Terraform报错Missing resource instance key：集群角色绑定配置问题

问题场景 #

在Terraform配置中，通过count条件（非prod/infra环境才创建）控制Kubernetes ClusterRole和ClusterRoleBinding的实例化，执行terraform plan时触发「Missing resource instance key」错误，报错指向ClusterRoleBinding中引用ClusterRole元数据的代码行。

报错信息 #

Error: Missing resource instance key
│ 
│   on modules/rbac/cluster_role_binding/main.tf line 98, in resource "kubernetes_cluster_role_binding" "allow_port_forward":
│   98:     name = kubernetes_cluster_role.allow_port_forward.metadata[0].name
│ 
│ Because kubernetes_cluster_role.allow_port_forward has "count" set, its attributes must be accessed on specific instances.
│ 
│ For example, to correlate with indices of a referring resource, use:
│     kubernetes_cluster_role.allow_port_forward[count.index]

问题原因 #

当资源配置了count参数后，Terraform会将该资源视为实例列表（而非单个实例）。原代码中直接用metadata[0].name试图访问第一个实例的属性，不符合Terraform的索引规则；同时由于ClusterRole和ClusterRoleBinding的count条件完全一致，应该通过count.index关联同索引的实例，确保两者创建逻辑完全匹配。

解决方法 #

修改ClusterRoleBinding中role_ref的name字段，使用count.index引用对应索引的ClusterRole实例属性：

修改后的完整配置 #

resource "kubernetes_cluster_role" "allow_port_forward" {
  count = (
    (var.env != "prod")
    && (var.env != "infra")
  ) ? 1 : 0
  metadata {
    annotations = {
      "CCE.com/IAM" : "true"
    }
    name = "allow-port-forward"
  }

  rule {
    api_groups = ["rbac.authorization.k8s.io"]
    resources  = ["pods", "pods/portforward"]
    verbs      = ["get", "list", "create"]
  }
}

resource "kubernetes_cluster_role_binding" "allow_port_forward" {
  count = (
    (var.env != "prod")
    && (var.env != "infra")
  ) ? 1 : 0
  metadata {
    annotations = {
      "CCE.com/IAM" : "true"
    }
    name = "allow-port-forward"
  }

  role_ref {
    api_group = "rbac.authorization.k8s.io"
    kind      = "ClusterRole"
    # 使用count.index关联同索引的ClusterRole实例
    name = kubernetes_cluster_role.allow_port_forward[count.index].metadata.name
  }
  subject {
    # developer group
    kind      = "Group"
    name      = "0f2762d3df0025dd3f71c00207c49c39"
    api_group = "rbac.authorization.k8s.io"
  }
}

额外说明 #

由于本例中ClusterRole的name是固定字符串allow-port-forward，也可以直接将role_ref.name写为该字符串，但使用count.index的方式更严谨——如果后续ClusterRole的名称改为动态生成（比如包含环境变量），这种关联方式依然能保持正确性，避免硬编码带来的不一致问题。

内容的提问来源于stack exchange，提问作者Izito