Terraform部署Neo4j 4.4.11因果集群频繁失败求助

一、先搞定Secret并发冲突的核心问题 #

每次部署失败报Secret 'neo4j-cluster-auth' exists超时，本质是三个Helm模块并发尝试创建同一个Secret导致的竞争冲突。直接把这个Secret单独抽离出来，不要让每个Helm实例自己生成：

• 在Terraform根模块里提前手动创建该Secret：

  resource "kubernetes_secret" "neo4j_cluster_auth" {
    metadata {
      name      = "neo4j-cluster-auth"
      namespace = var.namespace
    }
    data = {
      "neo4j-admin-password" = base64encode(var.neo4j_admin_password)
      "neo4j-password"       = base64encode(var.neo4j_user_password)
    }
    type = "Opaque"
  }
  

• 然后给每个Helm模块配置，禁用自动创建Secret，直接用提前生成的：

  set {
    name  = "auth.existingSecret"
    value = "neo4j-cluster-auth"
  }
  set {
    name  = "auth.create"
    value = "false"
  }
  

• 所有Helm release都要依赖这个提前创建的Secret，避免并发抢资源：每个helm_release资源里加depends_on = [kubernetes_secret.neo4j_cluster_auth]

二、优化集群发现与启动时序 #

1. 统一用K8S发现模式，别折腾LIST模式 #

LIST模式需要硬编码节点地址，反而容易出问题，老老实实调优K8S发现的配置：

• 开启集群等待初始化容器，给足节点凑齐的时间：

  set {
    name  = "core.initContainers.waitForCluster.enabled"
    value = "true"
  }
  set {
    name  = "core.initContainers.waitForCluster.timeout"
    value = "300" # 设成5分钟，够节点启动和发现了
  }
  

• 配置核心节点的标签选择器，确保K8S DNS能正确找到所有核心节点：

  set {
    name  = "core.service.labels.app"
    value = "neo4j-core"
  }
  set {
    name  = "core.discovery.type"
    value = "K8S"
  }
  set {
    name  = "core.discovery.k8s.labelSelector"
    value = "app=neo4j-core"
  }
  

2. 强制节点串行启动，别让三个节点一起跑 #

只给第三个节点加depends_on没用，要让三个节点链式依赖，逐个启动：

• 第一个节点（core-0）只依赖提前创建的Secret
• 第二个节点（core-1）加depends_on = [helm_release.neo4j_core_0]
• 第三个节点（core-2）加depends_on = [helm_release.neo4j_core_1]
• 配合StatefulSet的分区配置，确保节点逐个启动：每个节点的core.statefulset.rollingUpdate.partition设为对应序号（core-0设0，core-1设1，core-2设2）

三、调大健康检查与集群初始化参数 #

• 进一步拉长健康检查的初始延迟，给节点足够的启动和集群协商时间：

  set {
    name  = "core.livenessProbe.initialDelaySeconds"
    value = "120"
  }
  set {
    name  = "core.readinessProbe.initialDelaySeconds"
    value = "90"
  }
  set {
    name  = "core.livenessProbe.timeoutSeconds"
    value = "30"
  }
  set {
    name  = "core.readinessProbe.periodSeconds"
    value = "10"
  }
  

• 确保集群初始化的最小核心数和你的集群规模一致：

  set {
    name  = "core.config.dbms.cluster.minimum_core_cluster_size_at_formation"
    value = "3"
  }
  

四、失败后的快速排查点 #

• 先看neo4j-cluster-auth Secret的状态，确认是不是已经存在且权限正常
• 翻节点日志，重点看集群发现阶段的输出，确认能不能解析到其他核心节点的DNS
• 检查K8S的Headless Service，确保端点列表里已经包含所有核心节点

内容的提问来源于stack exchange，提问作者TheSch