容器服务 Kubernetes 版 ACK：使用OSS静态存储卷

步骤一：创建RAM角色

如果您在集群中首次使用RRSA功能，需要按照以下步骤操作，如果您已经在集群中使用过RRSA鉴权方式挂载OSS存储卷，则可以跳过本步骤。

1. 在容器服务管理控制台启用RRSA功能。请参见启用RRSA功能。

2. 为OSS存储卷RRSA鉴权新建RAM角色，即使用RRSA功能扮演的指定角色。

   创建可信实体类型为身份供应商的RAM角色，以demo-role-for-rrsa为例。

   1. 使用阿里云账号登录RAM控制台。

   2. 在左侧导航栏，选择身份管理 > 角色，然后在角色页面，单击创建角色。

   3. 在创建角色面板，选择可信实体类型为身份提供商，然后单击下一步。

   4. 在配置角色页面，配置如下角色信息后，单击完成。

      本示例配置如下。

      配置项	描述
      角色名称	demo-role-for-rrsa。
      备注	选填有关该角色的备注信息。
      身份提供商类型	OIDC。
      选择身份提供商	ack-rrsa-<cluster_id>。其中，<cluster_id>为您的集群ID。
      限制条件	oidc:iss：保持默认。 oidc:aud：选择sts.aliyuncs.com。 oidc:sub：条件判定方式选择StringEquals，此处需要填入system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs。

步骤二：为demo-role-for-rrsa角色授权

1. 创建如下OSS访问的自定义权限策略。具体操作，请参见创建自定义权限策略。

   以下只读和读写权限策略请根据使用需求选择，并替换mybucket为您实际创建的Bucket名称。

   • OSS只读权限策略

     展开查看OSS只读权限策略内容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS读写权限

     展开查看OSS读写权限策略内容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

2. （可选）若您使用KMS托管的指定CMK ID加密OSS Object，还需要为该RAM用户配置KMS权限。具体操作，请参见为OSS存储卷加密。

3. 为demo-role-for-rrsa角色授权。具体操作，请参见为RAM角色授权。

   说明

   您也可以通过修改RAM角色信任策略的方式使用已有的授权了OSS权限的RAM角色。具体操作，请参见使用已存在的RAM角色并授权。

步骤三：创建PV和PVC

1. 配置PV使用RRSA鉴权。

   1. 使用以下内容，创建配置RRSA权限认证的pv-rrsa.yaml示例文件。

      apiVersion: v1
      kind: PersistentVolume
      metadata:
        name: pv-oss
        labels:    
          alicloud-pvname: pv-oss
      spec:
        capacity:
          storage: 5Gi
        accessModes:
          - ReadOnlyMany
        persistentVolumeReclaimPolicy: Retain
        csi:
          driver: ossplugin.csi.alibabacloud.com
          volumeHandle: pv-oss # 需要和PV名字一致。
          volumeAttributes:
            bucket: "oss" # 替换为实际Bucket名称。
            path: /
            url: "oss-cn-hangzhou.aliyuncs.com"
            otherOpts: "-o umask=022 -o max_stat_cache_size=0 -o allow_other"
            authType: "rrsa"
            roleName: "demo-role-for-rrsa"

