如何让Terraform在cert-manager未部署时忽略ClusterIssuer资源？

使用Terraform（搭配Terragrunt）部署Kubernetes资源时，遇到以下场景：

• 定义了cert-manager的Helm Chart部署资源，开启自动安装CRDs
• 同时定义了cert-manager.io/v1/ClusterIssuer的Kubernetes清单资源

Helm Chart 定义 #

resource "helm_release" "cert_manager" {
  name       = "cert-manager"
  namespace  = kubernetes_namespace.cert_manager.metadata.0.name
  chart      = "cert-manager"
  repository = "https://charts.jetstack.io"
  wait       = true

  # 省略其他配置

  set {
    name  = "installCRDs"
    value = "true"
  }
}

ClusterIssuer 定义 #

resource "kubernetes_manifest" "clusterissuer_letsencrypt" {
  manifest = {
    apiVersion = "cert-manager.io/v1"
    kind       = "ClusterIssuer"
    metadata = {
      name = "letsencrypt"
    }

    # 省略其他配置
  }

  depends_on = [helm_release.cert_manager]
}

报错信息 #

在全新Kubernetes集群上执行terraform plan时失败，报错如下：

│ Error: Failed to determine GroupVersionResource for manifest
|   ...
│   24: resource "kubernetes_manifest" "clusterissuer_letsencrypt" {
│
│ no matches for kind "ClusterIssuer" in group "cert-manager.io"

需要找到无需手动分阶段部署的解决方案，让Terraform在cert-manager未部署时自动忽略ClusterIssuer资源。

方法1：使用count条件控制资源创建 #

通过判断helm_release资源是否已部署（通过id属性是否存在），用count字段控制ClusterIssuer资源是否被纳入Terraform的管理范围：

resource "kubernetes_manifest" "clusterissuer_letsencrypt" {
  # 仅当cert-manager的Helm Release已创建时，才启用该资源
  count = length(helm_release.cert_manager.id) > 0 ? 1 : 0

  manifest = {
    apiVersion = "cert-manager.io/v1"
    kind       = "ClusterIssuer"
    metadata = {
      name = "letsencrypt"
    }

    # 省略其他配置
  }

  depends_on = [helm_release.cert_manager]
}

• 第一次执行plan/apply时，helm_release.cert_manager.id为空字符串，count设为0，Terraform会跳过该资源的CRD验证和创建
• 完成cert-manager部署后，再次执行plan/apply，count变为1，Terraform会正常创建ClusterIssuer

方法2：使用for_each替代count（更灵活） #

如果需要管理多个ClusterIssuer，for_each比count更灵活，适合批量资源的条件控制：

resource "kubernetes_manifest" "clusterissuer_letsencrypt" {
  # 仅当cert-manager部署完成后，才遍历创建指定的ClusterIssuer
  for_each = length(helm_release.cert_manager.id) > 0 ? toset(["letsencrypt"]) : toset([])

  manifest = {
    apiVersion = "cert-manager.io/v1"
    kind       = "ClusterIssuer"
    metadata = {
      name = each.key
    }

    # 省略其他配置
  }

  depends_on = [helm_release.cert_manager]
}

方法3：Terragrunt模块拆分+依赖控制 #

如果使用Terragrunt，可以将cert-manager和ClusterIssuer拆分为独立模块，通过Terragrunt的依赖机制确保部署顺序：

1. 将cert-manager的Helm部署放在单独模块（如modules/cert-manager）
2. 将ClusterIssuer放在另一个模块（如modules/cluster-issuer），并在该模块的terragrunt.hcl中添加依赖：

dependencies {
  paths = ["../cert-manager"]
}

3. 同时在ClusterIssuer模块内添加上述count/for_each条件控制
4. 执行terragrunt run-all apply，Terragrunt会先部署cert-manager模块，再部署ClusterIssuer模块，避免plan阶段的CRD验证错误

上述方案无需手动指定部署目标，只需连续执行两次terraform apply（或terragrunt run-all apply）即可：

• 第一次部署cert-manager及相关CRDs
• 第二次自动检测到CRD已存在，创建ClusterIssuer

内容的提问来源于stack exchange，提问作者Victor