Terraform中Helm仓库无法随EKS基础设施创建问题求助

你的问题核心在于Terraform Provider的配置评估时机早于EKS集群创建，尽管给helm_release加了depends_on = [module.primary]，但Kubernetes和Helm Provider的配置依赖data.aws_eks_cluster、data.aws_eks_cluster_auth这两个数据源，而这两个数据源在Terraform初始化/规划阶段就会尝试获取数据，此时EKS集群还未创建，导致Provider配置失败，进而Helm发布无法执行。

具体修复步骤 #

1. 给EKS相关数据源添加依赖 #

确保data.aws_eks_cluster和data.aws_eks_cluster_auth在EKS集群创建完成后再执行查询：

data "aws_eks_cluster_auth" "primary" {
  name = module.primary.cluster_id
  depends_on = [module.primary] # 新增：等待EKS集群创建完成
}

data "aws_eks_cluster" "primary" {
  name = module.primary.cluster_id
  depends_on = [module.primary] # 新增：等待EKS集群创建完成
}

2. 简化Provider配置，避免提前依赖Token #

你的Kubernetes和Helm Provider配置中同时使用了token字段和exec块，这会导致冲突。exec块本身已经可以通过aws eks get-token获取认证令牌，无需提前通过data.aws_eks_cluster_auth获取。修改后的Provider配置如下：

Kubernetes Provider：

provider "kubernetes" {
  host                   = data.aws_eks_cluster.primary.endpoint
  cluster_ca_certificate = base64decode(data.aws_eks_cluster.primary.certificate_authority[0].data)
  exec {
    api_version = "client.authentication.k8s.io/v1beta1" # 升级到稳定版本
    command     = "aws"
    args = ["eks", "get-token", "--cluster-name", module.primary.cluster_id]
  }
}

Helm Provider：

provider "helm" {
  kubernetes {
    host                   = data.aws_eks_cluster.primary.endpoint
    cluster_ca_certificate = base64decode(data.aws_eks_cluster.primary.certificate_authority[0].data)
    exec {
      api_version = "client.authentication.k8s.io/v1beta1"
      command     = "aws"
      args        = ["eks", "get-token", "--cluster-name", module.primary.cluster_id]
    }
  }
}

3. 提前创建Helm所需命名空间 #

你的Helm发布指定了prometheus和falco命名空间，若命名空间不存在，Helm创建时可能因权限或时序问题失败，建议提前创建：

resource "kubernetes_namespace" "prometheus" {
  metadata {
    name = "prometheus"
  }
  depends_on = [module.primary]
}

resource "kubernetes_namespace" "falco" {
  metadata {
    name = "falco"
  }
  depends_on = [module.primary]
}

# 修改Helm Release，依赖对应的命名空间
resource "helm_release" "prometheus" {
  # ... 原有配置 ...
  depends_on      = [module.primary, kubernetes_namespace.prometheus]
}

resource "helm_release" "falco_security" {
  # ... 原有配置 ...
  depends_on      = [module.primary, kubernetes_namespace.falco]
}

为什么之前的depends_on无效？ #

Terraform的Provider配置是在规划阶段早期解析的，而helm_release的depends_on仅控制资源的创建顺序，无法影响Provider配置的时机。通过给数据源添加depends_on，我们强制Terraform先创建EKS集群，再获取集群信息，从而让Provider能拿到有效的集群配置。

内容的提问来源于stack exchange，提问作者R. Barrett