Container Service for Kubernetes:ossfs 2.0 を使用した ACK クラスター内での動的 OSS ボリュームのマウント

ステップ 1：RAM ロールの作成

このクラスターで既に RRSA を使用して OSS ボリュームをマウント済みの場合は、このステップはスキップ可能です。

1. 「RRSA 機能の有効化」を ACK コンソールで行います。

2. OIDC ID プロバイダー用の RAM ロールを作成する。サンプルロール demo-role-for-rrsa に以下のパラメーターを使用します：

   パラメーター	値
   ID プロバイダーの種類	OIDC
   ID プロバイダー	ご利用のクラスターに関連付けられたプロバイダー（例： ack-rrsa-<cluster_id>
   oidc:iss	デフォルト値のままにします
   oidc:aud	デフォルト値のままにします
   oidc:sub — キー	oidc:sub
   oidc:sub — 演算子	StringEquals
   oidc:sub — 値	system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs を入力します。名前空間 ack-csi-fuse は固定されており、カスタマイズできません。サービスアカウント名 csi-fuse-ossfsossfs 2.0 ボリュームに関するよくある質問 は変更可能です — 詳細については、「」をご参照ください。
   ロール名	demo-role-for-rrsa

ステップ 2：RAM ロールへの OSS 権限の付与

1. カスタムポリシーを作成する ことで、ロールに OSS アクセスを付与します。 mybucket を実際のバケット名に置き換えます。

   • 読み取り専用アクセス

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • 読み取り／書き込みアクセス

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

2. (任意) バケット内のオブジェクトが Key Management Service (KMS) のカスタマーマスターキー (CMK) で暗号化されている場合は、KMS へのアクセスも許可します。詳細については、「暗号化」をご参照ください。

3. demo-role-for-rrsa ロールにカスタムポリシーを付与する.

   説明

   すでに OSS へのアクセス権を持つ既存の RAM ロールを再利用するには、代わりにその信頼ポリシーを変更してください。詳細については、「既存の RAM ロールを使用し、RAM ロールに必要な権限を付与する」をご参照ください。

ステップ 3：ストレージクラス（StorageClass）の作成

1. ossfs2-sc-rrsa.yaml を作成します：

   パラメーター	必須	説明	省略時のデフォルト／動作
   bucket	はい	マウント対象の OSS バケット名	—
   path	はい	バケット内のベースパスです。volumeAs: sharepath を指定すると、各 PV にはこのパス配下に /ack/<pv-name>	空欄の場合はバケットルートをマウント
   url	はい	OSS バケットのエンドポイント。クラスターとバケットが同一リージョンにある場合、または仮想プライベートクラウド（VPC）経由で接続されている場合は、内部エンドポイント（http://oss-<region>-internal.aliyuncs.com）を使用します。クロスリージョンアクセスには、パブリックエンドポイント（http://oss-<region>.aliyuncs.com）を使用します。 説明 vpc100-oss-<region>.aliyuncs.com 形式の内部エンドポイントは非推奨です。新しい形式へ切り替えてください。	—
   fuseType	はい	ossfs 2.0 クライアントを使用するには、必ず ossfs2 を指定します	—
   authType	はい	rrsa	—
   roleName	はい	偽装する RAM ロール。PV ごとに異なる権限を割り当てるには、各権限セットに対して個別の RAM ロールを作成し、ここに指定します。	—
   volumeAs	いいえ	sharepath を指定すると、各 PV が path	—
   otherOpts	いいえ	追加のマウントオプション（フォーマット：-o <flag> -o <flag>）。詳細については、「ossfs 2.0 のマウントオプション	追加オプションなし

