Container Service for Kubernetes:ossfs 1.0 を使用して動的にプロビジョニングされた OSS ボリュームをマウントする

ステップ 1：RAM ロールの作成

この手順は、クラスターで RRSA を初めて有効にする場合に必要です。以前に RRSA 認証を使用してクラスターに OSS ボリュームをマウントしたことがある場合は、この手順をスキップしてください。

1. ACK コンソール にログインし、RRSA を有効にします。詳細については、「RRSA を有効にする」をご参照ください。

2. RRSA 認証を使用して OSS ボリュームをマウントするための RAM ロールを作成します。RAM ロールは、RRSA を使用して OSS ボリュームをマウントするときに、クラスターによってアシュームされます。

   RAM ロールを作成するときは、[プリンシパルタイプ] に [ID プロバイダー] を選択します。次の例では、demo-role-for-rrsa という名前の RAM ロールが作成されます。次の表では、主要なパラメーターについて説明します。詳細な手順については、「OIDC IdP の RAM ロールを作成する」をご参照ください。

   パラメーター	説明
   [ID プロバイダータイプ]	[OIDC] を選択します。
   [ID プロバイダー]	ack-rrsa-<cluster_id> 形式の名前の ID プロバイダーを選択します。ここで、<cluster_id> はクラスターの ID です。
   [条件]	[oidc:iss]：デフォルト値を保持します。 [oidc:aud]：デフォルト値を保持します。 [oidc:sub]：次の条件を手動で追加します。 [キー]：[oidc:sub] を選択します。 [演算子]：[StringEquals] を選択します。 [値]：system:serviceaccount:<namespace>:<serviceAccountName> と入力します。 <namespace> をアプリケーションの名前空間に置き換えます。 <serviceAccountName> をサービスアカウント名に置き換えます。 例： このトピックのテストアプリケーションに基づいて、system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs と入力します。
   [ロール名]	値を demo-role-for-rrsa に設定します。

ステップ 2：demo-role-for-rrsa ロールに権限を付与する

1. RAM ユーザーに OSS アクセス権限を付与するカスタムポリシーを作成します。詳細については、「カスタムポリシーを作成する」をご参照ください。

   ビジネス要件に基づいて、読み取り専用ポリシーまたは読み書きポリシーを選択します。mybucket は、作成したバケットの名前に置き換えます。

   • OSS に対する読み取り専用権限を提供するポリシー

     クリックしてポリシーの内容を表示する

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • OSS に対する読み書き権限を提供するポリシー

     クリックしてポリシーの内容を表示する

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

2. オプション。OSS バケット内のオブジェクトが Key Management Service (KMS) の指定されたカスタマーマスターキー (CMK) を使用して暗号化されている場合は、RAM ユーザーに KMS アクセス権限を付与する必要があります。詳細については、「暗号化」をご参照ください。

3. 必要な権限を demo-role-for-rrsa ロールに付与します。詳細については、「RAM ロールに権限を付与する」をご参照ください。

   説明

   OSS アクセス権限を持つ既存の RAM ロールを使用する場合は、RAM ロールの信頼ポリシーを変更できます。詳細については、「既存の RAM ロールを使用し、必要な権限を RAM ロールに付与する」をご参照ください。

ステップ 3：StorageClass の作成

1. sc-oss-rrsa.yaml という名前のファイルを作成し、次の内容をファイルにコピーして、RRSA 認証で構成された StorageClass を作成します。

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: sc-oss
   parameters:
     bucket: bucket # 実際のバケット名に置き換えます。
     path: /ack
     url: oss-cn-beijing-internal.aliyuncs.com
     authType: rrsa
     roleName: demo-role-for-rrsa
     otherOpts: "-o allow_other"
     volumeAs: sharepath
   provisioner: ossplugin.csi.alibabacloud.com
   reclaimPolicy: Retain
   volumeBindingMode: Immediate

