Terraform部署Azure AKS时NodePool每次Apply均强制重建问题排查

问题现象 #

使用Terraform创建带自定义节点池的AKS集群时，每次执行terraform plan或terraform apply，自定义节点池azurerm_kubernetes_cluster_node_pool.gp_nodes都会被标记为需要强制重建，核心变更提示为：

- vnet_subnet_id          = "/subscriptions/<SOME-VALUE>/resourceGroups/shared-rg/providers/Microsoft.Network/virtualNetworks/shared-network/subnets/aks-subnet-test" -> null # forces replacement

核心原因分析 #

1. 子网配置缺失触发不可变属性变更
   你的AKS集群采用network_profile.network_plugin = "azure"（Azure CNI模式），该模式下所有节点池（包括自定义节点池）必须通过pod_subnet_id指定关联的VNet子网。
   当前自定义节点池配置中，你注释掉了pod_subnet_id = ""，未明确配置子网ID。但实际已创建的节点池已经关联了子网（从变更信息的旧值可确认），Terraform检测到配置与实际资源状态不匹配，认为需要移除已存在的子网关联——而pod_subnet_id（对应Azure API的vnetSubnetID）是节点池的不可变更属性，创建后无法修改或移除，因此必须强制重建节点池。

2. 次要验证点

   • 硬编码的orchestrator_version = "1.22.15"如果与集群的kubernetes_version不一致，也可能触发重建，但本次变更信息未体现版本差异，优先级低于子网问题。
   • 配置的lifecycle.ignore_changes = [kubernetes_cluster_id]不会导致重建，反而可能掩盖依赖问题，但并非本次核心诱因。

解决方案 #

1. 补全子网配置
   在自定义节点池资源中取消注释pod_subnet_id，设置为与默认节点池一致的子网ID（或同一VNet下的其他合法子网）：

   resource "azurerm_kubernetes_cluster_node_pool" "gp_nodes" {
     # 其他配置保持不变
     pod_subnet_id = var.vnet_subnet_id # 复用默认节点池的子网，或指定其他子网ID
     # 其他配置保持不变
   }
   

2. 对齐版本号（可选）
   避免硬编码版本，改为引用集群的版本属性，确保节点池与集群版本一致：

   orchestrator_version = azurerm_kubernetes_cluster.k8s_cluster.kubernetes_version
   

内容的提问来源于stack exchange，提问作者Jananath Banuka