Terraform执行apply更新GKE集群时出现x509证书合规性错误求助

问题根源 #

GKE集群的API服务器证书是基于集群官方域名（格式如[cluster-id].[region].endpoints.[project-id].cloud.goog）签发的，证书的SAN字段不包含集群直接IP。当Terraform后续执行apply时，若Kubernetes Provider配置为直接访问集群IP，就会触发证书验证错误——因为证书里没有该IP的身份信息，符合标准的TLS验证会判定证书不合规。

解决方案 #

1. 配置Kubernetes Provider使用GKE官方Endpoint域名（推荐生产环境）

修改Terraform配置，让Kubernetes Provider通过GKE集群的官方endpoint域名访问API，而非直接用IP。示例配置如下：

# 定义GKE集群资源
resource "google_container_cluster" "primary" {
  name               = "my-gke-cluster"
  location           = "us-central1-a"
  initial_node_count = 2

  master_auth {
    client_certificate_config {
      issue_client_certificate = false
    }
  }
}

# 自动获取当前GCP身份凭证
data "google_client_config" "current" {}

# 配置Kubernetes Provider，使用集群官方endpoint
provider "kubernetes" {
  host                   = google_container_cluster.primary.endpoint
  token                  = data.google_client_config.current.access_token
  cluster_ca_certificate = base64decode(google_container_cluster.primary.master_auth[0].cluster_ca_certificate)
}

核心是用google_container_cluster.primary.endpoint作为Kubernetes Provider的host参数，该值是GKE集群的官方域名，与证书SAN字段匹配，可通过TLS验证。

2. 检查并升级Kubernetes Provider版本

确保Terraform Kubernetes Provider版本与GKE集群版本兼容。对于GKE 1.25.x，推荐使用>=2.20.0的版本，旧版本可能存在证书处理逻辑问题。在terraform.tf中指定版本：

terraform {
  required_providers {
    google = {
      source  = "hashicorp/google"
      version = ">= 4.70.0"
    }
    kubernetes = {
      source  = "hashicorp/kubernetes"
      version = ">= 2.20.0"
    }
  }
}

3. 临时跳过证书验证（仅测试环境使用）

如果是测试场景，可临时关闭证书验证，但绝对禁止在生产环境使用：

provider "kubernetes" {
  host                   = google_container_cluster.primary.endpoint
  token                  = data.google_client_config.current.access_token
  cluster_ca_certificate = base64decode(google_container_cluster.primary.master_auth[0].cluster_ca_certificate)
  insecure               = true # 仅测试用，生产禁用
}

4. 私有集群的额外检查

如果是GKE私有集群，需确保Terraform运行环境能访问集群私有endpoint：

• 在VPC内部运行Terraform（比如使用Cloud Build、GCE实例）
• 配置Cloud VPN或Cloud Interconnect打通本地环境与GKE VPC

为什么之前的方法无效 #

将集群IP证书添加到本地信任列表无法解决问题，因为证书本身的SAN字段不包含该IP——TLS验证不仅检查证书是否被信任，还会验证访问地址是否在证书的身份列表中，这是标准合规要求，因此即使信任了证书，地址不匹配仍会报错。

内容的提问来源于stack exchange，提问作者Frank