步驟一：創(chuàng)建RAM角色

如果您在集群中首次使用RRSA功能，需要按照以下步驟操作，如果您已經(jīng)在集群中使用過RRSA鑒權(quán)方式掛載OSS存儲卷，則可以跳過本步驟。

1. 在容器服務(wù)管理控制臺啟用RRSA功能。請參見啟用RRSA功能。

2. 為OSS存儲卷RRSA鑒權(quán)新建RAM角色，即使用RRSA功能扮演的指定角色。

   創(chuàng)建可信實體類型為身份供應(yīng)商的RAM角色，以demo-role-for-rrsa為例。

   1. 使用阿里云賬號登錄RAM控制臺。

   2. 在左側(cè)導(dǎo)航欄，選擇身份管理 > 角色，然后在角色頁面，單擊創(chuàng)建角色。

   3. 在創(chuàng)建角色面板，選擇可信實體類型為身份提供商，然后單擊下一步。

   4. 在配置角色頁面，配置如下角色信息后，單擊完成。

      本示例配置如下。

      配置項	描述
      角色名稱	demo-role-for-rrsa。
      備注	選填有關(guān)該角色的備注信息。
      身份提供商類型	OIDC。
      選擇身份提供商	ack-rrsa-<cluster_id>。其中，<cluster_id>為您的集群ID。
      限制條件	oidc:iss：保持默認(rèn)。 oidc:aud：選擇sts.aliyuncs.com。 oidc:sub：條件判定方式選擇StringEquals，此處需要填入system:serviceaccount:ack-csi-fuse:csi-fuse-ossfs。

步驟二：為demo-role-for-rrsa角色授權(quán)

1. 創(chuàng)建如下OSS訪問的自定義權(quán)限策略。具體操作，請參見創(chuàng)建自定義權(quán)限策略。

   以下只讀和讀寫權(quán)限策略請根據(jù)使用需求選擇，并替換mybucket為您實際創(chuàng)建的Bucket名稱。

   • OSS只讀權(quán)限策略

     展開查看OSS只讀權(quán)限策略內(nèi)容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權(quán)限

     展開查看OSS讀寫權(quán)限策略內(nèi)容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

2. （可選）若您使用KMS托管的指定CMK ID加密OSS Object，還需要為該RAM用戶配置KMS權(quán)限。具體操作，請參見為OSS存儲卷加密。

3. 為demo-role-for-rrsa角色授權(quán)。具體操作，請參見為RAM角色授權(quán)。

   說明

   您也可以通過修改RAM角色信任策略的方式使用已有的授權(quán)了OSS權(quán)限的RAM角色。具體操作，請參見使用已存在的RAM角色并授權(quán)。

步驟三：創(chuàng)建存儲類

1. 將以下示例保存為sc-oss-rrsa.yaml，創(chuàng)建配置RRSA權(quán)限認(rèn)證的OSS存儲類。

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: sc-oss
   parameters:
     bucket: bucket  # 替換為實際Bucket名稱。
     path: /ack
     url: oss-cn-beijing-internal.aliyuncs.com
     authType: rrsa
     roleName: demo-role-for-rrsa
     otherOpts: "-o allow_other"
     volumeAs: sharepath
   provisioner: ossplugin.csi.alibabacloud.com
   reclaimPolicy: Retain
   volumeBindingMode: Immediate

   參數(shù)	說明
   name	存儲類名稱。
   bucket	需要掛載的OSS Bucket。
   path	表示掛載時相對Bucket根文件的目錄結(jié)構(gòu)，默認(rèn)為/（v1.14.8.32-c77e277b-aliyun及之后版本的CSI組件支持）。 ossfs 1.91版本前，該路徑需在OSS側(cè)預(yù)先創(chuàng)建，詳情請參見ossfs 1.91及以上版本新功能介紹及性能壓測。
   url	掛載OSS的Endpoint，Endpoint以O(shè)SS控制臺Bucket概覽頁為準(zhǔn)。 掛載節(jié)點和Bucket相同地域，或已打通VPC網(wǎng)絡(luò)時，請使用內(nèi)網(wǎng)地址。 掛載節(jié)點和Bucket不同地域時，請使用外網(wǎng)地址。 不同訪問端口的常見填寫格式如下： 內(nèi)網(wǎng)格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外網(wǎng)格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的內(nèi)網(wǎng)訪問端口格式已廢棄，請及時切換。
   authType	配置為rrsa，聲明使用RRSA方式鑒權(quán)。
   roleName	配置為以上步驟一：創(chuàng)建RAM角色中已創(chuàng)建或修改的RAM角色名稱。若您需要為不同的StorageClass配置不同的權(quán)限，可以創(chuàng)建不同的RAM角色，在StorageClass中配置不同的roleName。
   otherOpts	您可以為OSS存儲卷輸入定制化參數(shù)，格式為-o *** -o ***，例如-o umask=022 -o max_stat_cache_size=0 -o allow_other。 umask：用于更改ossfs讀文件的權(quán)限。例如，設(shè)置umask=022后，ossfs文件的權(quán)限都會變更為755。通過SDK、OSS控制臺等其他方式上傳的文件在ossfs中默認(rèn)權(quán)限均為640。因此，建議您在讀寫分離場景中配置umask權(quán)限。 max_stat_cache_size：用于指定文件元數(shù)據(jù)的緩存空間，可緩存多少個文件的元數(shù)據(jù)。元數(shù)據(jù)緩存可加快ls操作速度。但若通過OSS、SDK、控制臺、ossutil等方式修改文件，可能會導(dǎo)致元數(shù)據(jù)未被及時更新。 allow_other：賦予計算機上其他用戶訪問掛載目錄的權(quán)限，但不包含目錄內(nèi)的文件。 更多可選參數(shù)，請參見ossfs掛載選項說明。
   provisioner	定義驅(qū)動類型。取值為ossplugin.csi.alibabacloud.com，表示使用阿里云OSS CSI插件。
   reclaimPolicy	動態(tài)創(chuàng)建的PV的回收策略。當(dāng)前OSS存儲卷僅支持Retain，即刪除PVC時，PV和OSS Bucket中的數(shù)據(jù)不會被刪除。
   volumeBindingMode	綁定模式。 OSS存儲卷無需考慮可用區(qū)間節(jié)點親和，使用默認(rèn)值Immediate即可。
   volumeAs	存儲卷訪問模式。默認(rèn)為sharepath模式。取值： sharepath：即共享方式掛載，所有存儲卷共享掛載路徑，即數(shù)據(jù)將存儲于<bucket>:<path>/下。 subpath：即子目錄方式掛載，創(chuàng)建存儲卷時在掛載路徑下自動新建子目錄，即數(shù)據(jù)將存儲于<bucket>:<path>/<pv-name>/下。 說明 subpath模式僅在CSI組件為1.31.3及以上版本時生效，否則均為sharepath模式。

