Terraform报错Cannot override provider configuration的原因与解决

错误含义 #

这个错误的核心逻辑是：子模块tf_module_eks_cluster内部已经定义了aws.transit_gateway的本地Provider配置，而根模块尝试通过providers块给该子模块传入外部的aws.transit_gateway配置（即aws.nonprod），Terraform不允许这种操作——只要子模块自身配置了某个Provider别名，就只能使用内部定义的配置，无法被父模块传入的配置覆盖。

从代码来看，tf_module_eks_cluster的providers.tf中直接定义了aws.transit_gateway的本地配置：

provider "aws" {
  alias  = "transit_gateway"
  region = var.region
}

这就导致根模块中aws.transit_gateway = aws.nonprod的配置传递操作触发冲突。

解决方法 #

方法一：删除子模块本地的aws.transit_gateway配置（推荐，符合跨账号传递需求） #

1. 编辑tf_module_eks_cluster的providers.tf，删除整个provider "aws" { alias = "transit_gateway" ... }代码块。
2. 此时子模块不再拥有aws.transit_gateway的本地配置，会接受根模块传入的aws.nonprod作为该别名的Provider，满足你在nonprod账号操作Transit Gateway的需求。

方法二：通过变量控制子模块的aws.transit_gateway配置（保留子模块内部配置场景） #

如果需要保留子模块自身管理aws.transit_gateway的逻辑，可以通过变量传递跨账号角色信息：

1. 在tf_module_eks_cluster中新增变量：

variable "transit_gateway_role_arn" {
  type        = string
  description = "IAM角色ARN，用于Transit Gateway操作的跨账号身份"
}

2. 修改tf_module_eks_cluster的providers.tf：

provider "aws" {
  alias  = "transit_gateway"
  region = var.region

  assume_role {
    role_arn = var.transit_gateway_role_arn
  }
}

3. 根模块调用子模块时，传入该变量并移除原Provider覆盖配置：

module "cluster" {
  source = "git@github.com:xxxx/tf_module_eks_cluster.git?ref=vx.x"
  ...
  # 传入nonprod账号的角色ARN
  transit_gateway_role_arn = "arn:aws:iam::xxx"
  # 删除原来的aws.transit_gateway = aws.nonprod配置
}

额外注意 #

确保tf_module_vpc能正确继承tf_module_eks_cluster的aws.transit_gateway配置：由于tf_module_eks_cluster调用tf_module_vpc时，会默认传递所有匹配的Provider别名，只要上层配置正确，tf_module_vpc就能用该Provider创建aws_ec2_transit_gateway_vpc_attachment_accepter资源。

内容的提问来源于stack exchange，提问作者user6826691