Container Service for Kubernetes：使用OSS靜態儲存卷

步驟一：建立RAM角色

如果您在叢集中首次使用RRSA功能，需要按照以下步驟操作，如果您已經在叢集中使用過RRSA鑒權方式掛載OSS儲存卷，則可以跳過本步驟。

1. 在Container Service管理主控台啟用RRSA功能。請參見啟用RRSA功能。

2. 為OSS儲存卷RRSA鑒權建立RAM角色，即使用RRSA功能扮演的指定角色。

   建立可信實體類型為身份供應商的RAM角色，以demo-role-for-rrsa為例。

   1. 使用阿里雲帳號登入RAM控制台。

   2. 在左側導覽列，選擇身份管理 > 角色，然後在角色頁面，單擊建立角色。

   3. 在建立角色面板，選擇可信實體類型為身份供應商，然後單擊下一步。

   4. 在配置角色頁面，配置如下角色資訊後，單擊完成。

      本樣本配置如下。

      配置項	描述
      角色名稱	demo-role-for-rrsa。
      備忘	選填有關該角色的備忘資訊。
      身份供應商類型	OIDC。
      選擇身份供應商	ack-rrsa-<cluster_id>。其中，<cluster_id>為您的叢集ID。
      限制條件	oidc:iss：保持預設。 oidc:aud：選擇sts.aliyuncs.com。 oidc:sub：條件判定方式選擇StringEquals，此處需要填入system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs。

步驟二：為demo-role-for-rrsa角色授權

1. 建立如下OSS訪問的自訂權限原則。具體操作，請參見建立自訂權限原則。

   以下唯讀和讀寫權限策略請根據使用需求選擇，並替換mybucket為您實際建立的Bucket名稱。

   • OSS唯讀權限原則

     展開查看OSS唯讀權限原則內容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權限

     展開查看OSS讀寫權限策略內容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

2. （可選）若您使用KMS託管的指定CMK ID加密OSS Object，還需要為該RAM使用者配置KMS許可權。具體操作，請參見為OSS儲存卷加密。

3. 為demo-role-for-rrsa角色授權。具體操作，請參見為RAM角色授權。

   說明

   您也可以通過修改RAM角色信任策略的方式使用已有的授權了OSS許可權的RAM角色。具體操作，請參見使用已存在的RAM角色並授權。

步驟三：建立PV和PVC

1. 配置PV使用RRSA鑒權。

   1. 使用以下內容，建立配置RRSA許可權認證的pv-rrsa.yaml樣本檔案。

      apiVersion: v1
      kind: PersistentVolume
      metadata:
        name: pv-oss
        labels:    
          alicloud-pvname: pv-oss
      spec:
        capacity:
          storage: 5Gi
        accessModes:
          - ReadOnlyMany
        persistentVolumeReclaimPolicy: Retain
        csi:
          driver: ossplugin.csi.alibabacloud.com
          volumeHandle: pv-oss # 需要和PV名字一致。
          volumeAttributes:
            bucket: "oss" # 替換為實際Bucket名稱。
            path: /
            url: "oss-cn-hangzhou.aliyuncs.com"
            otherOpts: "-o umask=022 -o max_stat_cache_size=0 -o allow_other"
            authType: "rrsa"
            roleName: "demo-role-for-rrsa"

