Container Service for Kubernetes:ACK で ossfs 2.0 を使用して静的 OSS ボリュームをマウントする

1. 次の内容で ossfs2-pv.yaml という名前のファイルを作成します。この PV 定義は、RRSA ロールを使用して OSS バケットにアクセスする方法を Kubernetes に指示します。

   次の PV は、cnfs-oss-test という名前の OSS バケットを、クラスター内の Pod が使用するための 20 GB の読み取り専用ファイルシステムとしてマウントします。

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: pv-ossfs2  # PV 名
   spec:
     capacity:
       storage: 20Gi  # ボリューム容量を定義します (この値は PVC のマッチングにのみ使用されます)
     accessModes:  # アクセスモード
       - ReadOnlyMany
     persistentVolumeReclaimPolicy: Retain
     csi:
       driver: ossplugin.csi.alibabacloud.com
       volumeHandle: pv-ossfs2  # PV 名 (metadata.name) と同じである必要があります
       volumeAttributes:
         fuseType: ossfs2
         bucket: cnfs-oss-test # OSS バケットの名前
         path: /subpath  # マウントするサブディレクトリ。ルートディレクトリをマウントする場合は空のままにします。
         url: oss-cn-hangzhou-internal.aliyuncs.com  # OSS バケットが配置されているリージョンのエンドポイント
         otherOpts: "-o close_to_open=false"
         authType: "rrsa"
         roleName: "demo-role-for-rrsa"  # 先ほど作成した RAM ロール

   • volumeAttributes 内のパラメーター:

     パラメーター	必須	説明
     fuseType	はい	マウントに使用するクライアントを指定します。ossfs 2.0 クライアントを使用するには、ossfs2 に設定する必要があります。
     bucket	はい	マウントする OSS バケットの名前。
     path	いいえ	OSS バケット内でマウントするサブディレクトリ。指定しない場合、デフォルトでバケットのルートがマウントされます。
     url	はい	OSS バケットのアクセス エンドポイント。 クラスターノードとバケットが同じリージョンにある場合、または Virtual Private Cloud (VPC) 接続が確立されている場合は、内部エンドポイントを使用します。 マウントノードとバケットが異なるリージョンにある場合は、パブリックエンドポイントを使用します。 以下は、さまざまなアクセスエンドポイントの一般的なフォーマットです。 内部: http://oss-{{regionName}}-internal.aliyuncs.com または https://oss-{{regionName}}-internal.aliyuncs.com。 内部アクセスエンドポイントのフォーマット vpc100-oss-{{regionName}}.aliyuncs.com は非推奨です。できるだけ早く新しいフォーマットに切り替えてください。 パブリック: http://oss-{{regionName}}.aliyuncs.com または https://oss-{{regionName}}.aliyuncs.com。
     otherOpts	いいえ	OSS ボリュームに渡される追加のマウントオプション。-o *** -o *** の形式でスペース区切りのフラグの文字列として指定します。例: -o close_to_open=false。 close-to-open オプションはメタデータの一貫性を制御します。false (デフォルト) に設定すると、メタデータがキャッシュされ、小さなファイルの読み取りパフォーマンスが向上します。true に設定すると、クライアントはファイルが開かれるたびに GetObjectMeta リクエストを送信して OSS から新しいメタデータをフェッチし、待機時間と API 呼び出しが増加する代わりにリアルタイムの一貫性を確保します。 その他のオプションパラメーターの詳細については、「ossfs 2.0 マウントオプション」をご参照ください。
     authType	はい	RRSA 認証方式が使用されることを宣言するために rrsa に設定します。
     roleName	はい	作成または変更した RAM ロールの名前に設定します。 異なる PV に異なる権限を割り当てるには、各権限セットに対して個別の RAM ロールを作成します。次に、各 PV の定義で roleName パラメーターを使用して、対応するロールに関連付けます。

     RRSA 認証方式で指定の ARN または ServiceAccount を使用する方法については、「RRSA 認証方式で指定の ARN または ServiceAccount を使用するにはどうすればよいですか？」をご参照ください。

