容器服务 Kubernetes 版 ACK：使用ossfs 1.0静态存储卷

步骤一：创建RAM角色

如果您在集群中首次使用RRSA功能，需要按照以下步骤操作，如果您已经在集群中使用过RRSA鉴权方式挂载OSS存储卷，则可以跳过本步骤。

1. 在容器服务管理控制台启用RRSA功能。请参见启用RRSA功能。

2. 为OSS存储卷RRSA鉴权新建RAM角色，即使用RRSA功能扮演的指定角色。

   创建可信实体类型为身份供应商的RAM角色，以demo-role-for-rrsa为例，主要参数说明如下，具体操作，请参见创建OIDC身份提供商的RAM角色。

   配置项	描述
   身份提供者类型	OIDC。
   身份提供者	选择ack-rrsa-<cluster_id>。其中，<cluster_id>为您的集群ID。
   条件	oidc:iss：保持默认。 oidc:aud：保持默认。 oidc:sub：需手动添加该条件。 条件键：选择oidc:sub。 运算符：选择StringEquals。 条件值：输入system:serviceaccount:<namespace>:<serviceAccountName>。其中，<namespace>为应用所在的命名空间。<serviceAccountName>为服务账户名称。根据本文测试应用的信息，此处需要填入system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs。
   角色名称	demo-role-for-rrsa。

步骤二：为demo-role-for-rrsa角色授权

1. 创建如下OSS访问的自定义权限策略。具体操作，请参见创建自定义权限策略。

   以下只读和读写权限策略请根据使用需求选择，并替换mybucket为您实际创建的Bucket名称。

   • OSS只读权限策略

     展开查看OSS只读权限策略内容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • OSS读写权限

     展开查看OSS读写权限策略内容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

2. （可选）若您使用KMS托管的指定CMK ID加密OSS Object，还需要为该RAM用户配置KMS权限。具体操作，请参见加密操作。

3. 为demo-role-for-rrsa角色授权。具体操作，请参见为RAM角色授权。

   说明

   您也可以通过修改RAM角色信任策略的方式使用已有的授权了OSS权限的RAM角色。具体操作，请参见使用已存在的RAM角色并授权。

步骤三：创建PV和PVC

1. 配置PV使用RRSA鉴权。

   1. 使用以下内容，创建配置RRSA权限认证的pv-rrsa.yaml示例文件。

      apiVersion: v1
      kind: PersistentVolume
      metadata:
        name: pv-oss
        labels:    
          alicloud-pvname: pv-oss
      spec:
        capacity:
          storage: 5Gi
        accessModes:
          - ReadOnlyMany
        persistentVolumeReclaimPolicy: Retain
        csi:
          driver: ossplugin.csi.alibabacloud.com
          volumeHandle: pv-oss # 需和PV名字一致。
          volumeAttributes:
            bucket: "oss" # 替换为实际Bucket名称。
            path: /
            url: "oss-cn-hangzhou.aliyuncs.com"
            otherOpts: "-o umask=022 -o max_stat_cache_size=0 -o allow_other"
            authType: "rrsa"
            roleName: "demo-role-for-rrsa"

      参数	描述
      name	PV的名称。
      labels	配置PV的标签。
      storage	OSS的可使用量。
      accessModes	配置访问模式，支持ReadOnlyMany和ReadWriteMany。 选择ReadOnlyMany时，ossfs将以只读模式挂载OSS Bucket。
      persistentVolumeReclaimPolicy	PV回收策略，当前OSS存储卷仅支持Retain，即删除PVC时，PV和OSS Bucket中的数据不会被删除。
      driver	定义驱动类型。取值为ossplugin.csi.alibabacloud.com，表示使用阿里云OSS CSI插件。
      volumeHandle	需和PV名字一致。
      bucket	需要挂载的OSS Bucket。
      path	表示挂载时相对Bucket根文件的目录结构，默认为/（v1.14.8.32-c77e277b-aliyun及之后版本的CSI组件支持）。 ossfs 1.91版本前，该路径需在OSS侧预先创建，详情请参见ossfs 1.0新版本功能介绍及性能压测。
      url	挂载OSS的Endpoint，Endpoint以OSS控制台Bucket概览页为准。 挂载节点和Bucket相同地域，或已打通VPC网络时，请使用内网地址。 挂载节点和Bucket不同地域时，请使用外网地址。 不同访问端口的常见填写格式如下： 内网格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外网格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的内网访问端口格式已废弃，请及时切换。
      otherOpts	您可以为OSS存储卷输入定制化参数，格式为-o *** -o ***，例如-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：用于更改ossfs读文件的权限。例如，设置umask=022后，ossfs文件的权限都会变更为755。通过SDK、OSS控制台等其他方式上传的文件在ossfs中默认权限均为640。因此，建议您在读写分离场景中配置umask权限。 max_stat_cache_size：用于指定文件元数据的缓存空间，可缓存多少个文件的元数据。元数据缓存可加快ls操作速度。但若通过OSS、SDK、控制台、ossutil等方式修改文件，可能会导致元数据未被及时更新。 allow_other：赋予计算机上其他用户访问挂载目录的权限，但不包含目录内的文件。 更多可选参数，请参见ossfs挂载选项说明。
      authType	配置为rrsa，声明使用RRSA方式鉴权。
      roleName	配置为以上步骤一：创建RAM角色中已创建或修改的RAM角色名称。若您需要为不同的PV配置不同的权限，可以创建不同的RAM角色，在PV中配置不同的roleName。
      sigVersion	请求OSS服务端的请求签名版本，支持的值为： "v1"：默认，使用OSS签名版本1。详情请参见签名版本1。 "v4"：使用OSS前面版本4。详情请参见签名版本4（推荐）。

