Container Service for Kubernetes：Pasang volume OSS yang dihasilkan secara dinamis menggunakan ossfs 2.0 di ACK

Dengan memanfaatkan RRSA, Anda dapat mencapai isolasi izin tingkat halus, tingkat PV, untuk mengakses sumber daya cloud, yang secara signifikan mengurangi risiko keamanan. Untuk detailnya, lihat Gunakan RRSA untuk mengotorisasi Pod yang berbeda mengakses layanan cloud yang berbeda.

Prasyarat

• Anda memiliki kluster ACK yang menjalankan Kubernetes 1.26 atau lebih baru. Tingkatkan kluster secara manual jika diperlukan.

• Versi plugin Container Storage Interface (CSI) adalah 1.33.1 atau lebih baru. Untuk meningkatkannya, lihat Tingkatkan csi-plugin dan csi-provisioner.

  Jika Anda menggunakan RRSA di versi sebelum 1.30.4, lihat [Perubahan Produk] Peningkatan versi dan optimasi proses pemasangan ossfs di CSI untuk mengonfigurasi otorisasi peran RAM.

• Anda telah membuat bucket OSS di Akun Alibaba Cloud yang sama dengan kluster Anda.

  Untuk memasang bucket OSS lintas akun, kami merekomendasikan menggunakan metode autentikasi RRSA. Untuk detailnya, lihat Bagaimana cara memasang Bucket OSS lintas akun?

Langkah 1: Buat RAM role

Jika Anda telah memasang volume OSS di kluster menggunakan RRSA, lewati langkah ini. Jika ini pertama kalinya, ikuti langkah-langkah berikut:

1. Aktifkan fitur RRSA di Konsol ACK.

2. Buat RAM role untuk OIDC IdP. Role ini akan diasumsikan menggunakan RRSA.

   Tabel berikut mencantumkan parameter utama untuk role contoh demo-role-for-rrsa:

   Parameter	Deskripsi
   Identity Provider Type	Pilih OIDC.
   Identity Provider	Pilih penyedia yang terkait dengan kluster Anda, seperti ack-rrsa-<cluster_id>, di mana <cluster_id> adalah ID kluster aktual Anda.
   Condition	oidc:iss: Pertahankan nilai default. oidc:aud: Pertahankan nilai default. oidc:sub: Tambahkan kondisi berikut secara manual: Key: Pilih oidc:sub. Operator: Pilih StringEquals. Value: Masukkan system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs. Dalam nilai ini, ack-csi-fuse adalah namespace tempat klien ossfs berada, dan tidak dapat disesuaikan. csi-fuse-ossfs adalah nama akun layanan, dan dapat diubah sesuai kebutuhan. Untuk informasi lebih lanjut tentang cara memodifikasi nama akun layanan, lihat Bagaimana cara menggunakan ARN atau ServiceAccount tertentu dalam autentikasi RRSA?
   Role Name	Masukkan demo-role-for-rrsa.

Langkah 2: Berikan izin kepada role demo-role-for-rrsa

1. Buat kebijakan kustom untuk akses OSS. Untuk informasi lebih lanjut, lihat Buat Kebijakan Kustom.

   Pilih kebijakan baca-saja atau baca/tulis berdasarkan kebutuhan Anda dan ganti mybucket dengan nama bucket Anda.

   • Kebijakan Baca-Saja OSS

     Lihat Dokumen Kebijakan Baca-Saja OSS

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • Kebijakan Baca/Tulis OSS

     Lihat Dokumen Kebijakan Baca/Tulis OSS

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

2. (Opsional) Jika Anda menggunakan ID CMK yang dikelola oleh KMS untuk mengenkripsi objek OSS, Anda harus mengonfigurasi izin KMS untuk Pengguna RAM. Untuk informasi lebih lanjut, lihat Operasi Enkripsi.

3. Berikan izin kepada role demo-role-for-rrsa. Untuk informasi lebih lanjut, lihat Berikan Izin kepada RAM Role.

   Catatan

   Anda juga dapat menggunakan RAM role yang sudah ada yang telah diberikan izin OSS dengan memodifikasi kebijakan kepercayaannya. Untuk informasi lebih lanjut, lihat Gunakan dan Berikan Izin kepada RAM Role yang Sudah Ada.

Langkah 3: Buat StorageClass

Buat StorageClass untuk digunakan sebagai template untuk provisioning dinamis PV.

