使用Terraform EKS模块部署EBS CSI驱动遇依赖循环问题求解

你遇到的是典型的Terraform依赖循环：IAM角色需要EKS集群的OIDC提供者ARN，而EKS集群启用EBS CSI插件时又需要该IAM角色的ARN，两者互相依赖导致无法一次性部署。以下是两种可靠的解决方法：

方法一：拆分部署阶段 #

这是最直观且易维护的方案，分两次部署完成：

第一步：部署基础EKS集群 #

先配置EKS模块，不包含aws-ebs-csi-driver插件，只搭建核心集群：

module "eks" {
  source  = "terraform-aws-modules/eks/aws"
  version = "~> 18.6"

  # 填入你的集群名称、节点配置等核心参数
  cluster_name = "my-eks-cluster"
  # ... 其他必要配置
}

执行terraform apply，完成集群和OIDC提供者的创建。

第二步：部署IAM角色并启用CSI插件 #

添加IAM角色模块，并更新EKS模块配置启用CSI插件：

# 部署EBS CSI所需的IRSA角色
module "ebs_csi_irsa_role" {
  source = "terraform-aws-modules/iam/aws//modules/iam-role-for-service-accounts-eks"

  role_name             = "ebs-csi"
  attach_ebs_csi_policy = true

  oidc_providers = {
    ex = {
      provider_arn               = module.eks.oidc_provider_arn
      namespace_service_accounts = ["kube-system:aws-ebs-csi-driver"]
    }
  }
}

# 更新EKS模块，添加CSI插件并关联角色
module "eks" {
  source  = "terraform-aws-modules/eks/aws"
  version = "~> 18.6"

  cluster_name = "my-eks-cluster"
  # ... 保留之前的核心配置

  cluster_addons = {
    aws-ebs-csi-driver = {
      addon_version     = "v1.17.0-eksbuild.1"
      resolve_conflicts = "OVERWRITE"
      service_account_role_arn = module.ebs_csi_irsa_role.iam_role_arn
    }
  }
}

再次执行terraform apply，此时OIDC提供者已存在，IAM角色可正常创建，随后EKS集群会绑定角色并启用CSI插件。

方法二：使用数据源提前获取OIDC提供者 #

通过Terraform数据源直接查询EKS集群的OIDC提供者，绕开模块间的直接依赖：

# 定义集群名称变量（确保和EKS模块使用的名称一致）
variable "cluster_name" {
  type        = string
  description = "EKS集群名称"
  default     = "my-eks-cluster"
}

# 查询EKS集群信息
data "aws_eks_cluster" "eks" {
  name = var.cluster_name
}

# 查询对应的OIDC提供者
data "aws_iam_openid_connect_provider" "eks" {
  arn = replace(data.aws_eks_cluster.eks.identity[0].oidc[0].issuer, "https://", "")
}

# 部署IRSA角色
module "ebs_csi_irsa_role" {
  source = "terraform-aws-modules/iam/aws//modules/iam-role-for-service-accounts-eks"

  role_name             = "ebs-csi"
  attach_ebs_csi_policy = true

  oidc_providers = {
    ex = {
      provider_arn               = data.aws_iam_openid_connect_provider.eks.arn
      namespace_service_accounts = ["kube-system:aws-ebs-csi-driver"]
    }
  }
}

# 部署EKS集群并启用CSI插件
module "eks" {
  source  = "terraform-aws-modules/eks/aws"
  version = "~> 18.6"

  cluster_name = var.cluster_name
  # ... 填入你的集群配置

  cluster_addons = {
    aws-ebs-csi-driver = {
      addon_version     = "v1.17.0-eksbuild.1"
      resolve_conflicts = "OVERWRITE"
      service_account_role_arn = module.ebs_csi_irsa_role.iam_role_arn
    }
  }
}

这种方法Terraform会自动处理依赖顺序：先创建EKS集群，再通过数据源获取OIDC提供者，接着创建IAM角色，最后完成CSI插件的配置。不过需要确保集群名称变量全局一致，避免查询错误。

内容的提问来源于stack exchange，提问作者Daniel