      说明

      如果您需要在RRSA鉴权方式中使用指定的ARNs或ServiceAccount，相关操作，请参见如何在RRSA鉴权方式中使用指定的ARNs或ServiceAccount？。

   2. 在PV中配置RRSA进行权限认证。

      kubectl create -f pv-rrsa.yaml

2. 创建存储声明PVC。

   kubectl create -f pvc-oss.yaml

   以下为创建存储声明PVC的pvc-oss.yaml示例文件。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
       - ReadOnlyMany
     resources:
       requests:
         storage: 5Gi
     selector:
       matchLabels:
         alicloud-pvname: pv-oss

   参数	说明
   name	PVC的名称。
   accessModes	配置访问模式，支持ReadOnlyMany和ReadWriteMany。 选择ReadOnlyMany时，ossfs将以只读模式挂载OSS Bucket。
   storage	声明应用使用量，不能大于存储卷的总量。
   alicloud-pvname	通过标签关联PV，与PV标签保持一致。

步骤四：创建应用

创建一个名为oss-static的应用并挂载PVC。

kubectl create -f oss-static.yaml

oss-static.yaml示例如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: oss-static
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
        ports:
        - containerPort: 80
        volumeMounts:
          - name: pvc-oss
            mountPath: "/data"
          - name: pvc-oss
            mountPath: "/data1"
        livenessProbe:
          exec:
            command:
            - sh
            - -c
            - cd /data
          initialDelaySeconds: 30
          periodSeconds: 30
      volumes:
        - name: pvc-oss
          persistentVolumeClaim:
            claimName: pvc-oss

• livenessProbe：配置健康检查。更多信息，请参见OSS存储卷。

• mountPath：OSS在容器中挂载的位置。

• claimName：PVC的名称，用于绑定PVC。

步骤一：创建具有OSS访问权限的RAM用户并获取AccessKey

您需要首先获取RAM用户的AccessKey信息，以使其拥有OSS Bucket的操作权限。

1. 创建RAM用户，如已创建可跳过。具体操作，请参见创建RAM用户。

2. 创建如下OSS访问的自定义权限策略。具体操作，请参见创建自定义权限策略。

   以下只读和读写权限策略请根据使用需求选择，并替换mybucket为您实际创建的Bucket名称。

   • OSS只读权限策略

     展开查看OSS只读权限策略内容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • OSS读写权限

     展开查看OSS读写权限策略内容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

3. （可选）若您使用KMS托管的指定CMK ID加密OSS Object，还需要为该RAM用户配置KMS权限。具体操作，请参见加密操作。

4. 为RAM用户添加OSS权限。具体操作，请参见为RAM用户授权。

5. 为RAM用户创建AccessKey。具体操作，请参见获取AccessKey。

步骤二：创建PV和PVC并挂载

您可以通过控制台和kubectl两种方式创建存储卷、存储声明并挂载至应用中。

kubectl create -f oss-static.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: oss-static
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
        ports:
        - containerPort: 80
        volumeMounts:
          - name: pvc-oss
            mountPath: "/data"
          - name: pvc-oss
            mountPath: "/data1"
        livenessProbe:
          exec:
            command:
            - sh
            - -c
            - cd /data
          initialDelaySeconds: 30
          periodSeconds: 30
      volumes:
        - name: pvc-oss
          persistentVolumeClaim:
            claimName: pvc-oss