Container Service for Kubernetes：使用OSS動態儲存裝置卷

步驟一：建立RAM角色

如果您在叢集中首次使用RRSA功能，需要按照以下步驟操作，如果您已經在叢集中使用過RRSA鑒權方式掛載OSS儲存卷，則可以跳過本步驟。

1. 在Container Service管理主控台啟用RRSA功能。請參見啟用RRSA功能。

2. 為OSS儲存卷RRSA鑒權建立RAM角色，即使用RRSA功能扮演的指定角色。

   建立可信實體類型為身份供應商的RAM角色，以demo-role-for-rrsa為例。

   1. 使用阿里雲帳號登入RAM控制台。

   2. 在左側導覽列，選擇身份管理 > 角色，然後在角色頁面，單擊建立角色。

   3. 在建立角色面板，選擇可信實體類型為身份供應商，然後單擊下一步。

   4. 在配置角色頁面，配置如下角色資訊後，單擊完成。

      本樣本配置如下。

      配置項	描述
      角色名稱	demo-role-for-rrsa。
      備忘	選填有關該角色的備忘資訊。
      身份供應商類型	OIDC。
      選擇身份供應商	ack-rrsa-<cluster_id>。其中，<cluster_id>為您的叢集ID。
      限制條件	oidc:iss：保持預設。 oidc:aud：選擇sts.aliyuncs.com。 oidc:sub：條件判定方式選擇StringEquals，此處需要填入system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs。

步驟二：為demo-role-for-rrsa角色授權

1. 建立如下OSS訪問的自訂權限原則。具體操作，請參見建立自訂權限原則。

   以下唯讀和讀寫權限策略請根據使用需求選擇，並替換mybucket為您實際建立的Bucket名稱。

   • OSS唯讀權限原則

     展開查看OSS唯讀權限原則內容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權限

     展開查看OSS讀寫權限策略內容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

2. （可選）若您使用KMS託管的指定CMK ID加密OSS Object，還需要為該RAM使用者配置KMS許可權。具體操作，請參見為OSS儲存卷加密。

3. 為demo-role-for-rrsa角色授權。具體操作，請參見為RAM角色授權。

   說明

   您也可以通過修改RAM角色信任策略的方式使用已有的授權了OSS許可權的RAM角色。具體操作，請參見使用已存在的RAM角色並授權。

步驟三：建立儲存類

1. 將以下樣本儲存為sc-oss-rrsa.yaml，建立配置RRSA許可權認證的OSS儲存類。

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: sc-oss
   parameters:
     bucket: bucket  # 替換為實際Bucket名稱。
     path: /ack
     url: oss-cn-beijing-internal.aliyuncs.com
     authType: rrsa
     roleName: demo-role-for-rrsa
     otherOpts: "-o allow_other"
     volumeAs: sharepath
   provisioner: ossplugin.csi.alibabacloud.com
   reclaimPolicy: Retain
   volumeBindingMode: Immediate

   參數	說明
   name	儲存類名稱。
   bucket	需要掛載的OSS Bucket。
   path	表示掛載時相對Bucket根檔案的目錄結構，預設為/（v1.14.8.32-c77e277b-aliyun及之後版本的CSI組件支援）。 ossfs 1.91版本前，該路徑需在OSS側預先建立，詳情請參見ossfs 1.91及以上版本新功能介紹及效能壓測。
   url	掛載OSS的Endpoint，Endpoint以OSS控制台Bucket概覽頁為準。 掛載節點和Bucket相同地區，或已打通VPC網路時，請使用內網地址。 掛載節點和Bucket不同地區時，請使用外網地址。 不同訪問連接埠的常見填寫格式如下： 內網格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外網格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的內網訪問連接埠格式已廢棄，請及時切換。
   authType	配置為rrsa，聲明使用RRSA方式鑒權。
   roleName	配置為以上步驟一：建立RAM角色中已建立或修改的RAM角色名稱。若您需要為不同的StorageClass配置不同的許可權，可以建立不同的RAM角色，在StorageClass中配置不同的roleName。
   otherOpts	您可以為OSS儲存卷輸入定製化參數，格式為-o *** -o ***，例如-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：用於更改ossfs讀檔案的許可權。例如，設定umask=022後，ossfs檔案的許可權都會變更為755。通過SDK、OSS控制台等其他方式上傳的檔案在ossfs中預設許可權均為640。因此，建議您在讀寫分離情境中配置umask許可權。 max_stat_cache_size：用於指定檔案中繼資料的緩衝空間，可緩衝多少個檔案的中繼資料。中繼資料快取可加快ls操作速度。但若通過OSS、SDK、控制台、ossutil等方式修改檔案，可能會導致中繼資料未被及時更新。 allow_other：賦予電腦上其他使用者訪問掛載目錄的許可權，但不包含目錄內的檔案。 更多選擇性參數，請參見ossfs掛載選項說明。
   provisioner	定義驅動類型。取值為ossplugin.csi.alibabacloud.com，表示使用阿里雲OSS CSI外掛程式。
   reclaimPolicy	動態建立的PV的回收策略。當前OSS儲存卷僅支援Retain，即刪除PVC時，PV和OSS Bucket中的資料不會被刪除。
   volumeBindingMode	繫結模式。 OSS儲存卷無需考慮可用性區域間節點親和，使用預設值Immediate即可。
   volumeAs	儲存卷訪問模式。預設為sharepath模式。取值： sharepath：即共用方式掛載，所有儲存卷共用掛載路徑，即資料將儲存於<bucket>:<path>/下。 subpath：即子目錄方式掛載，建立儲存卷時在掛載路徑下自動建立子目錄，即資料將儲存於<bucket>:<path>/<pv-name>/下。 說明 subpath模式僅在CSI組件為1.31.3及以上版本時生效，否則均為sharepath模式。

