Terraform管理GKE集群执行plan时遇localhost连接拒绝错误

根本原因 #

你遇到的问题核心是**kubernetes_namespace.external_istiod资源没有绑定到你配置的带alias = "cluster"的Kubernetes Provider**。Terraform的资源默认会使用无别名的默认Kubernetes Provider；如果没有定义默认Provider，它就会 fallback 到尝试连接本地localhost:80的K8s API，这就是报错的直接原因。

哪怕你在模块里正确配置了关联GKE的别名Provider，只要资源块里没显式指定使用该Provider，Terraform就不会用它来操作这个K8s资源。

修复步骤 #

1. 确认别名Provider配置正确性 #

先确保你的Kubernetes Provider配置已经正确关联GKE集群信息，示例如下：

provider "kubernetes" {
  alias                  = "cluster"
  host                   = module.gke_cluster.endpoint # 从GKE模块获取集群API地址
  token                  = data.google_client_config.current.access_token # 有效访问令牌
  cluster_ca_certificate = base64decode(module.gke_cluster.ca_certificate) # 集群CA证书解码
}

2. 为K8s资源显式绑定别名Provider #

在你的kubernetes_namespace资源块中，必须添加provider参数指定使用别名Provider：

resource "kubernetes_namespace" "external_istiod" {
  # 关键：绑定到你配置的带alias的Kubernetes Provider
  provider = kubernetes.cluster

  metadata {
    name = "external-istiod"
  }
}

如果该资源是在子模块中定义的，还要确保调用模块时传递Provider关联：

module "istio_components" {
  source = "./modules/istio"

  # 将别名Provider传递给子模块，确保模块内资源使用该Provider
  providers = {
    kubernetes.cluster = kubernetes.cluster
  }
}

3. 验证并重新执行 #

• 执行terraform init刷新配置，确保Provider关联生效
• 再次运行terraform plan，此时Terraform会使用GKE集群的API地址，而非本地localhost，应该返回预期的"No changes. Your infrastructure is up-to-date."

额外验证点 #

• 检查是否存在无别名的默认kubernetes Provider配置，如果有，要么删除它，要么确保所有K8s资源都显式绑定到别名Provider，避免优先级冲突
• 可以通过gcloud container clusters describe <cluster-name> --zone <zone>验证GKE的endpoint、CA证书等信息是否和Terraform配置一致

内容的提问来源于stack exchange，提问作者Pedro Sturmer