步驟一：創建RAM角色

如果您在集群中首次使用RRSA功能，需要按照以下步驟操作，如果您已經在集群中使用過RRSA鑒權方式掛載OSS存儲卷，則可以跳過本步驟。

1. 在容器服務管理控制臺啟用RRSA功能。請參見啟用RRSA功能。

2. 為OSS存儲卷RRSA鑒權新建RAM角色，即使用RRSA功能扮演的指定角色。

   創建可信實體類型為身份供應商的RAM角色，以demo-role-for-rrsa為例。

   1. 使用阿里云賬號登錄RAM控制臺。

   2. 在左側導航欄，選擇身份管理 > 角色，然后在角色頁面，單擊創建角色。

   3. 在創建角色面板，選擇可信實體類型為身份提供商，然后單擊下一步。

   4. 在配置角色頁面，配置如下角色信息后，單擊完成。

      本示例配置如下。

      配置項	描述
      角色名稱	demo-role-for-rrsa。
      備注	選填有關該角色的備注信息。
      身份提供商類型	OIDC。
      選擇身份提供商	ack-rrsa-<cluster_id>。其中，<cluster_id>為您的集群ID。
      限制條件	oidc:iss：保持默認。 oidc:aud：選擇sts.aliyuncs.com。 oidc:sub：條件判定方式選擇StringEquals，此處需要填入system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs。

步驟二：為demo-role-for-rrsa角色授權

1. 創建如下OSS訪問的自定義權限策略。具體操作，請參見創建自定義權限策略。

   以下只讀和讀寫權限策略請根據使用需求選擇，并替換mybucket為您實際創建的Bucket名稱。

   • OSS只讀權限策略

     展開查看OSS只讀權限策略內容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權限

     展開查看OSS讀寫權限策略內容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

2. （可選）若您使用KMS托管的指定CMK ID加密OSS Object，還需要為該RAM用戶配置KMS權限。具體操作，請參見為OSS存儲卷加密。

3. 為demo-role-for-rrsa角色授權。具體操作，請參見為RAM角色授權。

   說明

   您也可以通過修改RAM角色信任策略的方式使用已有的授權了OSS權限的RAM角色。具體操作，請參見使用已存在的RAM角色并授權。

步驟三：創建PV和PVC

1. 配置PV使用RRSA鑒權。

   1. 使用以下內容，創建配置RRSA權限認證的pv-rrsa.yaml示例文件。

      apiVersion: v1
      kind: PersistentVolume
      metadata:
        name: pv-oss
        labels:    
          alicloud-pvname: pv-oss
      spec:
        capacity:
          storage: 5Gi
        accessModes:
          - ReadOnlyMany
        persistentVolumeReclaimPolicy: Retain
        csi:
          driver: ossplugin.csi.alibabacloud.com
          volumeHandle: pv-oss # 需要和PV名字一致。
          volumeAttributes:
            bucket: "oss" # 替換為實際Bucket名稱。
            path: /
            url: "oss-cn-hangzhou.aliyuncs.com"
            otherOpts: "-o umask=022 -o max_stat_cache_size=0 -o allow_other"
            authType: "rrsa"
            roleName: "demo-role-for-rrsa"

