使用Terraform EKS模块时CoreDNS副本不足问题的分析与解决

问题背景

在使用Terraform AWS EKS模块部署Kubernetes集群时，CoreDNS组件出现了副本数量不足的问题，导致集群健康状况异常。这种情况通常发生在使用自定义AMI镜像部署EKS集群的场景下，特别是当这些AMI镜像应用了严格的安全基准配置时。

问题现象

集群中的CoreDNS Pod虽然被调度运行，但始终无法达到预期的就绪状态。查看Pod状态时，会发现CoreDNS Pod处于Running状态但就绪数为0/1。同时，尝试获取Pod日志时会出现连接超时错误，这表明节点上的网络连接存在问题。

根本原因分析

经过深入排查，发现问题的根源在于自定义AMI镜像的安全配置。这类镜像通常会遵循CIS安全基准进行加固，默认情况下会限制入站网络连接。具体到这个问题：

1. Kubernetes节点上的kubelet服务通过10250端口与集群控制平面通信
2. 自定义AMI的防火墙规则默认阻止了10250端口的入站连接
3. 这导致CoreDNS等系统组件无法正常工作，因为它们依赖这个端口进行健康检查和日志收集

解决方案

要解决这个问题，需要在节点启动时动态添加必要的iptables规则。在使用Terraform EKS模块时，可以通过以下配置实现：

eks_managed_node_groups = {
  cis_ami = {
    instance_types = ["m5.large"]
    ami_id = data.aws_ami.image.id
    
    enable_bootstrap_user_data = true
    
    # 添加预启动脚本
    pre_bootstrap_user_data = <<-EOT
      #!/bin/bash
      set -ex
      iptables -I INPUT -p tcp -m tcp --dport 10250 -j ACCEPT
    EOT

    iam_role_attach_cni_policy = true
    min_size = 1
    max_size = 6
    desired_size = 4
  }
}

实现原理

1. enable_bootstrap_user_data参数确保节点会执行自定义的启动脚本
2. pre_bootstrap_user_data允许我们在节点加入集群前执行自定义命令
3. 通过iptables命令临时开放10250端口，确保kubelet服务可访问
4. 节点加入集群后，Kubernetes的网络策略会接管更精细的访问控制

最佳实践建议

1. 对于生产环境，建议将防火墙规则固化到自定义AMI中，而不是每次启动时动态添加
2. 考虑使用更精细的iptables规则，只允许特定CIDR范围访问10250端口
3. 定期审查节点安全组规则，确保不会过度开放端口
4. 对于需要严格安全合规的环境，可以考虑使用网络策略(NetworkPolicy)进行更细粒度的控制

总结

在使用Terraform EKS模块配合自定义AMI部署Kubernetes集群时，网络访问控制是一个需要特别注意的方面。通过合理配置节点启动脚本，我们可以平衡安全性和功能性，确保CoreDNS等关键系统组件能够正常工作。这种解决方案不仅适用于CoreDNS问题，对于其他因网络连接导致的Pod异常也有参考价值。