Kubernetes集群AWS集成配置失败：Controller Manager无法启动

我之前在配置K8s集群对接AWS的时候也碰到过类似的坑，结合你提供的日志和配置信息，给你几个针对性的排查和解决方向：

1. 补全AWS区域/可用区的显式配置 #

从你的日志能看到：

I0411 21:03:48.360194 1 aws.go:1026] Building AWS cloudprovider
I0411 21:03:48.360237 1 aws.go:988] Zone not specified in configuration file; querying ...

Controller Manager正在尝试自动查询可用区，但这个过程很容易因为权限、网络问题卡壳。最稳妥的方式是直接显式指定区域：

• 方法一：创建AWS云配置文件（比如/etc/kubernetes/aws-cloud-config.conf），内容如下：

[Global]
Region = <你的AWS区域，比如us-east-1>
Zone = <你的可用区，比如us-east-1a>

然后给Controller Manager添加启动参数：--cloud-config=/etc/kubernetes/aws-cloud-config.conf

• 方法二：直接在Controller Manager的启动命令中添加参数：--aws-region=<你的AWS区域>

2. 验证Controller Manager的IAM权限 #

Controller Manager需要足够的AWS API权限来查询资源，确保它使用的IAM角色（通常是节点的实例角色）包含以下权限：

• ec2:DescribeInstances
• ec2:DescribeSubnets
• ec2:DescribeVpcs
• ec2:DescribeAvailabilityZones
• ec2:DescribeSecurityGroups

可以通过在Controller Manager所在节点执行aws ec2 describe-availability-zones来测试权限（如果节点配置了正确的IAM角色，应该能返回可用区列表）。

3. 确认资源标签的准确性 #

虽然你已经添加了kubernetes.io/cluster/clustername=owned标签，但要注意：

• 标签的键名和值必须完全匹配集群名称，比如clustername要和你实际的集群名完全一致，大小写敏感！
• 确保所有相关资源（EC2实例、子网、VPC、安全组）都正确添加了这个标签，不要遗漏任何一个资源。

4. 检查网络连通性 #

Controller Manager所在节点必须能访问AWS EC2 API：

• 如果节点在公有子网，确认出站443端口没有被安全组或NACL拦截
• 如果节点在私有子网，确保配置了EC2的VPC端点，或者有NAT网关能访问公网的EC2 API地址

可以用curl https://ec2.<你的区域>.amazonaws.com/?Action=DescribeAvailabilityZones测试连通性，正常情况下会返回XML格式的可用区信息。

5. 检查Kubernetes版本兼容性 #

部分旧版本的Kubernetes（比如1.17及更早版本）在AWS云提供商集成上存在已知bug，如果你的集群版本较老，建议升级到稳定的新版本，或者查看对应版本的官方文档确认有没有相关的修复方案。

内容的提问来源于stack exchange，提问作者Santiago Ignacio Poli