      參數	描述
      name	PV的名稱。
      labels	配置PV的標簽。
      storage	OSS的可使用量。
      accessModes	配置訪問模式，支持ReadOnlyMany和ReadWriteMany。 選擇ReadOnlyMany時，ossfs將以只讀模式掛載OSS Bucket。
      persistentVolumeReclaimPolicy	PV回收策略，當前OSS存儲卷僅支持Retain，即刪除PVC時，PV和OSS Bucket中的數據不會被刪除。
      driver	定義驅動類型。取值為ossplugin.csi.alibabacloud.com，表示使用阿里云OSS CSI插件。
      volumeHandle	配置PV的名稱。
      bucket	需要掛載的OSS Bucket。
      path	表示掛載時相對Bucket根文件的目錄結構，默認為/（v1.14.8.32-c77e277b-aliyun及之后版本的CSI組件支持）。 ossfs 1.91版本前，該路徑需在OSS側預先創建，詳情請參見ossfs 1.91及以上版本新功能介紹及性能壓測。
      url	掛載OSS的Endpoint，Endpoint以OSS控制臺Bucket概覽頁為準。 掛載節點和Bucket相同地域，或已打通VPC網絡時，請使用內網地址。 掛載節點和Bucket不同地域時，請使用外網地址。 不同訪問端口的常見填寫格式如下： 內網格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外網格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的內網訪問端口格式已廢棄，請及時切換。
      otherOpts	您可以為OSS存儲卷輸入定制化參數，格式為-o *** -o ***，例如-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：用于更改ossfs讀文件的權限。例如，設置umask=022后，ossfs文件的權限都會變更為755。通過SDK、OSS控制臺等其他方式上傳的文件在ossfs中默認權限均為640。因此，建議您在讀寫分離場景中配置umask權限。 max_stat_cache_size：用于指定文件元數據的緩存空間，可緩存多少個文件的元數據。元數據緩存可加快ls操作速度。但若通過OSS、SDK、控制臺、ossutil等方式修改文件，可能會導致元數據未被及時更新。 allow_other：賦予計算機上其他用戶訪問掛載目錄的權限，但不包含目錄內的文件。 更多可選參數，請參見ossfs掛載選項說明。
      authType	配置為rrsa，聲明使用RRSA方式鑒權。
      roleName	配置為以上步驟一：創建RAM角色中已創建或修改的RAM角色名稱。若您需要為不同的PV配置不同的權限，可以創建不同的RAM角色，在PV中配置不同的roleName。

      說明

      如果您需要在RRSA鑒權方式中使用指定的ARNs或ServiceAccount，相關操作，請參見如何在RRSA鑒權方式中使用指定的ARNs或ServiceAccount？。

   2. 執行以下命令，在PV中配置RRSA進行權限認證。

      kubectl create -f pv-rrsa.yaml

2. 執行以下命令創建靜態卷PVC。

   kubectl create -f pvc-oss.yaml

   以下為創建靜態卷PVC的pvc-oss.yaml示例文件。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
       - ReadOnlyMany
     resources:
       requests:
         storage: 5Gi
     selector:
       matchLabels:
         alicloud-pvname: pv-oss

   參數	說明
   name	PVC的名稱。
   accessModes	配置訪問模式，支持ReadOnlyMany和ReadWriteMany。 選擇ReadOnlyMany時，ossfs將以只讀模式掛載OSS Bucket。
   storage	聲明應用使用量，不能大于存儲卷的總量。
   alicloud-pvname	通過標簽關聯PV，與PV標簽保持一致。

   在集群管理頁左側導航欄選擇存儲 > 存儲聲明，在存儲聲明頁面可以看到創建的PVC。

步驟一：創建具有OSS訪問權限的RAM用戶并獲取AccessKey

您需要首先獲取RAM用戶的AccessKey信息，以使其擁有OSS Bucket的操作權限。

1. 創建RAM用戶，如已創建可跳過。具體操作，請參見創建RAM用戶。

2. 創建如下OSS訪問的自定義權限策略。具體操作，請參見創建自定義權限策略。

   以下只讀和讀寫權限策略請根據使用需求選擇，并替換mybucket為您實際創建的Bucket名稱。

   • OSS只讀權限策略

     展開查看OSS只讀權限策略內容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權限

     展開查看OSS讀寫權限策略內容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

3. （可選）若您使用KMS托管的指定CMK ID加密OSS Object，還需要為該RAM用戶配置KMS權限。具體操作，請參見為OSS存儲卷加密。

4. 為RAM用戶添加OSS權限。具體操作，請參見為RAM用戶授權。

5. 為RAM用戶創建AccessKey。具體操作，請參見獲取AccessKey。

步驟二：創建PV和PVC并掛載

您可以通過控制臺和kubectl兩種方式創建存儲卷、存儲聲明并掛載至應用中。

kubectl create -f oss-static.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: oss-static
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
        ports:
        - containerPort: 80
        volumeMounts:
          - name: pvc-oss
            mountPath: "/data"
          - name: pvc-oss
            mountPath: "/data1"
        livenessProbe:
          exec:
            command:
            - sh
            - -c
            - cd /data
          initialDelaySeconds: 30
          periodSeconds: 30
      volumes:
        - name: pvc-oss
          persistentVolumeClaim:
            claimName: pvc-oss