1. Buat file bernama ossfs2-sc-rrsa.yaml dengan konten berikut:

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: ossfs2-sc  # Nama StorageClass.
   parameters:
     bucket: cnfs-oss-test  # Nama bucket.
     path: /subpath  # Subdirektori untuk dipasang. Jika dibiarkan kosong, direktori root akan dipasang.
     url: oss-cn-hangzhou-internal.aliyuncs.com  # Titik akhir wilayah tempat OSS Bucket berada.
     authType: rrsa
     roleName: demo-role-for-rrsa  # RAM role yang dibuat sebelumnya.
     fuseType: ossfs2
     volumeAs: sharepath
     otherOpts: "-o close_to_open=false"
   provisioner: ossplugin.csi.alibabacloud.com  # Nilai ini tetap.
   reclaimPolicy: Retain  # Kebijakan pengambilan kembali untuk PV yang dihasilkan secara dinamis. Hanya Retain yang didukung, yang berarti PV dan data di OSS Bucket tidak dihapus saat PVC dihapus.
   volumeBindingMode: Immediate  # Mode pengikatan volume. Volume OSS tidak memerlukan afinitas zona berbasis node, jadi Anda dapat menggunakan nilai default Immediate.

   Tabel berikut menjelaskan parameter dalam bidang parameters:

   Parameter	Diperlukan	Deskripsi
   bucket	Ya	Nama bucket OSS untuk dipasang.
   path	Ya	Path dasar dalam bucket. Ketika volumeAs diatur ke sharepath, setiap PV yang dihasilkan secara dinamis diberi subdirektori unik di bawah path ini, seperti /ack/<pv-name>.
   url	Ya	Titik akses endpoint untuk bucket OSS. Gunakan endpoint internal jika node kluster dan bucket berada di wilayah yang sama, atau jika koneksi Virtual Private Cloud (VPC) telah dibuat. Gunakan endpoint publik jika node pemasangan dan bucket berada di wilayah yang berbeda. Berikut adalah format umum untuk endpoint akses yang berbeda: Internal: http://oss-{{regionName}}-internal.aliyuncs.com atau https://oss-{{regionName}}-internal.aliyuncs.com. Format endpoint akses internal vpc100-oss-{{regionName}}.aliyuncs.com sudah tidak digunakan lagi. Beralihlah ke format baru sesegera mungkin. Publik: http://oss-{{regionName}}.aliyuncs.com atau https://oss-{{regionName}}.aliyuncs.com.
   fuseType	Ya	Menentukan klien yang digunakan untuk pemasangan. Harus diatur ke ossfs2 untuk menggunakan klien ossfs 2.0.
   authType	Ya	Diatur ke rrsa untuk menyatakan bahwa metode autentikasi RRSA digunakan.
   roleName	Ya	Diatur ke nama RAM role yang Anda buat atau modifikasi. Untuk memberikan izin berbeda untuk PV yang berbeda, buat RAM role terpisah untuk setiap set izin. Kemudian, dalam definisi setiap PV, gunakan parameter roleName untuk mengaitkannya dengan role yang sesuai.
   volumeAs	Tidak	Menentukan bagaimana PV dihasilkan. sharepath menunjukkan bahwa setiap PV membuat subdirektori terpisah di direktori yang ditentukan oleh path.
   otherOpts	Tidak	Opsi pemasangan tambahan yang diteruskan ke volume OSS, ditentukan sebagai string bendera yang dipisahkan spasi dalam format -o *** -o ***. Sebagai contoh, -o close_to_open=false. Opsi close-to-open mengontrol konsistensi metadata. Saat diatur ke false (default), metadata disimpan dalam cache untuk meningkatkan performa pembacaan file kecil. Saat diatur ke true, klien mengambil metadata terbaru dari OSS dengan mengirimkan permintaan GetObjectMeta setiap kali file dibuka, memastikan konsistensi waktu nyata dengan biaya peningkatan latensi dan panggilan API. Untuk parameter opsional lainnya, lihat opsi pemasangan ossfs 2.0.

2. Terapkan StorageClass.

   kubectl create -f ossfs2-sc-rrsa.yaml

3. Periksa status StorageClass.

   kubectl get sc ossfs2-sc

   Keluaran yang Diharapkan:

   NAME        PROVISIONER                      RECLAIMPOLICY   VOLUMEBINDINGMODE   ALLOWVOLUMEEXPANSION   AGE
   ossfs2-sc   ossplugin.csi.alibabacloud.com   Retain          Immediate                                  10s

Langkah 4: Buat PVC

Langkah 5: Buat aplikasi dan pasang volume

ACK mendukung autentikasi pemasangan volume OSS dengan menyimpan AccessKey statis di dalam Kubernetes Secret. Pendekatan ini cocok untuk skenario di mana aplikasi tertentu memerlukan akses jangka panjang dengan izin tetap.

• Jika AccessKey yang dirujuk oleh PV dicabut atau izinnya diubah, aplikasi apa pun yang menggunakan volume akan langsung kehilangan akses dan mengalami kesalahan izin. Untuk memulihkan akses, perbarui kredensial di Secret, lalu mulai ulang Pod aplikasi untuk memaksa pemasangan ulang. Proses ini menyebabkan gangguan layanan singkat dan hanya boleh dilakukan selama jendela pemeliharaan yang dijadwalkan.