   パラメーター	説明
   name	StorageClass の名前。
   bucket	マウントする OSS バケット。
   path	マウントする OSS バケットのルートディレクトリからの相対パス。デフォルト値は / です。このパラメーターは、CSI 1.14.8.32-c77e277b-aliyun 以降でサポートされています。 1.91 より前の ossfs バージョンを使用する場合は、事前に OSS バケットにパスを作成する必要があります。詳細については、「ossfs 1.0 の新機能と ossfs パフォーマンスベンチマーク」をご参照ください。
   url	マウントする OSS バケットのエンドポイント。エンドポイントは、OSS コンソールのバケットの概要ページから取得できます。 バケットがバケットと同じリージョン内のノードにマウントされている場合、またはバケットが Virtual Private Cloud (VPC) 経由でノードに接続できる場合は、バケットの内部エンドポイントを使用します。 バケットが異なるリージョン内のノードにマウントされている場合は、バケットのパブリックエンドポイントを使用します。 パブリックエンドポイントと内部エンドポイントは形式が異なります。 内部エンドポイントの形式：http://oss-{{regionName}}-internal.aliyuncs.com または https://oss-{{regionName}}-internal.aliyuncs.com。 パブリックエンドポイントの形式：http://oss-{{regionName}}.aliyuncs.com または https://oss-{{regionName}}.aliyuncs.com。 重要 内部エンドポイントの vpc100-oss-{{regionName}}.aliyuncs.com 形式は非推奨です。
   authType	認証方式。このパラメーターを rrsa に設定します。これは、RRSA 認証が使用されることを示します。
   roleName	ステップ 1：RAM ロールの作成 で作成または変更した Resource Access Management (RAM) ロールの名前に設定します。StorageClass ごとに異なる権限を設定する必要がある場合は、複数の RAM ロールを作成し、各 StorageClass の roleName パラメーターで RAM ロールの 1 つを指定できます。
   otherOpts	OSS ボリュームのカスタムパラメーターを -o *** -o *** 形式で構成できます。例：-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：ossfs 内のファイルの権限マスクを変更します。たとえば、umask=022 を指定すると、ossfs 内のファイルの権限マスクは 755 に変更されます。デフォルトでは、OSS SDK または OSS コンソールを使用してアップロードされたファイルの権限マスクは、ossfs では 640 です。したがって、読み取りと書き込みを分離する場合は、umask パラメーターを指定することをお勧めします。 max_stat_cache_size：メタデータキャッシュにキャッシュできるファイルの最大数。メタデータのキャッシュにより、List 操作を高速化できます。ただし、OSS コンソール、OSS SDK、ossutil など、ossfs 以外の方法でファイルを変更すると、ファイルのメタデータがリアルタイムで更新されない場合があります。 allow_other：他のユーザーがマウントされたディレクトリにアクセスできるようにします。ただし、これらのユーザーはディレクトリ内のファイルにアクセスできません。 詳細については、「ossfs 2.0 でサポートされているオプション」をご参照ください。
   provisioner	ボリュームドライバーのタイプ。この例では、値は ossplugin.csi.alibabacloud.com に設定されています。これは、Alibaba Cloud が提供する OSS CSI プラグインが使用されることを示します。
   reclaimPolicy	動的に作成された PV の再利用ポリシー。OSS ボリュームは、Retain ポリシーのみをサポートします。これは、PVC を削除しても PV とバケット内のデータは削除されないことを示します。
   volumeBindingMode	バインディングモード。 OSS ボリュームのゾーン間のノードアフィニティは考慮されません。デフォルトでは、Immediate バインディングモードが使用されます。
   volumeAs	ボリュームのアクセスモード。デフォルト値：sharepath 有効な値： sharepath：OSS ボリュームは sharepath モードでマウントされます。すべてのボリュームが同じパスを共有します。つまり、データは <bucket>:<path>/ に保存されます。 subpath：OSS ボリュームは subpath モードでマウントされます。ボリュームを作成すると、マウントパスにサブディレクトリが自動的に作成されます。つまり、データは <bucket>:<path>/<pv-name>/ に保存されます。 説明 Subdirectory モードは、CSI プラグインのバージョンが 1.31.3 以降の場合にのみ有効になります。CSI プラグインのバージョンが 1.31.3 より前の場合は、Shared Directory モードが使用されます。
   sigVersion	OSS をリクエストするための署名バージョン。有効な値： "v1"：デフォルトで V1 署名を使用します。詳細については、「URL に V1 署名を含める」をご参照ください。 "v4"：V4 署名を使用します。詳細については、「（推奨）URL に V4 署名を含める」をご参照ください。

