使用GitLab和Terraform引导Flux时出现'Forbidden: unknown'错误

架构老林

2026-7-10

问题

在DigitalOcean平台上通过Terraform结合GitLab引导Flux时，触发以下错误：

│ Error: Bootstrap run error
│ 
│   with flux_bootstrap_git.this,
│   on flux.tf line 34, in resource "flux_bootstrap_git" "this":
│   34: resource "flux_bootstrap_git" "this" {
│ 
│ CustomResourceDefinition/alerts.notification.toolkit.fluxcd.io dry-run failed, reason: Forbidden: unknown

使用的Terraform代码如下：

provider "flux" {
  kubernetes = {
    host                   = module.kubernetes.endpoint
    client_certificate     = module.kubernetes.client_certificate
    client_key             = module.kubernetes.client_key
    cluster_ca_certificate = module.kubernetes.cluster_ca_certificate
  }
  git = {
    url = "ssh://git@git.test.no/tekkom/infrastructure/kubernetes/external-prod-cluster"
    ssh = {
      username = "git"
      private_key = tls_private_key.flux.private_key_pem
    }
  }
}


resource "tls_private_key" "flux" {
  algorithm   = "ECDSA"
  ecdsa_curve = "P256"
}

data "gitlab_project" "this" {
  path_with_namespace = "tekkom/infrastructure/kubernetes/external-prod-cluster"
}

resource "gitlab_deploy_key" "this" {
  project  = data.gitlab_project.this.id
  title    = "Flux"
  key      = tls_private_key.flux.public_key_openssh
  can_push = true
}

resource "flux_bootstrap_git" "this" {
  depends_on = [gitlab_deploy_key.this]
  path       = "cluster/"
}

可能的解决方向

检查Kubernetes集群权限：Flux引导需要创建CRD的权限，当前使用的Kubernetes客户端账号大概率缺少CustomResourceDefinition资源的create、update权限。可以先给该账号绑定cluster-admin角色做临时测试，确认权限问题后再配置最小权限。
验证Flux Provider版本兼容性：不同版本的Flux Provider和Kubernetes集群可能存在适配问题，尝试切换到官方推荐的稳定版本（比如查看Flux文档对应集群版本的Provider版本）。
排查GitLab仓库权限：虽然部署密钥设置了can_push = true，但要确认GitLab项目的分支保护规则没有限制该密钥的推送权限，确保Flux能正常写入配置到指定分支。
跳过dry-run测试：在flux_bootstrap_git资源里添加dry_run = false参数，直接执行引导操作，排查是否是dry-run阶段的权限校验问题（仅作为临时排查手段，不建议长期使用）。
检查集群API状态：DigitalOcean的K8s集群可能存在临时API限流或故障，等待一段时间后重新执行terraform apply，或者在DO控制台确认集群状态是否正常。

内容的提问来源于stack exchange，提问作者stubbe