如何无冲突管理Kubernetes ConfigMap数据？Terraform冲突解决方案

问题背景 #

用terraform-aws-eks模块搭建EKS集群时，我们想拆分aws-auth ConfigMap的管理权限：

• 让eks模块负责创建ConfigMap并维护mapRoles、mapAccounts字段
• 在独立的Terraform资源中单独管理mapUsers字段

最初尝试用kubernetes_config_map_v1_data实现部分更新，但实际执行terraform apply时发现冲突——通过kubernetes_config_map_v1_data添加的mapUsers字段，每次都会被eks模块生成的kubernetes_config_map资源覆盖删除。

解决方案 #

核心思路是让eks模块的kubernetes_config_map资源放弃对mapUsers字段的管理，同时保留它对mapRoles和mapAccounts的维护，具体操作如下：

1. 调整eks模块的aws-auth ConfigMap配置 #

引用terraform-aws-eks模块时，通过生命周期规则让资源忽略mapUsers字段的变更：

module "eks" {
  source = "terraform-aws-modules/eks/aws"
  # 集群名称、版本等必要参数...

  manage_aws_auth = true # 保留模块创建aws-auth ConfigMap的逻辑
  aws_auth_roles  = [
    # 你的角色映射配置，比如节点角色等
  ]
  aws_auth_accounts = [
    # 你的关联账号配置
  ]
}

# 覆盖模块生成的aws-auth ConfigMap，添加生命周期规则
resource "kubernetes_config_map" "aws_auth" {
  metadata {
    name      = "aws-auth"
    namespace = "kube-system"
  }

  data = {
    mapRoles    = module.eks.aws_auth_roles
    mapAccounts = module.eks.aws_auth_accounts
  }

  lifecycle {
    # 忽略mapUsers字段的变更，避免模块覆盖自定义配置
    ignore_changes = [data["mapUsers"]]
    # 当mapRoles或mapAccounts变更时，触发资源更新
    replace_triggered_by = [
      module.eks.aws_auth_roles,
      module.eks.aws_auth_accounts,
    ]
  }
}

2. 用kubernetes_config_map_v1_data单独管理mapUsers #

现在可以安全地用kubernetes_config_map_v1_data维护mapUsers，不会再被模块资源覆盖：

resource "kubernetes_config_map_v1_data" "aws_auth_users" {
  metadata {
    name      = "aws-auth"
    namespace = "kube-system"
  }

  data = {
    mapUsers = jsonencode([
      {
        userarn  = "arn:aws:iam::123456789012:user/dev-user"
        username = "dev-user"
        groups   = ["system:authenticated"]
      },
      # 其他需要添加的用户映射
    ])
  }
}

原理说明 #

通过ignore_changes生命周期参数，告诉Terraform在执行计划和应用时，不处理kubernetes_config_map资源中mapUsers字段的变更，这样eks模块的更新就不会影响到自定义的用户配置。而kubernetes_config_map_v1_data专门负责管理ConfigMap的部分数据，两者职责明确，就不会再出现资源冲突覆盖的问题。

内容的提问来源于stack exchange，提问作者cybersnow1989