Container Service for Kubernetes:Pasang volume OSS dinamis menggunakan ossfs 2.0 di kluster ACK

Langkah 1: Buat peran RAM

Lewati langkah ini jika Anda telah memasang volume OSS di kluster ini menggunakan RRSA.

1. Aktifkan fitur RRSA di Konsol ACK.

2. Buat peran RAM untuk Identity Provider OIDC. Gunakan parameter berikut untuk peran contoh demo-role-for-rrsa:

   Parameter	Nilai
   Identity Provider Type	Pilih OIDC
   Identity Provider	Pilih provider yang terkait dengan kluster Anda, seperti ack-rrsa-<cluster_id>
   oidc:iss	Pertahankan nilai default
   oidc:aud	Pertahankan nilai default
   oidc:sub — Kunci	Pilih oidc:sub
   oidc:sub — Operator	Pilih StringEquals
   oidc:sub — Nilai	Masukkan system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs. Namespace ack-csi-fuse bersifat tetap dan tidak dapat dikustomisasi. Nama service account csi-fuse-ossfs dapat diubah — lihat FAQ tentang volume ossfs 2.0.
   Role Name	Masukkan demo-role-for-rrsa

Langkah 2: Berikan izin OSS ke peran RAM

1. Buat kebijakan kustom untuk memberikan akses OSS ke peran tersebut. Ganti mybucket dengan nama bucket aktual Anda.

   • Read-only access

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • Akses baca-tulis

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

2. (Opsional) Jika objek di bucket dienkripsi dengan customer master key (CMK) di Key Management Service (KMS), berikan juga akses KMS. Lihat Enkripsi.

3. Berikan kebijakan kustom ke peran demo-role-for-rrsa.

   Catatan

   Untuk menggunakan kembali peran RAM yang sudah ada dan memiliki akses OSS, ubah kebijakan kepercayaannya. Lihat Gunakan peran RAM yang sudah ada dan berikan izin yang diperlukan ke peran RAM tersebut.

Langkah 3: Buat StorageClass

1. Buat ossfs2-sc-rrsa.yaml:

   Parameter	Wajib	Deskripsi	Default / perilaku jika dihilangkan
   bucket	Ya	Nama bucket OSS yang akan dipasang	—
   path	Ya	Path dasar di dalam bucket. Dengan volumeAs: sharepath, setiap PV mendapatkan subdirektori unik di bawah path ini, seperti /ack/<pv-name>	Memasang root bucket jika dibiarkan kosong
   url	Ya	Titik akhir endpoint bucket OSS. Gunakan titik akhir internal (http://oss-<region>-internal.aliyuncs.com) jika kluster dan bucket berada di wilayah yang sama atau terhubung melalui Virtual Private Cloud (VPC). Gunakan titik akhir publik (http://oss-<region>.aliyuncs.com) untuk akses cross-region. Catatan Format titik akhir internal vpc100-oss-<region>.aliyuncs.com sudah tidak digunakan lagi — beralihlah ke format baru.	—
   fuseType	Ya	Harus diatur ke ossfs2 untuk menggunakan klien ossfs 2.0	—
   authType	Ya	Atur ke rrsa	—
   roleName	Ya	Peran RAM yang akan diasumsikan. Untuk memberikan izin berbeda per PV, buat peran RAM terpisah untuk setiap set izin dan tentukan di sini	—
   volumeAs	Tidak	Atur ke sharepath sehingga setiap PV membuat subdirektori terpisah di bawah path	—
   otherOpts	Tidak	Opsi pemasangan tambahan dalam format -o <flag> -o <flag>. Untuk semua opsi yang tersedia, lihat opsi pemasangan ossfs 2.0	Tidak ada opsi tambahan