2. PV 定義を適用します。

   kubectl create -f ossfs2-pv.yaml

3. PV のステータスを確認します。

   kubectl get pv pv-ossfs2

   出力は、PV のステータスが Available であることを示しています。

   NAME        CAPACITY   ACCESS MODES   RECLAIM POLICY   STATUS      CLAIM   STORAGECLASS   VOLUMEATTRIBUTESCLASS   REASON   AGE
   pv-ossfs2   20Gi       ROX            Retain           Available                          <unset>                          15s

ステップ 4: PVC を作成する

アプリケーションが必要とする永続ストレージ容量を宣言するために PVC を作成します。

これで、PVC をアプリケーションにマウントできます。

1. アプリケーションを定義するために ossfs2-test.yaml という名前のファイルを作成します。

   次の YAML テンプレートは、1 つの Pod を含む StatefulSet を作成します。Pod は pvc-ossfs2 という名前の PVC を介してストレージリソースを要求し、ボリュームを /data パスにマウントします。

   YAML テンプレート

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2  # 参照する PVC

2. アプリケーションをデプロイします。

   kubectl create -f ossfs2-test.yaml

3. Pod のデプロイメントステータスを確認します。

   kubectl get pod -l app=ossfs2-test

   期待される出力:

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          12m

4. アプリケーションが OSS のデータにアクセスできることを確認します。

   kubectl exec -it ossfs2-test-0 -- ls /data

   出力には、OSS マウントパスのデータが表示されるはずです。

RAM ユーザーの作成と権限の付与

1. RAM ユーザーを作成します。すでに RAM ユーザーがいる場合は、このステップをスキップできます。詳細については、「RAM ユーザーの作成」をご参照ください。

2. OSS アクセス用のカスタムポリシーを作成します。詳細については、「カスタムポリシーの作成」をご参照ください。

   要件に応じて読み取り専用または読み取り/書き込みポリシーを選択し、mybucket をお使いのバケットの名前に置き換えます。

   • OSS 読み取り専用ポリシー

     OSS 読み取り専用ポリシードキュメントの表示

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • OSS 読み取り/書き込みポリシー

     OSS 読み取り/書き込みポリシードキュメントの表示

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

3. (オプション) KMS で管理される CMK ID を使用して OSS オブジェクトを暗号化する場合、RAM ユーザーに KMS 権限も設定する必要があります。詳細については、「暗号化操作」をご参照ください。

4. RAM ユーザーに OSS 権限を付与します。詳細については、「RAM ユーザーへの権限付与」をご参照ください。

5. RAM ユーザーの AccessKey を作成します。詳細については、「AccessKey の取得」をご参照ください。

AccessKey 認証情報を保存する Secret を作成する

次のコマンドを実行して、OSS 認証用の Secret を作成します。akId と akSecret を実際の認証情報に置き換えてください。

kubectl create -n default secret generic oss-secret --from-literal='akId=xxxxxx' --from-literal='akSecret=xxxxxx'

1. 次の内容で ossfs2-pv-ak.yaml という名前のファイルを作成します。この PV 定義には、作成した Secret を指す nodePublishSecretRef が含まれています。

   次の PV は、cnfs-oss-test という名前の OSS バケットを、クラスター内の Pod が使用するための 20 GB の読み取り専用ファイルシステムとしてマウントします。

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: pv-ossfs2  # PV 名
   spec:
     capacity:
       storage: 20Gi  # ボリューム容量を定義します (この値は PVC のマッチングにのみ使用されます)
     accessModes:  # アクセスモード
       - ReadOnlyMany
     persistentVolumeReclaimPolicy: Retain
     csi:
       driver: ossplugin.csi.alibabacloud.com
       volumeHandle: pv-ossfs2   # PV 名 (metadata.name) と同じである必要があります
       # 先ほど作成した Secret を使用します
       nodePublishSecretRef:
         name: oss-secret  # AccessKey 情報を保存する Secret の名前
         namespace: default  # Secret が配置されている名前空間
       volumeAttributes:
         fuseType: ossfs2
         bucket: cnfs-oss-test  # OSS バケットの名前
         path: /subpath  # マウントするサブディレクトリ。ルートディレクトリをマウントする場合は空のままにします。
         url: oss-cn-hangzhou-internal.aliyuncs.com  # OSS バケットが配置されているリージョンのエンドポイント
         otherOpts: "-o close_to_open=false"

