Terraform AWS EKS 模块中 VPC CNI 插件与节点组的启动顺序问题解析

在使用 Terraform AWS EKS 模块部署 Kubernetes 集群时，一个常见的陷阱是 VPC CNI 网络插件与托管节点组之间的启动顺序问题。这个问题会导致节点组创建失败，新创建的节点无法加入集群。

问题现象

当用户使用最新版本的 Terraform AWS EKS 模块(20.36.0)部署集群时，可能会遇到以下情况：

1. 节点组创建过程失败，状态显示为"CREATE_FAILED"
2. 虽然节点实例被成功创建，但节点状态显示为"Not ready"
3. 查看节点详细信息时，会看到网络插件未初始化的错误："NetworkPluginNotReady message:Network plugin returns error: cni plugin not initialized"

问题根源

这个问题的本质是资源创建顺序的竞争条件。默认情况下，Terraform 会并行创建 EKS 集群的各种资源，包括：

1. EKS 控制平面
2. 各种集群插件(包括 VPC CNI 网络插件)
3. 托管节点组

当节点组在 VPC CNI 插件完全初始化之前就开始创建节点时，这些节点会因为缺乏有效的网络插件而无法正常加入集群。

解决方案

要解决这个问题，我们需要明确指定 VPC CNI 插件必须在计算资源(节点组)之前创建。在 Terraform AWS EKS 模块中，可以通过以下配置实现：

cluster_addons = {
  vpc-cni = {
    before_compute = true
  }
  # 其他插件配置...
}

这个配置告诉 Terraform 在创建任何计算资源(如节点组)之前，必须先确保 VPC CNI 插件已经完全部署并运行。

深入理解

VPC CNI(Container Network Interface)是 AWS 提供的 Kubernetes 网络插件，负责为 Pod 分配 IP 地址并配置网络规则。当这个插件没有正确初始化时：

1. 新创建的节点无法与集群控制平面建立完整的网络连接
2. kubelet 无法获取 Pod 网络配置
3. 节点状态会一直保持在"Not ready"

通过设置 before_compute = true，我们实际上是在 Terraform 的资源依赖图中添加了一个明确的边，确保网络插件资源先于计算资源创建。

最佳实践

除了解决这个特定的顺序问题外，在部署生产级 EKS 集群时还应该考虑：

1. 为关键插件设置适当的等待时间
2. 监控初始部署过程，确保所有组件按预期顺序启动
3. 考虑使用蓝绿部署策略来更新节点组，减少服务中断风险
4. 定期检查 AWS 文档，了解 EKS 组件间的最新依赖关系

理解这些底层依赖关系对于成功部署和管理 Kubernetes 集群至关重要，特别是在使用基础设施即代码工具如 Terraform 时。通过正确配置资源创建顺序，可以避免许多常见的集群初始化问题。