确保Karpenter的权限没有被滥用。

4. 模块更新：关注Terraform AWS EKS模块的更新，未来版本可能会优化默认权限配置。

通过正确配置enable_v1_permissions参数，可以确保Karpenter在AWS EKS环境中正常工作，避免因权限不足导致的节点管理问题。