Terraform导入失败：Kubernetes Provider依赖数据源问题解决方案咨询

核心调整思路 #

当前问题本质是两个独立Terraform状态栈的依赖关系处理不符合import操作的规则，调整第二个栈（负责Route53、命名空间管理）的Kubernetes provider配置方式即可满足所有约束：

步骤1：修改第一个Terraform栈（VPC、EKS集群栈）的输出 #

在栈1的配置中新增两个静态输出项，这两个值是集群创建后固定不变的，不存在过期风险，可安全跨栈传递：

output "eks_cluster_endpoint" {
  value = aws_eks_cluster.cluster.endpoint
}

output "eks_cluster_ca_certificate" {
  value = aws_eks_cluster.cluster.certificate_authority[0].data
}

步骤2：调整第二个Terraform栈的provider配置 #

完全移除provider配置对数据源的依赖，改为通过输入变量接收栈1的静态输出，搭配exec认证动态生成token，既符合import的规则，也不存在token过期问题：
首先在栈2的variables.tf中新增变量定义：

variable "eks_cluster_name" {
  type        = string
  description = "EKS集群名称"
}

variable "eks_cluster_region" {
  type        = string
  description = "EKS集群所在AWS区域"
}

variable "eks_cluster_endpoint" {
  type        = string
  description = "EKS集群API端点，从栈1输出获取"
}

variable "eks_cluster_ca_cert" {
  type        = string
  description = "EKS集群CA证书，从栈1输出获取"
}

再修改栈2的Kubernetes provider配置：

provider "kubernetes" {
  host                   = var.eks_cluster_endpoint
  cluster_ca_certificate = base64decode(var.eks_cluster_ca_cert)
  exec {
    api_version = "client.authentication.k8s.io/v1beta1"
    command     = "aws"
    args        = ["eks", "get-token", "--region", var.eks_cluster_region, "--cluster-name", var.eks_cluster_name]
  }
}

步骤3：调整执行流程 #

1. 先执行栈1的terraform apply，完成EKS集群创建，记录下栈1输出的eks_cluster_endpoint和eks_cluster_ca_certificate值
2. 用Helm CLI手动安装nginx-ingress-controller
3. 执行命名空间导入操作，通过-var参数传入所有必填变量，此时provider配置所有输入均为明确的变量值，无数据源依赖，完全符合import的要求：

terraform import \
  -var="eks_cluster_name=你的集群名" \
  -var="eks_cluster_region=你的集群区域" \
  -var="eks_cluster_endpoint=栈1输出的endpoint值" \
  -var="eks_cluster_ca_cert=栈1输出的CA证书值" \
  kubernetes_namespace.nginx_ingress 你的nginx-ingress部署的命名空间名称

4. 后续执行栈2的terraform apply或terraform destroy时，同样传入上述变量即可。exec插件会在每次执行时动态生成有效期15分钟的认证token，无需提前存储，不存在过期问题。

之前exec配置报错的原因说明 #

之前用exec配置报错是因为将Kubernetes provider和EKS集群创建放在了同一个Terraform根模块中，Terraform初始化阶段就会尝试解析provider配置，此时集群还未创建，endpoint值为空，才会触发default cluster has no server defined报错。拆分为两个独立栈后，栈2的所有操作都在集群创建完成后执行，传入的endpoint都是有效值，不会再出现该错误。

约束条件匹配验证 #

• Route53资源完全由栈2管理，可正常输出NS记录值，不会影响栈1的apply流程
• 命名空间已导入栈2的状态，执行栈2destroy时会优先删除命名空间，自动清理nginx-ingress-controller创建的负载均衡、网卡、安全组等云资源，之后再执行栈1destroy不会出现VPC残留删除失败的问题
• 认证token由aws cli每次执行操作时动态生成，不需要跨栈传递或长期存储，不存在过期问题

内容的提问来源于stack exchange，提问作者David Gard