Container Service for Kubernetes：Pasang volume OSS statis menggunakan ossfs 2.0 di ACK

1. Buat file bernama ossfs2-pv.yaml dengan konten berikut. Definisi PV ini memberi tahu Kubernetes cara mengakses Bucket OSS Anda menggunakan peran RRSA.

   PV berikut memasang Bucket OSS bernama cnfs-oss-test sebagai sistem file read-only 20 GB untuk pod di kluster guna digunakan.

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: pv-ossfs2  # Nama PV
   spec:
     capacity:
       storage: 20Gi  # Tentukan kapasitas volume (nilai ini hanya untuk mencocokkan PVC)
     accessModes:  # Mode akses
       - ReadOnlyMany
     persistentVolumeReclaimPolicy: Retain
     csi:
       driver: ossplugin.csi.alibabacloud.com
       volumeHandle: pv-ossfs2  # Harus sama dengan nama PV (metadata.name)
       volumeAttributes:
         fuseType: ossfs2
         bucket: cnfs-oss-test # Nama Bucket OSS
         path: /subpath  # Subdirektori untuk dipasang. Biarkan kosong untuk memasang direktori root.
         url: oss-cn-hangzhou-internal.aliyuncs.com  # Titik akhir wilayah tempat Bucket OSS berada
         otherOpts: "-o close_to_open=false"
         authType: "rrsa"
         roleName: "demo-role-for-rrsa"  # Peran RAM yang dibuat sebelumnya

   • Parameter dalam volumeAttributes:

     Parameter	Wajib	Deskripsi
     fuseType	Ya	Menentukan klien yang digunakan untuk pemasangan. Harus diatur ke ossfs2 untuk menggunakan klien ossfs 2.0.
     bucket	Ya	Nama Bucket OSS yang ingin Anda pasang.
     path	Tidak	Subdirektori dalam Bucket OSS untuk dipasang. Jika tidak ditentukan, root bucket akan dipasang secara default.
     url	Ya	Titik endpoint akses untuk Bucket OSS. Gunakan endpoint internal jika node kluster dan bucket berada di wilayah yang sama, atau jika koneksi Virtual Private Cloud (VPC) telah dibuat. Gunakan endpoint publik jika node pemasangan dan bucket berada di wilayah yang berbeda. Berikut adalah format umum untuk endpoint akses yang berbeda: Internal: http://oss-{{regionName}}-internal.aliyuncs.com atau https://oss-{{regionName}}-internal.aliyuncs.com. Format endpoint akses internal vpc100-oss-{{regionName}}.aliyuncs.com sudah tidak digunakan lagi. Beralihlah ke format baru sesegera mungkin. Publik: http://oss-{{regionName}}.aliyuncs.com atau https://oss-{{regionName}}.aliyuncs.com.
     otherOpts	Tidak	Opsi pemasangan tambahan yang dilewatkan ke volume OSS, ditentukan sebagai string bendera yang dipisahkan spasi dalam format -o *** -o ***. Sebagai contoh, -o close_to_open=false. Opsi close-to-open mengontrol konsistensi metadata. Saat diatur ke false (default), metadata disimpan dalam cache untuk meningkatkan performa pembacaan file kecil. Saat diatur ke true, klien mengambil metadata segar dari OSS dengan mengirim permintaan GetObjectMeta setiap kali file dibuka, memastikan konsistensi waktu nyata dengan biaya peningkatan latensi dan panggilan API. Untuk parameter opsional lainnya, lihat opsi pemasangan ossfs 2.0.
     authType	Ya	Diatur ke rrsa untuk menyatakan bahwa metode autentikasi RRSA digunakan.
     roleName	Ya	Diatur ke nama Peran RAM yang Anda buat atau modifikasi. Untuk menetapkan izin berbeda untuk PV yang berbeda, buat Peran RAM terpisah untuk setiap set izin. Kemudian, dalam definisi setiap PV, gunakan parameter roleName untuk mengaitkannya dengan peran yang sesuai.

     Untuk menggunakan ARN tertentu atau ServiceAccount dengan metode autentikasi RRSA, lihat Bagaimana cara menggunakan ARN tertentu atau ServiceAccount dengan metode autentikasi RRSA?.

