如何用Terraform修改GKE集群master_authorized_networks_config且不销毁集群

完全可行，而且能彻底解决你添加CIDR时触发集群销毁的问题。核心原因是GKE支持在线更新Master授权网络配置，Terraform的Google Provider也支持对该配置做增量修改，不需要重建集群。你之前遇到销毁问题，大概率是模块结构或配置方式导致Terraform误判需要重建，而非功能限制。

具体实现步骤 #

1. 拆分独立模块

创建一个专门管理Master授权网络的模块（比如./modules/gke-master-authorized-networks），该模块仅负责更新现有集群的授权CIDR，不管理集群其他属性：

# modules/gke-master-authorized-networks/main.tf
variable "cluster_name" {
  type        = string
  description = "目标GKE集群的名称"
}

variable "project_id" {
  type        = string
  description = "GKE集群所在的GCP项目ID"
}

variable "region" {
  type        = string
  description = "GKE集群所在的区域"
}

variable "cidr_blocks" {
  type = list(object({
    cidr_block   = string
    display_name = string
  }))
  description = "允许访问Master节点的CIDR列表"
}

resource "google_container_cluster" "cluster" {
  name     = var.cluster_name
  project  = var.project_id
  location = var.region

  # 关键：忽略集群其他属性的变化，仅管理授权网络配置
  lifecycle {
    ignore_changes = [
      node_pools,
      network,
      subnetwork,
      ip_allocation_policy,
      # 根据你的实际集群配置，添加所有不需要该模块管理的属性
    ]
  }

  # 用动态块灵活生成CIDR规则
  master_authorized_networks_config {
    dynamic "cidr_blocks" {
      for_each = var.cidr_blocks
      content {
        cidr_block   = cidr_blocks.value.cidr_block
        display_name = cidr_blocks.value.display_name
      }
    }
  }
}

2. 调整原集群模块

从你的现有集群模块中移除master_authorized_networks_config块，确保集群的基础配置和授权网络配置解耦。

3. 调用新模块

在主配置中引入该模块，传入现有集群的信息和需要授权的CIDR列表：

# main.tf
module "gke_master_authorized_networks" {
  source = "./modules/gke-master-authorized-networks"

  cluster_name = module.gke_cluster.cluster_name # 引用现有集群模块的输出
  project_id   = var.project_id
  region       = var.region

  cidr_blocks = [
    {
      cidr_block   = "123.456.789/32"
      display_name = "megacorp-1-nat1"
    },
    {
      cidr_block   = "34.69.69.69/32"
      display_name = "megacorp-1-nat2"
    },
    {
      cidr_block   = "123.456.333.333/32"
      display_name = "vpn-test"
    }
  ]
}

为什么不会销毁集群？ #

• 声明式增量更新：Terraform会调用GKE的patch API更新授权网络，而非删除重建集群。
• 生命周期规则限制：lifecycle.ignore_changes确保该模块只修改授权网络，不会触碰集群的其他核心配置（比如节点池、网络），避免触发不必要的重建。
• 动态块灵活管理：添加/删除CIDR时，Terraform只会更新对应的规则，不会影响整个集群的存在状态。

注意事项 #

• 确保使用v4.0.0及以上版本的Google Terraform Provider，旧版本可能存在兼容性问题。
• 第一次应用前先运行terraform plan，确认计划中只有google_container_cluster的master_authorized_networks_config部分更新，没有destroy操作。
• 声明式配置要求：新模块的cidr_blocks需要包含所有已有的授权CIDR，否则Terraform会移除不在列表中的规则（这是预期的声明式行为）。

内容的提问来源于stack exchange，提问作者TeeTee