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: ossfs2-sc
   parameters:
     bucket: cnfs-oss-test          # Nama bucket OSS Anda.
     path: /subpath                 # Subdirektori yang akan dipasang. Biarkan kosong untuk memasang root bucket.
     url: oss-cn-hangzhou-internal.aliyuncs.com  # Titik akhir internal (wilayah sama atau VPC); gunakan titik akhir publik untuk akses lintas wilayah.
     authType: rrsa
     roleName: demo-role-for-rrsa  # Peran RAM yang dibuat di Langkah 1.
     fuseType: ossfs2              # Harus ossfs2 untuk menggunakan klien ossfs 2.0.
     volumeAs: sharepath           # Setiap PV mendapatkan subdirektori unik di bawah path, misalnya /subpath/ack/<pv-name>.
     otherOpts: "-o close_to_open=false"  # false (default): cache metadata untuk latensi lebih rendah. true: ambil metadata segar setiap kali membuka file (meningkatkan latensi dan biaya API).
   provisioner: ossplugin.csi.alibabacloud.com  # Nilai tetap.
   reclaimPolicy: Retain           # Hanya Retain yang didukung. Menghapus PVC tidak menghapus PV atau data OSS.
   volumeBindingMode: Immediate    # Volume OSS tidak memiliki persyaratan afinitas node berbasis zona.

   Tabel berikut menjelaskan field parameters:

2. Terapkan StorageClass:

   kubectl create -f ossfs2-sc-rrsa.yaml

3. Verifikasi bahwa StorageClass telah dibuat:

   kubectl get sc ossfs2-sc

   Output yang diharapkan:

   NAME        PROVISIONER                      RECLAIMPOLICY   VOLUMEBINDINGMODE   ALLOWVOLUMEEXPANSION   AGE
   ossfs2-sc   ossplugin.csi.alibabacloud.com   Retain          Immediate                                  10s

Langkah 4: Buat PVC

Membuat PVC memicu penyediaan otomatis PV yang mendasarinya.

1. Buat ossfs2-pvc-dynamic.yaml:

   kind: PersistentVolumeClaim
   apiVersion: v1
   metadata:
     name: pvc-ossfs2
     namespace: default
   spec:
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 20Gi
     storageClassName: ossfs2-sc

2. Buat PVC:

   kubectl create -f ossfs2-pvc-dynamic.yaml

3. Verifikasi PVC terikat ke PV yang dibuat secara otomatis:

   kubectl get pvc pvc-ossfs2

   Output yang diharapkan:

   NAME        STATUS   VOLUME                   CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   pvc-ossfs2  Bound    d-bp17y03tpy2b8x******   20Gi       RWX            ossfs2-sc      25s

Langkah 5: Pasang volume di aplikasi Anda

1. Buat ossfs2-test.yaml. StatefulSet berikut memasang PVC di /data:

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2

2. Deploy aplikasi:

   kubectl create -f ossfs2-test.yaml

3. Verifikasi pod sedang berjalan:

   kubectl get pod -l app=ossfs2-test

   Output yang diharapkan:

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          2m

4. Verifikasi akses baca dan tulis ke titik pemasangan:

   # Tulis file uji
   kubectl exec -it ossfs2-test-0 -- touch /data/test.txt
   # Daftar file di titik pemasangan
   kubectl exec -it ossfs2-test-0 -- ls /data

   Output harus mencakup test.txt, yang mengonfirmasi volume telah dipasang dan dapat ditulis.

Langkah 1: Buat pengguna RAM dan simpan kredensial di Secret

kubectl create -n default secret generic oss-secret \
  --from-literal='akId=<your-access-key-id>' \
  --from-literal='akSecret=<your-access-key-secret>'

Langkah 2: Buat StorageClass

1. Buat ossfs2-sc.yaml:

   Konfigurasi Secret

   Parameter	Wajib	Deskripsi
   csi.storage.k8s.io/node-publish-secret-name	Ya	Nama Secret yang menyimpan AccessKey
   csi.storage.k8s.io/node-publish-secret-namespace	Ya	Namespace tempat Secret berada

