amazon-web-services - 使用 Terraform 创建的 Kubernetes 服务帐户导致 'doc is missing path: "/spec/volumes/0"' 副本集错误

Question

我正在尝试使用关联的 ServiceAccount 创建 Kubernetes 部署，即 linked to an AWS IAM role .此 yaml 产生所需的结果，并且相关的部署(包含在底部)正确旋转:

apiVersion: v1
kind: ServiceAccount
metadata:
  name: service-account
  namespace: example
  annotations:
    eks.amazonaws.com/role-arn: ROLE_ARN

但是，我想改用 Terraform Kubernetes 提供程序来创建 ServiceAccount:

resource "kubernetes_service_account" "this" {
  metadata {
    name = "service-account2"
    namespace = "example"
    annotations = {
      "eks.amazonaws.com/role-arn" = "ROLE_ARN"
    }
  }
}

不幸的是，当我以这种方式创建 ServiceAccount 时，我的部署的 ReplicaSet 失败并显示错误:

Error creating: Internal error occurred: Internal error occurred: jsonpatch add operation does not apply: doc is missing path: "/spec/volumes/0"

我已经确认部署是通过 Terraform 还是 kubectl 创建都没有关系。 ;它不适用于 Terraform 创建的 service-account2 ，但与 kubectl 一起工作正常-创建 service-account .在 service-account 之间来回切换部署和 service-account2相应地使其工作或不工作，如您所料。

我也确定了 eks.amazonaws.com/role-arn相关的;创建/分配不尝试链接回 IAM 角色的 ServiceAccounts 有效，无论它们是通过 Terraform 还是通过 kubectl 创建的.

使用 kubectl为了描述 Deployment、ReplicaSet、ServiceAccount 和相关的 Secret，我没有看到任何明显的区别，尽管我承认我并不完全确定我可能在寻找什么。

这是一个展示问题的简单部署 yaml:

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  name: example
  namespace: example
spec:
  strategy:
    type: Recreate
  template:
    metadata:
      labels:
        app: example
    spec:
      serviceAccountName: service-account # or "service-account2"
      containers:
      - name: nginx
        image: nginx:1.7.8

Answer 1

添加 automountServiceAccountToken: true到部署中的 pod 规范应修复此错误。这通常在服务帐户上默认启用，但 Terraform 将其默认为关闭。在将所需环境变量添加到 pod 的 mutating web hook 上查看此问题:https://github.com/aws/amazon-eks-pod-identity-webhook/issues/17