容器服务 Kubernetes 版 ACK：使用OSS动态存储卷

步骤一：创建RAM角色

如果您在集群中首次使用RRSA功能，需要按照以下步骤操作，如果您已经在集群中使用过RRSA鉴权方式挂载OSS存储卷，则可以跳过本步骤。

1. 在容器服务管理控制台启用RRSA功能。请参见启用RRSA功能。

2. 为OSS存储卷RRSA鉴权新建RAM角色，即使用RRSA功能扮演的指定角色。

   创建可信实体类型为身份供应商的RAM角色，以demo-role-for-rrsa为例。

   1. 使用阿里云账号登录RAM控制台。

   2. 在左侧导航栏，选择身份管理 > 角色，然后在角色页面，单击创建角色。

   3. 在创建角色面板，选择可信实体类型为身份提供商，然后单击下一步。

   4. 在配置角色页面，配置如下角色信息后，单击完成。

      本示例配置如下。

      配置项	描述
      角色名称	demo-role-for-rrsa。
      备注	选填有关该角色的备注信息。
      身份提供商类型	OIDC。
      选择身份提供商	ack-rrsa-<cluster_id>。其中，<cluster_id>为您的集群ID。
      限制条件	oidc:iss：保持默认。 oidc:aud：选择sts.aliyuncs.com。 oidc:sub：条件判定方式选择StringEquals，此处需要填入system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs。

步骤二：为demo-role-for-rrsa角色授权

1. 创建如下OSS访问的自定义权限策略。具体操作，请参见创建自定义权限策略。

   以下只读和读写权限策略请根据使用需求选择，并替换mybucket为您实际创建的Bucket名称。

   • OSS只读权限策略

     展开查看OSS只读权限策略内容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS读写权限

     展开查看OSS读写权限策略内容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

2. （可选）若您使用KMS托管的指定CMK ID加密OSS Object，还需要为该RAM用户配置KMS权限。具体操作，请参见为OSS存储卷加密。

3. 为demo-role-for-rrsa角色授权。具体操作，请参见为RAM角色授权。

   说明

   您也可以通过修改RAM角色信任策略的方式使用已有的授权了OSS权限的RAM角色。具体操作，请参见使用已存在的RAM角色并授权。

步骤三：创建存储类

1. 将以下示例保存为sc-oss-rrsa.yaml，创建配置RRSA权限认证的OSS存储类。

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: sc-oss
   parameters:
     bucket: bucket  # 替换为实际Bucket名称。
     path: /ack
     url: oss-cn-beijing-internal.aliyuncs.com
     authType: rrsa
     roleName: demo-role-for-rrsa
     otherOpts: "-o allow_other"
     volumeAs: sharepath
   provisioner: ossplugin.csi.alibabacloud.com
   reclaimPolicy: Retain
   volumeBindingMode: Immediate

   参数	说明
   name	存储类名称。
   bucket	需要挂载的OSS Bucket。
   path	表示挂载时相对Bucket根文件的目录结构，默认为/（v1.14.8.32-c77e277b-aliyun及之后版本的CSI组件支持）。 ossfs 1.91版本前，该路径需在OSS侧预先创建，详情请参见ossfs 1.91及以上版本新功能介绍及性能压测。
   url	挂载OSS的Endpoint，Endpoint以OSS控制台Bucket概览页为准。 挂载节点和Bucket相同地域，或已打通VPC网络时，请使用内网地址。 挂载节点和Bucket不同地域时，请使用外网地址。 不同访问端口的常见填写格式如下： 内网格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外网格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的内网访问端口格式已废弃，请及时切换。
   authType	配置为rrsa，声明使用RRSA方式鉴权。
   roleName	配置为以上步骤一：创建RAM角色中已创建或修改的RAM角色名称。若您需要为不同的StorageClass配置不同的权限，可以创建不同的RAM角色，在StorageClass中配置不同的roleName。
   otherOpts	您可以为OSS存储卷输入定制化参数，格式为-o *** -o ***，例如-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：用于更改ossfs读文件的权限。例如，设置umask=022后，ossfs文件的权限都会变更为755。通过SDK、OSS控制台等其他方式上传的文件在ossfs中默认权限均为640。因此，建议您在读写分离场景中配置umask权限。 max_stat_cache_size：用于指定文件元数据的缓存空间，可缓存多少个文件的元数据。元数据缓存可加快ls操作速度。但若通过OSS、SDK、控制台、ossutil等方式修改文件，可能会导致元数据未被及时更新。 allow_other：赋予计算机上其他用户访问挂载目录的权限，但不包含目录内的文件。 更多可选参数，请参见ossfs挂载选项说明。
   provisioner	定义驱动类型。取值为ossplugin.csi.alibabacloud.com，表示使用阿里云OSS CSI插件。
   reclaimPolicy	动态创建的PV的回收策略。当前OSS存储卷仅支持Retain，即删除PVC时，PV和OSS Bucket中的数据不会被删除。
   volumeBindingMode	绑定模式。 OSS存储卷无需考虑可用区间节点亲和，使用默认值Immediate即可。
   volumeAs	存储卷访问模式。默认为sharepath模式。取值： sharepath：即共享方式挂载，所有存储卷共享挂载路径，即数据将存储于<bucket>:<path>/下。 subpath：即子目录方式挂载，创建存储卷时在挂载路径下自动新建子目录，即数据将存储于<bucket>:<path>/<pv-name>/下。 说明 subpath模式仅在CSI组件为1.31.3及以上版本时生效，否则均为sharepath模式。

