使用Terraform的aws_eks_cluster创建EKS集群后如何导出kubeconfig文件？

Terraform官方AWS Provider的资源设计逻辑是严格对齐AWS原生OpenAPI的能力边界：

• AWS EKS服务的原生API接口返回值只有集群名称、访问端点、CA证书、状态这类集群本身的属性数据，kubeconfig是Kubernetes生态的客户端配置文件，不属于AWS EKS服务的原生资源范畴，所以直接映射API的aws_eks_cluster资源不会额外实现客户端侧的配置组装逻辑。
• kubeconfig的个性化需求非常多：比如认证方式选AWS CLI令牌还是静态服务账号、上下文命名规则、权限有效期、是否绑定特定IAM角色等，官方资源如果内置固定生成逻辑反而会限制灵活性，因此把这部分组装逻辑留给上层自定义或者封装好的社区模块实现更合理。

方案1：自行组装生成（无额外模块依赖） #

直接利用aws_eks_cluster返回的属性，配合local_file资源直接生成kubeconfig文件，代码示例如下：

resource "aws_eks_cluster" "my_cluster" {
  name     = "my-eks-cluster"
  # 其余集群配置省略
}

resource "local_file" "kubeconfig" {
  content  = <<YAML
apiVersion: v1
clusters:
- cluster:
    server: ${aws_eks_cluster.my_cluster.endpoint}
    certificate-authority-data: ${aws_eks_cluster.my_cluster.certificate_authority[0].data}
  name: ${aws_eks_cluster.my_cluster.name}
contexts:
- context:
    cluster: ${aws_eks_cluster.my_cluster.name}
    user: ${aws_eks_cluster.my_cluster.name}
  name: ${aws_eks_cluster.my_cluster.name}
current-context: ${aws_eks_cluster.my_cluster.name}
kind: Config
preferences: {}
users:
- name: ${aws_eks_cluster.my_cluster.name}
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1beta1
      command: aws
      args:
        - eks
        - get-token
        - --cluster-name
        - ${aws_eks_cluster.my_cluster.name}
YAML
  filename = "${path.module}/kubeconfig_${aws_eks_cluster.my_cluster.name}"
  file_permission = "0600"
}

如果需要将kubeconfig作为Terraform输出值使用，可以添加以下配置：

output "kubeconfig" {
  value = local_file.kubeconfig.content
  sensitive = true
}

执行terraform output -raw kubeconfig即可拿到明文配置内容。

方案2：使用社区封装的EKS模块 #

如果不想自己写组装逻辑，可以直接用成熟的社区EKS模块，模块已经内置了kubeconfig的组装逻辑，直接引用模块的kubeconfig输出值即可，无需手动拼接配置，适配多种认证场景，适合需要快速落地的场景。

注意：kubeconfig包含集群访问的敏感权限信息，生成后请不要明文提交到代码仓库，配置output时请加sensitive = true避免日志泄露，文件权限建议设置为仅所有者可读（0600）。

内容的提问来源于stack exchange，提问作者Miantian