   • nodePublishSecretRef 内のパラメーター:

     パラメーター	必須	説明
     name	はい	AccessKey 情報を保存する Secret の名前。
     namespace	はい	AccessKey 情報を保存する Secret が配置されている名前空間。

   • volumeAttributes 内のパラメーター:

     パラメーター	必須	説明
     fuseType	はい	マウントに使用するクライアントを指定します。ossfs 2.0 クライアントを使用するには、ossfs2 に設定する必要があります。
     bucket	はい	マウントする OSS バケットの名前。
     path	いいえ	OSS バケットのマウントパス。バケットのルートからのディレクトリ構造を表します。
     url	はい	OSS バケットのマウントに使用されるエンドポイント。エンドポイントは、OSS コンソールのバケットの [概要] ページで確認できます。 ノードとバケットが同じリージョンにある場合、または VPC 接続が確立されている場合は、内部エンドポイントを使用します。 ノードとバケットが異なるリージョンにある場合は、パブリックエンドポイントを使用します。 さまざまなアクセスポートで一般的に使用されるフォーマットは次のとおりです。 内部エンドポイントフォーマット: http://oss-{{regionName}}-internal.aliyuncs.com または https://oss-{{regionName}}-internal.aliyuncs.com。 パブリックエンドポイントフォーマット: http://oss-{{regionName}}.aliyuncs.com または https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com 内部エンドポイントフォーマットは非推奨です。すぐに新しいフォーマットに切り替えてください。
     otherOpts	いいえ	OSS ボリュームのカスタムパラメーターを -o *** -o *** のフォーマットで入力します。例: -o close_to_open=false。 close-to-open: デフォルトでは無効になっています。有効にすると、ファイルが開かれるたびにシステムが GetObjectMeta リクエストを OSS に送信して最新のメタデータを取得します。これにより、メタデータが常に最新であることが保証されます。ただし、多数の小さなファイルを読み取るシナリオでは、頻繁なメタデータクエリによってアクセス待機時間が大幅に増加する可能性があります。 その他のオプションパラメーターの詳細については、「ossfs 2.0 マウントオプション」をご参照ください。

2. PV 定義を適用します。

   kubectl create -f ossfs2-pv.yaml

3. PV のステータスを確認します。

   kubectl get pv pv-ossfs2

   次の出力は、PV が Available であることを示しています：

   NAME        CAPACITY   ACCESS MODES   RECLAIM POLICY   STATUS      CLAIM   STORAGECLASS   VOLUMEATTRIBUTESCLASS   REASON   AGE
   pv-ossfs2   20Gi       ROX            Retain           Available                          <unset>                          15s

これで、PVC をアプリケーションにマウントできます。

1. アプリケーションを定義するために ossfs2-test.yaml という名前のファイルを作成します。

   次の YAML テンプレートは、1 つの Pod を含む StatefulSet を作成します。Pod は pvc-ossfs2 という名前の PVC を介してストレージリソースを要求し、ボリュームを /data パスにマウントします。

   YAML テンプレート

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2  # 参照する PVC

2. アプリケーションをデプロイします。

   kubectl create -f ossfs2-test.yaml

3. Pod のデプロイメントステータスを確認します。

   kubectl get pod -l app=ossfs2-test

   期待される出力:

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          12m

4. アプリケーションが OSS のデータにアクセスできることを確認します。

   kubectl exec -it ossfs2-test-0 -- ls /data

   出力には、OSS マウントパスのデータが表示されるはずです。