能否通过Terraform移除EKS集群安全组的kubernetes.io/cluster标签？

可行。EKS默认给集群安全组和节点安全组添加的kubernetes.io/cluster:<集群名称>标签，确实可以通过Terraform移除，以下是两种常用方法：

方法一：通过EKS模块参数覆盖默认标签 #

如果你使用的是Terraform AWS EKS官方模块（或基于它的蓝图），大部分模块支持通过自定义tags参数覆盖默认标签，同时可以启用标签管理开关来禁用默认标签的自动添加：

module "eks" {
  source  = "terraform-aws-modules/eks/aws"
  version = "~> 19.0"

  cluster_name    = "my-eks-cluster"
  cluster_version = "1.29"

  # 自定义业务标签，不包含kubernetes.io/cluster相关条目
  tags = {
    Environment = "production"
    Owner       = "dev-team"
  }

  # 启用自定义标签管理，覆盖EKS默认添加的标签
  manage_cluster_security_group_tags = true
  manage_node_security_group_tags    = true
}

这种方式从根源上阻止模块自动添加目标标签，适合在集群部署初期配置。

方法二：手动修改已创建安全组的标签 #

如果安全组已经创建完成，你可以通过数据源定位到目标安全组，再用aws_ec2_tag资源移除指定标签：

# 获取EKS集群信息
data "aws_eks_cluster" "my_cluster" {
  name = module.eks.cluster_name
}

# 获取集群安全组
data "aws_ec2_security_group" "cluster_sg" {
  id = data.aws_eks_cluster.my_cluster.vpc_config.cluster_security_group_id
}

# 移除集群安全组上的kubernetes.io/cluster标签
resource "aws_ec2_tag" "clean_cluster_sg_tag" {
  resource_id = data.aws_ec2_security_group.cluster_sg.id
  tags = {
    "kubernetes.io/cluster/${data.aws_eks_cluster.my_cluster.name}" = null
  }
}

# 同理处理节点安全组
data "aws_ec2_security_group" "node_sg" {
  id = module.eks.node_security_group_id
}

resource "aws_ec2_tag" "clean_node_sg_tag" {
  resource_id = data.aws_ec2_security_group.node_sg.id
  tags = {
    "kubernetes.io/cluster/${data.aws_eks_cluster.my_cluster.name}" = null
  }
}

将标签值设为null会触发Terraform移除该标签，每次执行terraform apply都会确保标签被移除。

注意事项 #

• 先确认你的业务场景中没有依赖这个标签的流程，比如VPC流量日志筛选、IAM策略匹配、自动化运维工具的资源识别等，避免移除后引发问题。
• 如果后续对EKS集群进行版本升级或配置变更，要确保你的Terraform配置能持续覆盖默认标签，防止标签被重新添加。

内容的提问来源于stack exchange，提问作者sriramsm04