2. Terapkan definisi PV.

   kubectl create -f ossfs2-pv.yaml

3. Verifikasi status PV.

   kubectl get pv pv-ossfs2

   Keluaran menunjukkan bahwa status PV adalah Available.

   NAME        CAPACITY   ACCESS MODES   RECLAIM POLICY   STATUS      CLAIM   STORAGECLASS   VOLUMEATTRIBUTESCLASS   REASON   AGE
   pv-ossfs2   20Gi       ROX            Retain           Available                          <unset>                          15s

Langkah 4: Buat PVC

Buat PVC untuk mendeklarasikan kapasitas penyimpanan persisten yang diperlukan oleh aplikasi.

Sekarang Anda dapat memasang PVC ke aplikasi.

1. Buat file bernama ossfs2-test.yaml untuk mendefinisikan aplikasi Anda.

   Template YAML berikut membuat StatefulSet yang berisi satu pod. Pod tersebut meminta sumber daya penyimpanan melalui PVC bernama pvc-ossfs2 dan memasang volume ke path /data.

   Template YAML

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2  # PVC untuk dirujuk

2. Sebarkan aplikasi.

   kubectl create -f ossfs2-test.yaml

3. Periksa status penyebaran pod.

   kubectl get pod -l app=ossfs2-test

   Keluaran yang diharapkan:

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          12m

4. Verifikasi bahwa aplikasi dapat mengakses data di OSS.

   kubectl exec -it ossfs2-test-0 -- ls /data

   Keluaran harus menampilkan data di jalur pemasangan OSS.

Buat Pengguna RAM dan berikan izin

1. Buat Pengguna RAM. Anda dapat melewati langkah ini jika sudah memiliki Pengguna RAM. Untuk informasi lebih lanjut, lihat Buat Pengguna RAM.

2. Buat kebijakan kustom untuk akses OSS. Untuk informasi lebih lanjut, lihat Buat kebijakan kustom.

   Pilih kebijakan read-only atau read/write berdasarkan kebutuhan Anda dan ganti mybucket dengan nama bucket Anda.

   • Kebijakan OSS read-only

     Lihat dokumen kebijakan OSS read-only

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • Kebijakan OSS read/write

     Lihat dokumen kebijakan OSS read/write

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

3. (Opsional) Jika Anda menggunakan ID CMK yang dikelola oleh KMS untuk mengenkripsi objek OSS, Anda juga harus mengonfigurasi izin KMS untuk Pengguna RAM. Untuk informasi lebih lanjut, lihat Operasi enkripsi.

4. Berikan izin OSS kepada Pengguna RAM. Untuk informasi lebih lanjut, lihat Berikan izin kepada Pengguna RAM.

5. Buat AccessKey untuk Pengguna RAM. Untuk informasi lebih lanjut, lihat Dapatkan AccessKey.

Buat Secret untuk menyimpan kredensial AccessKey

Jalankan perintah berikut untuk membuat Secret untuk autentikasi OSS. Ganti akId dan akSecret dengan kredensial aktual Anda.

kubectl create -n default secret generic oss-secret --from-literal='akId=xxxxxx' --from-literal='akSecret=xxxxxx'

1. Buat file bernama ossfs2-pv-ak.yaml dengan konten berikut. Definisi PV ini mencakup nodePublishSecretRef yang menunjuk ke Secret yang Anda buat.

   PV berikut memasang Bucket OSS bernama cnfs-oss-test sebagai sistem file read-only 20 GB untuk pod di kluster guna digunakan.