      參數	描述
      name	PV的名稱。
      labels	配置PV的標籤。
      storage	OSS的可使用量。
      accessModes	配置訪問模式，支援ReadOnlyMany和ReadWriteMany。 選擇ReadOnlyMany時，ossfs將以唯讀模式掛載OSS Bucket。
      persistentVolumeReclaimPolicy	PV回收策略，當前OSS儲存卷僅支援Retain，即刪除PVC時，PV和OSS Bucket中的資料不會被刪除。
      driver	定義驅動類型。取值為ossplugin.csi.alibabacloud.com，表示使用阿里雲OSS CSI外掛程式。
      volumeHandle	配置PV的名稱。
      bucket	需要掛載的OSS Bucket。
      path	表示掛載時相對Bucket根檔案的目錄結構，預設為/（v1.14.8.32-c77e277b-aliyun及之後版本的CSI組件支援）。 ossfs 1.91版本前，該路徑需在OSS側預先建立，詳情請參見ossfs 1.91及以上版本新功能介紹及效能壓測。
      url	掛載OSS的Endpoint，Endpoint以OSS控制台Bucket概覽頁為準。 掛載節點和Bucket相同地區，或已打通VPC網路時，請使用內網地址。 掛載節點和Bucket不同地區時，請使用外網地址。 不同訪問連接埠的常見填寫格式如下： 內網格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外網格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的內網訪問連接埠格式已廢棄，請及時切換。
      otherOpts	您可以為OSS儲存卷輸入定製化參數，格式為-o *** -o ***，例如-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：用於更改ossfs讀檔案的許可權。例如，設定umask=022後，ossfs檔案的許可權都會變更為755。通過SDK、OSS控制台等其他方式上傳的檔案在ossfs中預設許可權均為640。因此，建議您在讀寫分離情境中配置umask許可權。 max_stat_cache_size：用於指定檔案中繼資料的緩衝空間，可緩衝多少個檔案的中繼資料。中繼資料快取可加快ls操作速度。但若通過OSS、SDK、控制台、ossutil等方式修改檔案，可能會導致中繼資料未被及時更新。 allow_other：賦予電腦上其他使用者訪問掛載目錄的許可權，但不包含目錄內的檔案。 更多選擇性參數，請參見ossfs掛載選項說明。
      authType	配置為rrsa，聲明使用RRSA方式鑒權。
      roleName	配置為以上步驟一：建立RAM角色中已建立或修改的RAM角色名稱。若您需要為不同的PV配置不同的許可權，可以建立不同的RAM角色，在PV中配置不同的roleName。

      說明

      如果您需要在RRSA鑒權方式中使用指定的ARNs或ServiceAccount，相關操作，請參見如何在RRSA鑒權方式中使用指定的ARNs或ServiceAccount？。

   2. 執行以下命令，在PV中配置RRSA進行許可權認證。

      kubectl create -f pv-rrsa.yaml

2. 執行以下命令建立靜態卷PVC。

   kubectl create -f pvc-oss.yaml

   以下為建立靜態卷PVC的pvc-oss.yaml樣本檔案。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
       - ReadOnlyMany
     resources:
       requests:
         storage: 5Gi
     selector:
       matchLabels:
         alicloud-pvname: pv-oss

   參數	說明
   name	PVC的名稱。
   accessModes	配置訪問模式，支援ReadOnlyMany和ReadWriteMany。 選擇ReadOnlyMany時，ossfs將以唯讀模式掛載OSS Bucket。
   storage	聲明應用使用量，不能大於儲存卷的總量。
   alicloud-pvname	通過標籤關聯PV，與PV標籤保持一致。

   在叢集管理頁左側導覽列選擇儲存 > 儲存聲明，在儲存聲明頁面可以看到建立的PVC。

步驟一：建立具有OSS存取權限的RAM使用者並擷取AccessKey

您需要首先擷取RAM使用者的AccessKey資訊，以使其擁有OSS Bucket的操作許可權。

1. 建立RAM使用者，如已建立可跳過。具體操作，請參見建立RAM使用者。

2. 建立如下OSS訪問的自訂權限原則。具體操作，請參見建立自訂權限原則。

   以下唯讀和讀寫權限策略請根據使用需求選擇，並替換mybucket為您實際建立的Bucket名稱。

   • OSS唯讀權限原則

     展開查看OSS唯讀權限原則內容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權限

     展開查看OSS讀寫權限策略內容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

3. （可選）若您使用KMS託管的指定CMK ID加密OSS Object，還需要為該RAM使用者配置KMS許可權。具體操作，請參見為OSS儲存卷加密。

4. 為RAM使用者添加OSS許可權。具體操作，請參見為RAM使用者授權。

5. 為RAM使用者建立AccessKey。具體操作，請參見擷取AccessKey。

步驟二：建立PV和PVC並掛載

您可以通過控制台和kubectl兩種方式建立儲存卷、儲存聲明並掛載至應用中。

kubectl create -f oss-static.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: oss-static
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
        ports:
        - containerPort: 80
        volumeMounts:
          - name: pvc-oss
            mountPath: "/data"
          - name: pvc-oss
            mountPath: "/data1"
        livenessProbe:
          exec:
            command:
            - sh
            - -c
            - cd /data
          initialDelaySeconds: 30
          periodSeconds: 30
      volumes:
        - name: pvc-oss
          persistentVolumeClaim:
            claimName: pvc-oss