      参数	描述
      name	PV的名称。
      labels	配置PV的标签。
      storage	OSS的可使用量。
      accessModes	配置访问模式，支持ReadOnlyMany和ReadWriteMany。 选择ReadOnlyMany时，ossfs将以只读模式挂载OSS Bucket。
      persistentVolumeReclaimPolicy	PV回收策略，当前OSS存储卷仅支持Retain，即删除PVC时，PV和OSS Bucket中的数据不会被删除。
      driver	定义驱动类型。取值为ossplugin.csi.alibabacloud.com，表示使用阿里云OSS CSI插件。
      volumeHandle	配置PV的名称。
      bucket	需要挂载的OSS Bucket。
      path	表示挂载时相对Bucket根文件的目录结构，默认为/（v1.14.8.32-c77e277b-aliyun及之后版本的CSI组件支持）。 ossfs 1.91版本前，该路径需在OSS侧预先创建，详情请参见ossfs 1.91及以上版本新功能介绍及性能压测。
      url	挂载OSS的Endpoint，Endpoint以OSS控制台Bucket概览页为准。 挂载节点和Bucket相同地域，或已打通VPC网络时，请使用内网地址。 挂载节点和Bucket不同地域时，请使用外网地址。 不同访问端口的常见填写格式如下： 内网格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外网格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的内网访问端口格式已废弃，请及时切换。
      otherOpts	您可以为OSS存储卷输入定制化参数，格式为-o *** -o ***，例如-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：用于更改ossfs读文件的权限。例如，设置umask=022后，ossfs文件的权限都会变更为755。通过SDK、OSS控制台等其他方式上传的文件在ossfs中默认权限均为640。因此，建议您在读写分离场景中配置umask权限。 max_stat_cache_size：用于指定文件元数据的缓存空间，可缓存多少个文件的元数据。元数据缓存可加快ls操作速度。但若通过OSS、SDK、控制台、ossutil等方式修改文件，可能会导致元数据未被及时更新。 allow_other：赋予计算机上其他用户访问挂载目录的权限，但不包含目录内的文件。 更多可选参数，请参见ossfs挂载选项说明。
      authType	配置为rrsa，声明使用RRSA方式鉴权。
      roleName	配置为以上步骤一：创建RAM角色中已创建或修改的RAM角色名称。若您需要为不同的PV配置不同的权限，可以创建不同的RAM角色，在PV中配置不同的roleName。

      说明

      如果您需要在RRSA鉴权方式中使用指定的ARNs或ServiceAccount，相关操作，请参见如何在RRSA鉴权方式中使用指定的ARNs或ServiceAccount？。

   2. 执行以下命令，在PV中配置RRSA进行权限认证。

      kubectl create -f pv-rrsa.yaml

2. 执行以下命令创建静态卷PVC。

   kubectl create -f pvc-oss.yaml

   以下为创建静态卷PVC的pvc-oss.yaml示例文件。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
       - ReadOnlyMany
     resources:
       requests:
         storage: 5Gi
     selector:
       matchLabels:
         alicloud-pvname: pv-oss

   参数	说明
   name	PVC的名称。
   accessModes	配置访问模式，支持ReadOnlyMany和ReadWriteMany。 选择ReadOnlyMany时，ossfs将以只读模式挂载OSS Bucket。
   storage	声明应用使用量，不能大于存储卷的总量。
   alicloud-pvname	通过标签关联PV，与PV标签保持一致。

   在集群管理页左侧导航栏选择存储 > 存储声明，在存储声明页面可以看到创建的PVC。

步骤一：创建具有OSS访问权限的RAM用户并获取AccessKey

您需要首先获取RAM用户的AccessKey信息，以使其拥有OSS Bucket的操作权限。

1. 创建RAM用户，如已创建可跳过。具体操作，请参见创建RAM用户。

2. 创建如下OSS访问的自定义权限策略。具体操作，请参见创建自定义权限策略。

   以下只读和读写权限策略请根据使用需求选择，并替换mybucket为您实际创建的Bucket名称。

   • OSS只读权限策略

     展开查看OSS只读权限策略内容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS读写权限

     展开查看OSS读写权限策略内容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

3. （可选）若您使用KMS托管的指定CMK ID加密OSS Object，还需要为该RAM用户配置KMS权限。具体操作，请参见为OSS存储卷加密。

4. 为RAM用户添加OSS权限。具体操作，请参见为RAM用户授权。

5. 为RAM用户创建AccessKey。具体操作，请参见获取AccessKey。

步骤二：创建PV和PVC并挂载

您可以通过控制台和kubectl两种方式创建存储卷、存储声明并挂载至应用中。

kubectl create -f oss-static.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: oss-static
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
        ports:
        - containerPort: 80
        volumeMounts:
          - name: pvc-oss
            mountPath: "/data"
          - name: pvc-oss
            mountPath: "/data1"
        livenessProbe:
          exec:
            command:
            - sh
            - -c
            - cd /data
          initialDelaySeconds: 30
          periodSeconds: 30
      volumes:
        - name: pvc-oss
          persistentVolumeClaim:
            claimName: pvc-oss