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: ossfs2-sc
   parameters:
     bucket: cnfs-oss-test          # ご利用の OSS バケット名。
     path: /subpath                 # マウント対象のサブディレクトリ。空欄の場合はバケットルートをマウントします。
     url: oss-cn-hangzhou-internal.aliyuncs.com  # 内部エンドポイント（同一リージョンまたは VPC 接続）；クロスリージョンにはパブリックエンドポイントを使用します。
     authType: rrsa
     roleName: demo-role-for-rrsa  # ステップ 1 で作成した RAM ロール。
     fuseType: ossfs2              # ossfs 2.0 クライアントを使用するには、必ず ossfs2 を指定します。
     volumeAs: sharepath           # 各 PV は path 下に一意のサブディレクトリ（例：/subpath/ack/<pv-name>）を作成します。
     otherOpts: "-o close_to_open=false"  # false（デフォルト）：遅延を抑えるためメタデータをキャッシュ。true：ファイルオープン毎に最新のメタデータをフェッチ（遅延および API コスト増加）。
   provisioner: ossplugin.csi.alibabacloud.com  # 固定値。
   reclaimPolicy: Retain           # Retain のみがサポートされます。PVC の削除は PV や OSS データの削除を伴いません。
   volumeBindingMode: Immediate    # OSS ボリュームにはゾーンベースのノードアフィニティ要件はありません。

   以下の表は、parameters フィールドについて説明しています。

2. ストレージクラス（StorageClass）を適用します：

   kubectl create -f ossfs2-sc-rrsa.yaml

3. ストレージクラス（StorageClass）が正しく作成されたことを確認します：

   kubectl get sc ossfs2-sc

   期待される出力：

   NAME        PROVISIONER                      RECLAIMPOLICY   VOLUMEBINDINGMODE   ALLOWVOLUMEEXPANSION   AGE
   ossfs2-sc   ossplugin.csi.alibabacloud.com   Retain          Immediate                                  10s

ステップ 4：永続ボリューム要求（PVC）の作成

PVC の作成により、基盤となる PV の自動プロビジョニングがトリガーされます。

1. ossfs2-pvc-dynamic.yaml を作成します：

   kind: PersistentVolumeClaim
   apiVersion: v1
   metadata:
     name: pvc-ossfs2
     namespace: default
   spec:
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 20Gi
     storageClassName: ossfs2-sc

2. PVC を作成します：

   kubectl create -f ossfs2-pvc-dynamic.yaml

3. PVC が自動作成された PV にバインドされていることを確認します：

   kubectl get pvc pvc-ossfs2

   期待される出力：

   NAME        STATUS   VOLUME                   CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   pvc-ossfs2  Bound    d-bp17y03tpy2b8x******   20Gi       RWX            ossfs2-sc      25s

ステップ 5：アプリケーションへのボリュームのマウント

1. ossfs2-test.yaml を作成します。以下の StatefulSet は、PVC を /data にマウントします：

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2

2. アプリケーションをデプロイします：

   kubectl create -f ossfs2-test.yaml

3. Pod が実行中であることを確認します：

   kubectl get pod -l app=ossfs2-test

   期待される出力：

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          2m

4. マウントポイントへの読み取り／書き込みアクセスを確認します：

   # テストファイルの作成
   kubectl exec -it ossfs2-test-0 -- touch /data/test.txt
   # マウントポイントのファイル一覧表示
   kubectl exec -it ossfs2-test-0 -- ls /data

   出力に test.txt が含まれている場合、ボリュームが正しくマウントされ、書き込み可能であることが確認できます。

ステップ 1：RAM ユーザーの作成および認証情報のシークレットへの保存

kubectl create -n default secret generic oss-secret \
  --from-literal='akId=<your-access-key-id>' \
  --from-literal='akSecret=<your-access-key-secret>'

ステップ 2：ストレージクラス（StorageClass）の作成

1. ossfs2-sc.yaml を作成します：

   シークレット構成

   パラメーター	必須	説明
   csi.storage.k8s.io/node-publish-secret-name	はい	AccessKey を格納するシークレットの名前
   csi.storage.k8s.io/node-publish-secret-namespace	はい	シークレットが配置されている名前空間