2. 执行以下命令，创建存储类。

   kubetl apply -f sc-oss-rrsa.yaml

步骤四：创建存储声明

1. 将以下示例保存为pvc-oss.yaml，创建存储声明。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
     - ReadOnlyMany
     volumeMode: Filesystem
     resources:
       requests:
         storage: 20Gi
     storageClassName: sc-oss

   参数	说明
   name	PVC的名称。
   accessModes	配置访问模式，支持ReadOnlyMany和ReadWriteMany。 选择ReadOnlyMany时，ossfs将以只读模式挂载OSS Bucket。
   storage	声明应用的使用量，此处设置的大小不会限制应用可使用的最大容量。
   storageClassName	使用的存储类名称。

2. 执行以下命令，创建存储声明。

   kubectl apply -f pvc-oss.yaml

3. 执行以下命令，确认PVC已创建且进入绑定状态。

   kubectl get pvc pvc-oss

   预期输出：

   NAME           STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS         VOLUMEATTRIBUTESCLASS   AGE
   pvc-oss        Bound    oss-251d111d-3b0b-4879-81a0-eb5a19xxxxxx   20Gi       ROX            oss-rrsa             <unset>                 4d20h

步骤五：创建应用

1. 将以下示例保存为oss-dynamic.yaml文件，创建应用并挂载存储声明。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: oss-dynamic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
             - name: pvc-oss
               mountPath: "/data"
             - name: pvc-oss
               mountPath: "/data1"
           livenessProbe:
             exec:
               command:
               - sh
               - -c
               - cd /data
             initialDelaySeconds: 30
             periodSeconds: 30
         volumes:
           - name: pvc-oss
             persistentVolumeClaim:
               claimName: pvc-oss

2. 执行以下命令，部署应用。

   kubectl apply -f oss-dynamic.yaml

3. 执行以下命令，查询应用副本的运行状态。

   kubectl get pod -lapp=nginx -w

   预期一段时间后，Pod进入Running状态。

步骤一：创建具有OSS访问权限的RAM用户并获取AccessKey

您需要首先获取RAM用户的AccessKey信息，以使其拥有OSS Bucket的操作权限。

1. 创建RAM用户，如已创建可跳过。具体操作，请参见创建RAM用户。

2. 创建如下OSS访问的自定义权限策略。具体操作，请参见创建自定义权限策略。

   以下只读和读写权限策略请根据使用需求选择，并替换mybucket为您实际创建的Bucket名称。

   • OSS只读权限策略

     展开查看OSS只读权限策略内容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS读写权限

     展开查看OSS读写权限策略内容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

3. （可选）若您使用KMS托管的指定CMK ID加密OSS Object，还需要为该RAM用户配置KMS权限。具体操作，请参见为OSS存储卷加密。

4. 为RAM用户添加OSS权限。具体操作，请参见为RAM用户授权。

5. 为RAM用户创建AccessKey。具体操作，请参见获取AccessKey。