Terraform私有Provider如何获取google_container_cluster创建的GKE集群kubeconfig

你完全不需要执行gcloud container clusters get-credentials命令修改本地CLI状态，google_container_cluster资源本身已经暴露了所有构建kubeconfig需要的字段，直接从Terraform状态中提取传递即可，具体操作如下：

步骤1：获取GCP客户端认证配置 #

先添加google_client_config数据源读取当前生效的GCP访问凭证：

data "google_client_config" "current" {}

resource "google_container_cluster" "target" {
  name     = "你的集群名称"
  location = "集群所在区域"
  # 其余集群配置省略
}

步骤2：生成完整kubeconfig内容 #

直接用Terraform内置的yamlencode方法拼接标准kubeconfig结构，不需要依赖外部命令：

locals {
  kubeconfig = yamlencode({
    apiVersion = "v1"
    kind       = "Config"
    clusters = [{
      name = google_container_cluster.target.name
      cluster = {
        certificate-authority-data = base64encode(google_container_cluster.target.ca_certificate)
        server                     = "https://${google_container_cluster.target.endpoint}"
      }
    }]
    contexts = [{
      name = google_container_cluster.target.name
      context = {
        cluster = google_container_cluster.target.name
        user    = google_container_cluster.target.name
      }
    }]
    current-context = google_container_cluster.target.name
    users = [{
      name = google_container_cluster.target.name
      user = {
        token = data.google_client_config.current.access_token
      }
    }]
  })
}

步骤3：传递凭证给私有Provider #

你可以根据私有Provider的实现二选一传递：

• 直接把local.kubeconfig作为字符串参数传给私有Provider的对应配置项，Provider内部可以直接解析该内容调用kubectl，无需写入本地文件
• 如果Provider必须读取文件形式的kubeconfig，可以将local.kubeconfig写入临时路径，执行kubectl时通过--kubeconfig参数指定该临时路径，或者通过KUBECONFIG环境变量指定，不会修改默认的~/.kube/config文件

如果你的私有Provider不需要完整kubeconfig，也可以单独传递三个核心凭证参数：

• 集群访问端点：google_container_cluster.target.endpoint
• 集群CA证书：google_container_cluster.target.ca_certificate
• 访问令牌：data.google_client_config.current.access_token

内容的提问来源于stack exchange，提问作者jws