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: pv-ossfs2  # Nama PV
   spec:
     capacity:
       storage: 20Gi  # Tentukan kapasitas volume (nilai ini hanya untuk mencocokkan PVC)
     accessModes:  # Mode akses
       - ReadOnlyMany
     persistentVolumeReclaimPolicy: Retain
     csi:
       driver: ossplugin.csi.alibabacloud.com
       volumeHandle: pv-ossfs2   # Harus sama dengan nama PV (metadata.name)
       # Gunakan Secret yang dibuat sebelumnya
       nodePublishSecretRef:
         name: oss-secret  # Nama Secret yang menyimpan Informasi AccessKey
         namespace: default  # Namespace tempat Secret berada
       volumeAttributes:
         fuseType: ossfs2
         bucket: cnfs-oss-test  # Nama Bucket OSS
         path: /subpath  # Subdirektori untuk dipasang. Biarkan kosong untuk memasang direktori root.
         url: oss-cn-hangzhou-internal.aliyuncs.com  # Titik akhir wilayah tempat Bucket OSS berada
         otherOpts: "-o close_to_open=false"

   • Parameter dalam nodePublishSecretRef:

     Parameter	Wajib	Deskripsi
     name	Ya	Nama Secret yang menyimpan Informasi AccessKey.
     namespace	Ya	Namespace tempat Secret yang menyimpan Informasi AccessKey berada.

   • Parameter dalam volumeAttributes:

     Parameter	Wajib	Deskripsi
     fuseType	Ya	Menentukan klien yang digunakan untuk pemasangan. Harus diatur ke ossfs2 untuk menggunakan klien ossfs 2.0.
     bucket	Ya	Nama Bucket OSS yang ingin Anda pasang.
     path	Tidak	Jalur pemasangan Bucket OSS, yang mewakili struktur direktori relatif terhadap root bucket.
     url	Ya	Titik akhir yang digunakan untuk memasang Bucket OSS. Anda dapat menemukan titik akhir di halaman Ikhtisar bucket di Konsol OSS. Jika node dan bucket berada di wilayah yang sama, atau jika koneksi VPC telah dibuat, gunakan endpoint internal. Jika node dan bucket berada di wilayah yang berbeda, gunakan endpoint publik. Format berikut umum digunakan untuk port akses yang berbeda: Format endpoint internal: http://oss-{{regionName}}-internal.aliyuncs.com atau https://oss-{{regionName}}-internal.aliyuncs.com. Format endpoint publik: http://oss-{{regionName}}.aliyuncs.com atau https://oss-{{regionName}}.aliyuncs.com. Penting Format endpoint internal vpc100-oss-{{regionName}}.aliyuncs.com sudah tidak digunakan lagi. Beralihlah ke format baru segera.
     otherOpts	Tidak	Masukkan parameter kustom untuk volume OSS dalam format -o *** -o ***, misalnya, -o close_to_open=false. close-to-open: Dinonaktifkan secara default. Jika diaktifkan, sistem mengirim permintaan GetObjectMeta ke OSS setiap kali file dibuka untuk mendapatkan metadata terbaru. Ini memastikan metadata selalu mutakhir. Namun, dalam skenario dengan banyak pembacaan file kecil, kueri metadata sering dapat meningkatkan latensi akses secara signifikan. Untuk parameter opsional lainnya, lihat opsi pemasangan ossfs 2.0.

2. Terapkan definisi PV.

   kubectl create -f ossfs2-pv.yaml

3. Periksa status PV.

   kubectl get pv pv-ossfs2

   Keluaran berikut menunjukkan bahwa PV adalah Available:

   NAME        CAPACITY   ACCESS MODES   RECLAIM POLICY   STATUS      CLAIM   STORAGECLASS   VOLUMEATTRIBUTESCLASS   REASON   AGE
   pv-ossfs2   20Gi       ROX            Retain           Available                          <unset>                          15s

Sekarang Anda dapat memasang PVC ke aplikasi.

1. Buat file bernama ossfs2-test.yaml untuk mendefinisikan aplikasi Anda.

   Template YAML berikut membuat StatefulSet yang berisi satu pod. Pod tersebut meminta sumber daya penyimpanan melalui PVC bernama pvc-ossfs2 dan memasang volume ke path /data.

   Template YAML

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2  # PVC untuk dirujuk

2. Sebarkan aplikasi.

   kubectl create -f ossfs2-test.yaml

3. Periksa status penyebaran pod.

   kubectl get pod -l app=ossfs2-test

   Keluaran yang diharapkan:

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          12m

4. Verifikasi bahwa aplikasi dapat mengakses data di OSS.

   kubectl exec -it ossfs2-test-0 -- ls /data

   Keluaran harus menampilkan data di jalur pemasangan OSS.