Terraform EKS模块引用托管节点组IAM角色ARN报错求助

核心原因 #

托管节点组通过for_each创建时，模块内部的eks_managed_node_groups是映射（map）类型的资源集合，而非单个资源实例，因此不能直接用点语法（.incidents-primary-ng）访问动态生成的节点组属性，必须使用映射索引方式。

正确引用方式 #

1. 直接索引访问（确定节点组存在时使用） #

在模块内部配置kms_key_users时，用方括号加键名的索引语法替代点语法：

kms_key_users = [
  eks_managed_node_groups["incidents-primary-ng"].iam_role_arn
]

2. 安全访问（兼容节点组可能不存在的场景） #

如果需要避免因键不存在导致的报错，可使用lookup函数做兜底处理：

kms_key_users = [
  lookup(eks_managed_node_groups, "incidents-primary-ng", null) != null ? lookup(eks_managed_node_groups, "incidents-primary-ng", null).iam_role_arn : null
]

为什么根模块可以用点语法？ #

根模块中module.eks.eks_managed_node_groups.incidents-primary-ng.iam_role_arn能正常运行，是因为Terraform对模块输出的map类型值提供了语法糖支持，允许用.键名替代["键名"]的索引写法；但模块内部由for_each创建的资源集合不支持该语法糖，必须严格使用映射索引方式访问。

内容的提问来源于stack exchange，提问作者Teacup