在Terraform中启用GKE集群Workload Identity时遇“Context Deadline exceeded”错误

针对你遇到的context deadline exceeded错误，结合私有GKE集群的特性，可从以下几个方向排查解决：

1. 验证网络连通性 #

私有GKE集群的控制平面使用内部IP（如你的10.0.0.2），即使VM已加入主授权网络，仍需确认Terraform所在VM到控制平面的网络通路：

• 在VM上执行ping 10.0.0.2，检查基础连通性；
• 用curl测试API端点：

  curl -v https://10.0.0.2/api/v1/namespaces/default --cacert <(echo "${module.gke.ca_certificate}" | base64 -d)
  

  如果请求超时，说明存在VPC路由、防火墙规则问题——需确保VM所在子网的出站规则允许访问控制平面IP的443端口。

2. 延长Kubernetes Provider超时时间 #

默认超时配置可能不足以应对私有网络的延迟，在provider块中添加超时参数：

provider "kubernetes" {
  host                   = "https://${module.gke.endpoint}"
  token                  = data.google_client_config.default.access_token
  cluster_ca_certificate = base64decode(module.gke.ca_certificate)
  timeout                = "5m" # 调整为合适的超时时长，比如5分钟
}

3. 确认Token有效性与权限 #

虽然本地kubectl可正常运行，但需验证Terraform使用的token是否具备操作ServiceAccount的权限：

• 获取当前token并测试API调用：

  TOKEN=$(gcloud auth print-access-token)
  curl -H "Authorization: Bearer $TOKEN" --cacert <(echo "${module.gke.ca_certificate}" | base64 -d) https://10.0.0.2/api/v1/namespaces/default/serviceaccounts
  

  • 若返回403，需补充服务账户的Kubernetes RBAC权限；
  • 若仍超时，回到网络连通性排查。

4. 核对主授权网络配置 #

确保添加到集群授权网络的是VM的内部IP（而非公网IP）：

• 查看当前授权网络配置：

  gcloud container clusters describe <集群名称> --zone <集群区域> | grep masterAuthorizedNetworksConfig
  

• 若配置错误，更新集群授权网络：

  gcloud container clusters update <集群名称> --zone <集群区域> --enable-master-authorized-networks --master-authorized-networks=<VM内部IP>/32
  

5. 排查跨VPC网络配置（若适用） #

如果Terraform所在VM与GKE集群分属不同VPC，需确认VPC peering已正确配置，且路由表包含指向控制平面的路由条目；若通过Cloud NAT访问，需确保NAT规则允许流量到达控制平面IP。

内容的提问来源于stack exchange，提问作者Nick