Terraform AWS EKS模块v20版本中访问策略关联的销毁问题分析

问题背景

在使用Terraform AWS EKS模块v20.0.0版本时，当配合aws_eks_access_entry资源以及依赖Kubernetes API的资源使用时，terraform destroy操作会出现失败情况。这个问题特别影响那些重度使用eks blueprints addons模块的组织，该模块通过Terraform Helm chart部署与Kubernetes API交互。

问题现象

在应用阶段，通过设置enable_cluster_creator_admin_permissions = true参数可以确保部署账户具有访问Kubernetes资源的权限，这一机制在apply阶段工作正常。然而在destroy阶段，系统会首先移除aws_eks_access_policy_association.this["cluster_creator_admin"]资源，导致账户失去访问Kubernetes集群的能力，进而无法清理Kubernetes资源。

根本原因分析

问题的核心在于模块设计上的不足：

1. 当前模块只暴露了aws_eks_access_entry.this作为输出，但没有暴露aws_eks_access_policy_association.this
2. 缺乏明确的依赖关系声明，导致在销毁阶段资源删除顺序不合理
3. 访问策略关联被过早移除，使得后续Kubernetes资源清理操作因权限不足而失败

技术影响

这种设计缺陷会导致：

• 集群销毁不完整，残留资源
• 可能引发后续资源删除时的冲突
• 需要手动干预才能完成清理工作
• 自动化流水线中的销毁步骤失败

解决方案

该问题已在v20.1.0版本中得到修复，主要改进包括：

1. 暴露了aws_eks_access_policy_association作为模块输出
2. 完善了资源间的依赖关系声明
3. 确保在销毁Kubernetes资源前保持必要的访问权限

最佳实践建议

对于使用类似架构的用户，建议：

1. 及时升级到v20.1.0或更高版本
2. 在自定义模块中明确声明对访问策略和访问条目的依赖
3. 在CI/CD流水线中加入销毁步骤的验证
4. 考虑在复杂场景下分阶段执行销毁操作

总结

Terraform模块设计中对资源依赖关系的处理至关重要，特别是在涉及跨平台资源（如AWS资源与Kubernetes资源）交互的场景下。AWS EKS模块v20.1.0的改进为这类混合资源管理提供了更可靠的解决方案，确保了资源生命周期的完整性。