2. 執(zhí)行以下命令，創(chuàng)建存儲類。

   kubetl apply -f sc-oss-rrsa.yaml

步驟四：創(chuàng)建存儲聲明

1. 將以下示例保存為pvc-oss.yaml，創(chuàng)建存儲聲明。

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: pvc-oss
   spec:
     accessModes:
     - ReadOnlyMany
     volumeMode: Filesystem
     resources:
       requests:
         storage: 20Gi
     storageClassName: sc-oss

   參數(shù)	說明
   name	PVC的名稱。
   accessModes	配置訪問模式，支持ReadOnlyMany和ReadWriteMany。 選擇ReadOnlyMany時，ossfs將以只讀模式掛載OSS Bucket。
   storage	聲明應(yīng)用的使用量，此處設(shè)置的大小不會限制應(yīng)用可使用的最大容量。
   storageClassName	使用的存儲類名稱。

2. 執(zhí)行以下命令，創(chuàng)建存儲聲明。

   kubectl apply -f pvc-oss.yaml

3. 執(zhí)行以下命令，確認(rèn)PVC已創(chuàng)建且進(jìn)入綁定狀態(tài)。

   kubectl get pvc pvc-oss

   預(yù)期輸出：

   NAME           STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS         VOLUMEATTRIBUTESCLASS   AGE
   pvc-oss        Bound    oss-251d111d-3b0b-4879-81a0-eb5a19xxxxxx   20Gi       ROX            oss-rrsa             <unset>                 4d20h

步驟五：創(chuàng)建應(yīng)用

1. 將以下示例保存為oss-dynamic.yaml文件，創(chuàng)建應(yīng)用并掛載存儲聲明。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: oss-dynamic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
             - name: pvc-oss
               mountPath: "/data"
             - name: pvc-oss
               mountPath: "/data1"
           livenessProbe:
             exec:
               command:
               - sh
               - -c
               - cd /data
             initialDelaySeconds: 30
             periodSeconds: 30
         volumes:
           - name: pvc-oss
             persistentVolumeClaim:
               claimName: pvc-oss

2. 執(zhí)行以下命令，部署應(yīng)用。

   kubectl apply -f oss-dynamic.yaml

3. 執(zhí)行以下命令，查詢應(yīng)用副本的運行狀態(tài)。

   kubectl get pod -lapp=nginx -w

   預(yù)期一段時間后，Pod進(jìn)入Running狀態(tài)。

步驟一：創(chuàng)建具有OSS訪問權(quán)限的RAM用戶并獲取AccessKey

您需要首先獲取RAM用戶的AccessKey信息，以使其擁有OSS Bucket的操作權(quán)限。

1. 創(chuàng)建RAM用戶，如已創(chuàng)建可跳過。具體操作，請參見創(chuàng)建RAM用戶。

2. 創(chuàng)建如下OSS訪問的自定義權(quán)限策略。具體操作，請參見創(chuàng)建自定義權(quán)限策略。

   以下只讀和讀寫權(quán)限策略請根據(jù)使用需求選擇，并替換mybucket為您實際創(chuàng)建的Bucket名稱。

   • OSS只讀權(quán)限策略

     展開查看OSS只讀權(quán)限策略內(nèi)容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

   • OSS讀寫權(quán)限

     展開查看OSS讀寫權(quán)限策略內(nèi)容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ],
             }
         ],
         "Version": "1"
     }

3. （可選）若您使用KMS托管的指定CMK ID加密OSS Object，還需要為該RAM用戶配置KMS權(quán)限。具體操作，請參見為OSS存儲卷加密。

4. 為RAM用戶添加OSS權(quán)限。具體操作，請參見為RAM用戶授權(quán)。

5. 為RAM用戶創(chuàng)建AccessKey。具體操作，請參見獲取AccessKey。