   ボリューム構成

   パラメーター	必須	説明	省略時のデフォルト／動作
   fuseType	はい	ossfs 2.0 クライアントを使用するには、必ず ossfs2 を指定します	—
   bucket	はい	マウント対象の OSS バケット名	—
   path	いいえ	バケットルートからの相対パスで指定するマウントパス	空欄の場合はバケットルートをマウント
   url	はい	OSS バケットのエンドポイント。同一リージョンまたは VPC 接続の場合は内部エンドポイント（http://oss-<region>-internal.aliyuncs.com）、クロスリージョンの場合はパブリックエンドポイント（http://oss-<region>.aliyuncs.com）をご利用ください。 説明 vpc100-oss-<region>.aliyuncs.com 形式の内部エンドポイントは非推奨です。	—
   otherOpts	いいえ	追加のマウントオプション。フォーマットは-o <flag> -o <flag>です。利用可能なすべてのオプションについては、「ossfs 2.0 マウントオプション	追加オプションなし

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: ossfs2-sc
   parameters:
     csi.storage.k8s.io/node-publish-secret-name: oss-secret       # 上記で作成したシークレット。
     csi.storage.k8s.io/node-publish-secret-namespace: default      # シークレットが配置されている名前空間。
     fuseType: ossfs2              # ossfs 2.0 クライアントを使用するには、必ず ossfs2 を指定します。
     bucket: cnfs-oss-test         # ご利用の OSS バケット名。
     path: /subpath                # マウント対象のサブディレクトリ。空欄の場合はバケットルートをマウントします。
     url: oss-cn-hangzhou-internal.aliyuncs.com  # 内部エンドポイント（同一リージョンまたは VPC 接続）；クロスリージョンにはパブリックエンドポイントを使用します。
     otherOpts: "-o close_to_open=false"  # false（デフォルト）：遅延を抑えるためメタデータをキャッシュ。true：ファイルオープン毎に最新のメタデータをフェッチ（遅延および API コスト増加）。
   provisioner: ossplugin.csi.alibabacloud.com  # 固定値。
   reclaimPolicy: Retain           # Retain のみがサポートされます。PVC の削除は PV や OSS データの削除を伴いません。
   volumeBindingMode: Immediate    # OSS ボリュームにはゾーンベースのノードアフィニティ要件はありません。

2. ストレージクラス（StorageClass）を作成します：

   kubectl create -f ossfs2-sc.yaml

ステップ 3：永続ボリューム要求（PVC）の作成

1. ossfs2-pvc-dynamic.yaml を作成します：

   kind: PersistentVolumeClaim
   apiVersion: v1
   metadata:
     name: pvc-ossfs2
     namespace: default
   spec:
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 20Gi
     storageClassName: ossfs2-sc

2. PVC を作成します：

   kubectl create -f ossfs2-pvc-dynamic.yaml

3. PVC がバインドされていることを確認します：

   kubectl get pvc pvc-ossfs2

   期待される出力：

   NAME        STATUS   VOLUME                   CAPACITY   ACCESS MODES   STORAGECLASS   AGE
   pvc-ossfs2  Bound    d-bp17y03tpy2b8x******   20Gi       RWX            ossfs2-sc      25s

ステップ 4：アプリケーションへのボリュームのマウント

1. ossfs2-test.yaml を作成します：

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2

2. アプリケーションをデプロイします：

   kubectl create -f ossfs2-test.yaml

3. Pod が実行中であることを確認します：

   kubectl get pod -l app=ossfs2-test

   期待される出力：

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          2m

4. 読み取り／書き込みアクセスを確認します：

   # テストファイルの作成
   kubectl exec -it ossfs2-test-0 -- touch /data/test.txt
   # マウントポイントのファイル一覧表示
   kubectl exec -it ossfs2-test-0 -- ls /data

   出力に test.txt が含まれている場合、ボリュームが正しくマウントされ、書き込み可能であることが確認できます。