• Untuk menghindari downtime terkait rotasi kunci manual, kami sangat merekomendasikan menggunakan metode autentikasi RRSA sebagai gantinya.

Prasyarat

• Anda memiliki kluster ACK dengan CSI V1.33.1 atau lebih baru terinstal. Untuk meningkatkan komponen, lihat Tingkatkan csi-plugin dan csi-provisioner.

• Anda memiliki bucket OSS di Akun Alibaba Cloud yang sama dengan kluster Anda.

  Untuk memasang bucket OSS lintas akun, kami merekomendasikan menggunakan RRSA untuk autentikasi. Untuk detailnya, lihat Bagaimana cara memasang Bucket OSS lintas akun?

Langkah 1: Buat Pengguna RAM dengan izin akses OSS dan peroleh pasangan AccessKey

kubectl create -n default secret generic oss-secret --from-literal='akId=xxxxxx' --from-literal='akSecret=xxxxxx'

Langkah 2: Buat StorageClass

1. Buat file bernama ossfs2-sc.yaml dengan konten berikut:

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: ossfs2-sc
   parameters:
     # Gunakan Secret yang dibuat dalam persiapan.
     csi.storage.k8s.io/node-publish-secret-name: oss-secret  
     csi.storage.k8s.io/node-publish-secret-namespace: default
     fuseType: ossfs2
     bucket: cnfs-oss-test # Nama bucket.
     path: /subpath  # Subdirektori untuk dipasang. Jika dibiarkan kosong, direktori root akan dipasang.
     url: oss-cn-hangzhou-internal.aliyuncs.com  # Titik akhir wilayah tempat OSS Bucket berada.
     otherOpts: "-o close_to_open=false"
   provisioner: ossplugin.csi.alibabacloud.com  # Nilai ini tetap.
   reclaimPolicy: Retain  # Kebijakan pengambilan kembali untuk PV yang dihasilkan secara dinamis. Hanya Retain yang didukung, yang berarti PV dan data di OSS Bucket tidak dihapus saat PVC dihapus.
   volumeBindingMode: Immediate  # Mode pengikatan volume. Volume OSS tidak memerlukan afinitas zona berbasis node, jadi Anda dapat menggunakan nilai default Immediate.

   Tabel berikut menjelaskan parameter dalam bidang parameters:

   • Konfigurasi Secret

     Parameter	Diperlukan	Deskripsi
     csi.storage.k8s.io/node-publish-secret-name	Ya	Nama Secret yang menyimpan informasi AccessKey.
     csi.storage.k8s.io/node-publish-secret-namespace	Ya	Namespace tempat Secret yang menyimpan informasi AccessKey berada.

   • Konfigurasi Volume

     Parameter	Diperlukan	Deskripsi
     fuseType	Ya	Menentukan klien yang digunakan untuk pemasangan. Harus diatur ke ossfs2 untuk menggunakan klien ossfs 2.0.
     bucket	Ya	Nama bucket OSS yang ingin Anda pasang.
     path	Tidak	Path pemasangan bucket OSS, yang mewakili struktur direktori relatif terhadap root bucket.
     url	Ya	Titik akhir yang digunakan untuk memasang bucket OSS. Anda dapat menemukan titik akhir di halaman Ikhtisar bucket di Konsol OSS. Jika node dan bucket berada di wilayah yang sama, atau jika koneksi VPC telah dibuat, gunakan endpoint internal. Jika node dan bucket berada di wilayah yang berbeda, gunakan endpoint publik. Format berikut umumnya digunakan untuk port akses yang berbeda: Format endpoint internal: http://oss-{{regionName}}-internal.aliyuncs.com atau https://oss-{{regionName}}-internal.aliyuncs.com. Format endpoint publik: http://oss-{{regionName}}.aliyuncs.com atau https://oss-{{regionName}}.aliyuncs.com. Penting Format endpoint internal vpc100-oss-{{regionName}}.aliyuncs.com sudah tidak digunakan lagi. Beralihlah ke format baru segera.
     otherOpts	Tidak	Masukkan parameter kustom untuk volume OSS dalam format -o *** -o ***, misalnya, -o close_to_open=false. close-to-open: Dinonaktifkan secara default. Jika diaktifkan, sistem mengirimkan permintaan GetObjectMeta ke OSS setiap kali file dibuka untuk mendapatkan metadata terbaru. Ini memastikan metadata selalu mutakhir. Namun, dalam skenario dengan banyak pembacaan file kecil, kueri metadata sering dapat meningkatkan latensi akses secara signifikan. Untuk parameter opsional lainnya, lihat opsi pemasangan ossfs 2.0.

2. Buat StorageClass.

   kubectl create -f ossfs2-sc.yaml

Langkah 3: Buat PVC

Langkah 4: Buat aplikasi dan pasang volume