2. 次のコマンドを実行して、StorageClass を作成します。

   kubectl apply -f sc-oss-rrsa.yaml

ステップ 4：PVC の作成

1. pvc-oss.yaml という名前のファイルを作成し、次の内容をファイルにコピーして PVC を作成します。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
     - ReadOnlyMany
     volumeMode: Filesystem
     resources:
       requests:
         storage: 20Gi
     storageClassName: sc-oss

   パラメーター	説明
   name	PVC の名前。
   accessModes	アクセスモード。有効な値：ReadOnlyMany と ReadWriteMany。 ReadOnlyMany を選択すると、ossfs は OSS バケットを読み取り専用モードでマウントします。
   storage	アプリケーションの要求容量。このパラメーターの値は、アプリケーションで使用できる最大容量の制限を指定するものではありません。
   storageClassName	StorageClass の名前。

2. 次のコマンドを実行して、PVC を作成します。

   kubectl apply -f pvc-oss.yaml

3. 次のコマンドを実行して、PVC が作成され、Bound ステータスになっていることを確認します。

   kubectl get pvc pvc-oss

   予期される出力：

   NAME           STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS         VOLUMEATTRIBUTESCLASS   AGE
   pvc-oss        Bound    oss-251d111d-3b0b-4879-81a0-eb5a19xxxxxx   20Gi       ROX            oss-rrsa             <unset>                 4d20h

ステップ 5：アプリケーションの作成

1. oss-dynamic.yaml という名前のファイルを作成し、次の内容をファイルにコピーしてアプリケーションを作成し、PVC をマウントします。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: oss-dynamic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
             - name: pvc-oss
               mountPath: "/data"
             - name: pvc-oss
               mountPath: "/data1"
           livenessProbe:
             exec:
               command:
               - sh
               - -c
               - cd /data
             initialDelaySeconds: 30
             periodSeconds: 30
         volumes:
           - name: pvc-oss
             persistentVolumeClaim:
               claimName: pvc-oss

2. アプリケーションをデプロイします。

   kubectl apply -f oss-dynamic.yaml

3. アプリケーションレプリカのステータスをクエリします。

   kubectl get pod -lapp=nginx -w

   しばらくすると、ポッドは Running ステータスになります。

ステップ 1：OSS アクセス権限を持つ RAM ユーザーを作成し、RAM ユーザーの AccessKey ペアを取得する

OSS アクセス権限を持つ RAM ユーザーを作成し、RAM ユーザーの AccessKey ペアを取得します。次に、作成した OSS バケットにアクセスするための権限を RAM ユーザーに付与します。

1. RAM ユーザーを作成します。既存の RAM ユーザーがいる場合は、この手順をスキップできます。RAM ユーザーの作成方法の詳細については、「RAM ユーザーを作成する」をご参照ください。

2. RAM ユーザーに OSS アクセス権限を付与するカスタムポリシーを作成します。詳細については、「カスタムポリシーを作成する」をご参照ください。

   ビジネス要件に基づいて、読み取り専用ポリシーまたは読み書きポリシーを選択します。mybucket は、作成したバケットの名前に置き換えます。

   • OSS に対する読み取り専用権限を提供するポリシー

     クリックしてポリシーの内容を表示する

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • OSS に対する読み書き権限を提供するポリシー

     クリックしてポリシーの内容を表示する

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

3. オプション。OSS バケット内のオブジェクトが Key Management Service (KMS) の指定されたカスタマーマスターキー (CMK) を使用して暗号化されている場合は、RAM ユーザーに KMS アクセス権限を付与する必要があります。詳細については、「暗号化」をご参照ください。

4. RAM ユーザーに OSS アクセス権限を付与します。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

5. RAM ユーザーの AccessKey ペアを作成します。詳細については、「AccessKey ペアの作成」をご参照ください。