2. 執行以下命令，建立儲存類。

   kubetl apply -f sc-oss-rrsa.yaml

步驟四：建立儲存聲明

1. 將以下樣本儲存為pvc-oss.yaml，建立儲存聲明。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
     - ReadOnlyMany
     volumeMode: Filesystem
     resources:
       requests:
         storage: 20Gi
     storageClassName: sc-oss

   參數	說明
   name	PVC的名稱。
   accessModes	配置訪問模式，支援ReadOnlyMany和ReadWriteMany。 選擇ReadOnlyMany時，ossfs將以唯讀模式掛載OSS Bucket。
   storage	聲明應用的使用量，此處設定的大小不會限制應用可使用的最大容量。
   storageClassName	使用的儲存類名稱。

2. 執行以下命令，建立儲存聲明。

   kubectl apply -f pvc-oss.yaml

3. 執行以下命令，確認PVC已建立且進入綁定狀態。

   kubectl get pvc pvc-oss

   預期輸出：

   NAME           STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS         VOLUMEATTRIBUTESCLASS   AGE
   pvc-oss        Bound    oss-251d111d-3b0b-4879-81a0-eb5a19xxxxxx   20Gi       ROX            oss-rrsa             <unset>                 4d20h

步驟五：建立應用

1. 將以下樣本儲存為oss-dynamic.yaml檔案，建立應用並掛載儲存聲明。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: oss-dynamic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
             - name: pvc-oss
               mountPath: "/data"
             - name: pvc-oss
               mountPath: "/data1"
           livenessProbe:
             exec:
               command:
               - sh
               - -c
               - cd /data
             initialDelaySeconds: 30
             periodSeconds: 30
         volumes:
           - name: pvc-oss
             persistentVolumeClaim:
               claimName: pvc-oss

2. 執行以下命令，部署應用。

   kubectl apply -f oss-dynamic.yaml

3. 執行以下命令，查詢應用副本的運行狀態。

   kubectl get pod -lapp=nginx -w

   預期一段時間後，Pod進入Running狀態。

步驟一：建立具有OSS存取權限的RAM使用者並擷取AccessKey

您需要首先擷取RAM使用者的AccessKey資訊，以使其擁有OSS Bucket的操作許可權。

1. 建立RAM使用者，如已建立可跳過。具體操作，請參見建立RAM使用者。

2. 建立如下OSS訪問的自訂權限原則。具體操作，請參見建立自訂權限原則。

   以下唯讀和讀寫權限策略請根據使用需求選擇，並替換mybucket為您實際建立的Bucket名稱。

   • OSS唯讀權限原則

     展開查看OSS唯讀權限原則內容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權限

     展開查看OSS讀寫權限策略內容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

3. （可選）若您使用KMS託管的指定CMK ID加密OSS Object，還需要為該RAM使用者配置KMS許可權。具體操作，請參見為OSS儲存卷加密。

4. 為RAM使用者添加OSS許可權。具體操作，請參見為RAM使用者授權。

5. 為RAM使用者建立AccessKey。具體操作，請參見擷取AccessKey。