   Konfigurasi volume

   Parameter	Wajib	Deskripsi	Default / perilaku jika dihilangkan
   fuseType	Ya	Harus diatur ke ossfs2 untuk menggunakan klien ossfs 2.0	—
   bucket	Ya	Nama bucket OSS yang akan dipasang	—
   path	Tidak	Path pemasangan di dalam bucket, relatif terhadap root bucket	Memasang root bucket jika dibiarkan kosong
   url	Ya	Titik akhir bucket OSS. Gunakan titik akhir internal (http://oss-<region>-internal.aliyuncs.com) untuk akses wilayah sama atau terhubung VPC, atau titik akhir publik (http://oss-<region>.aliyuncs.com) untuk akses lintas wilayah. Catatan Format titik akhir internal vpc100-oss-<region>.aliyuncs.com sudah tidak digunakan lagi.	—
   otherOpts	Tidak	Opsi pemasangan tambahan dalam format -o <flag> -o <flag>. Untuk semua opsi yang tersedia, lihat opsi pemasangan ossfs 2.0	Tidak ada opsi tambahan

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: ossfs2-sc
   parameters:
     csi.storage.k8s.io/node-publish-secret-name: oss-secret       # Secret yang dibuat di atas.
     csi.storage.k8s.io/node-publish-secret-namespace: default      # Namespace tempat Secret berada.
     fuseType: ossfs2              # Harus ossfs2 untuk menggunakan klien ossfs 2.0.
     bucket: cnfs-oss-test         # Nama bucket OSS Anda.
     path: /subpath                # Subdirektori yang akan dipasang. Biarkan kosong untuk memasang root bucket.
     url: oss-cn-hangzhou-internal.aliyuncs.com  # Titik akhir internal (wilayah sama atau VPC); gunakan titik akhir publik untuk akses lintas wilayah.
     otherOpts: "-o close_to_open=false"  # false (default): cache metadata untuk latensi lebih rendah. true: ambil metadata segar setiap kali membuka file (meningkatkan latensi dan biaya API).
   provisioner: ossplugin.csi.alibabacloud.com  # Nilai tetap.
   reclaimPolicy: Retain           # Hanya Retain yang didukung. Menghapus PVC tidak menghapus PV atau data OSS.
   volumeBindingMode: Immediate    # Volume OSS tidak memiliki persyaratan afinitas node berbasis zona.

2. Buat StorageClass:

   kubectl create -f ossfs2-sc.yaml

Langkah 3: Buat PVC

1. Buat ossfs2-pvc-dynamic.yaml:

   kind: PersistentVolumeClaim
   apiVersion: v1
   metadata:
     name: pvc-ossfs2
     namespace: default
   spec:
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 20Gi
     storageClassName: ossfs2-sc

2. Buat PVC:

   kubectl create -f ossfs2-pvc-dynamic.yaml

3. Verifikasi PVC terikat:

   kubectl get pvc pvc-ossfs2

   Output yang diharapkan:

   NAME        STATUS   VOLUME                   CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   pvc-ossfs2  Bound    d-bp17y03tpy2b8x******   20Gi       RWX            ossfs2-sc      25s

Langkah 4: Pasang volume di aplikasi Anda

1. Buat ossfs2-test.yaml:

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2

2. Deploy aplikasi:

   kubectl create -f ossfs2-test.yaml

3. Verifikasi pod sedang berjalan:

   kubectl get pod -l app=ossfs2-test

   Output yang diharapkan:

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          2m

4. Verifikasi akses baca dan tulis:

   # Tulis file uji
   kubectl exec -it ossfs2-test-0 -- touch /data/test.txt
   # Daftar file di titik pemasangan
   kubectl exec -it ossfs2-test-0 -- ls /data

   Output harus mencakup test.txt, yang mengonfirmasi volume telah dipasang dan dapat ditulis.