如何用Terraform修改Helm部署的ClusterRole权限？

完全可以不用重新创建资源，通过Helm配置或Terraform的补丁能力实现ClusterRole的权限追加，以下是几种可行方案：

方案1：通过Helm Values追加权限规则 #

大部分成熟的Helm Chart（包括AWS EFS CSI Driver）支持通过values配置直接追加ClusterRole的权限规则。你只需要在values.yaml中添加对应配置：

controller:
  serviceAccount:
    clusterRoleRules:
      # 新增的权限块示例
      - apiGroups: [""]
        resources: ["pods"]
        verbs: ["get", "list"]
      - apiGroups: ["storage.k8s.io"]
        resources: ["csidrivers"]
        verbs: ["get", "watch"]

保存后运行terraform apply，Helm会自动合并原有规则与新增规则，直接更新现有ClusterRole资源，不会触发重建。

方案2：在Terraform代码中直接设置规则 #

如果不想修改外部的values.yaml，可以在Terraform的helm_release资源中用set_list参数直接追加规则：

resource "helm_release" "aws-efs-csi-driver" {
  name             = "aws-efs-csi-driver"
  chart            = "aws-efs-csi-driver"
  repository       = "https://kubernetes-sigs.github.io/aws-efs-csi-driver/"
  version          = "2.x.x"
  namespace        = "kube-system"
  timeout          = 3600

  values = [
    file("${path.module}/config/values.yaml"),
  ]

  # 追加ClusterRole权限规则
  set_list {
    name  = "controller.serviceAccount.clusterRoleRules"
    value = [
      jsonencode({
        apiGroups = [""]
        resources = ["pods"]
        verbs     = ["get", "list"]
      }),
      jsonencode({
        apiGroups = ["storage.k8s.io"]
        resources = ["csidrivers"]
        verbs     = ["get", "watch"]
      })
    ]
  }
}

执行terraform apply后，Terraform会将这些规则传递给Helm，完成现有ClusterRole的增量更新。

方案3：用JSON Patch直接修改ClusterRole #

如果Chart不支持通过values追加规则，可以用Terraform的patch块配合JSON Patch语法直接修改目标ClusterRole：

resource "helm_release" "aws-efs-csi-driver" {
  name             = "aws-efs-csi-driver"
  chart            = "aws-efs-csi-driver"
  repository       = "https://kubernetes-sigs.github.io/aws-efs-csi-driver/"
  version          = "2.x.x"
  namespace        = "kube-system"
  timeout          = 3600

  values = [
    file("${path.module}/config/values.yaml"),
  ]

  # JSON Patch追加权限
  patch {
    patch = <<-EOF
    [
      {
        "op": "add",
        "path": "/rules/-",
        "value": {
          "apiGroups": [""],
          "resources": ["pods"],
          "verbs": ["get", "list"]
        }
      },
      {
        "op": "add",
        "path": "/rules/-",
        "value": {
          "apiGroups": ["storage.k8s.io"],
          "resources": ["csidrivers"],
          "verbs": ["get", "watch"]
        }
      }
    ]
    EOF
    target = {
      kind = "ClusterRole"
      name = "efs-csi-controller-role" # 确认目标ClusterRole名称正确
    }
  }
}

这种方式直接对Kubernetes API发送修改请求，完全避免资源重建。

注意事项 #

• 确认目标ClusterRole的名称（EFS CSI Driver默认控制器ClusterRole为efs-csi-controller-role）
• JSON Patch的path中，/rules/-表示在规则数组末尾添加新元素，若要插入到指定位置可修改索引
• 优先使用方案1或2，这是Helm推荐的配置方式，兼容性更好

内容的提问来源于stack exchange，提问作者Pasan Chamikara