注意事项先决条件步骤 1：创建 IAM 角色第 2 步：获取 Amazon EFS CSI 驱动程序步骤 3：创建 Amazon EFS 文件系统第 4 步：部署示例应用程序

使用 Amazon EFS 存储弹性文件系统

Amazon Elastic File System（Amazon EFS）提供无服务器的完全弹性文件存储，因此，您无需预置或管理存储容量和性能，即可共享文件数据。Amazon EFS Container Storage Interface (CSI) 驱动程序提供了一个 CSI 接口，允许在Amazon上运行的 Kubernetes 集群管理 Amazon EFS 文件系统的生命周期。本主题介绍了如何部署 Amazon EFS CSI 驱动程序到您的 Amazon EKS 集群。

注意事项

Amazon EFS CSI 驱动程序与基于 Windows 的容器映像不兼容。
不能将持久性卷的动态预置与 Fargate 节点结合使用，但可以使用静态预置。
动态预置需要 1.2 或更高版本的驱动程序。您可以在任何受支持的 Amazon EKS 集群版本上通过 1.1 版本的驱动程序，对持久性卷使用静态预置（请参阅了解 EKS 上的 Kubernetes 版本生命周期）。
此驱动程序的 1.3.2 版或更高版本支持 Arm64 架构，包括基于 Amazon EC2 Graviton 的实例。
版本 1.4.2 或更高版本的此驱动程序支持使用 FIPS 装载文件系统。
注意 Amazon EFS 的资源配额。例如，可以为每个 Amazon EFS 文件系统创建 1000 个接入点的配额。有关更多信息，请参阅您无法更改的 Amazon EFS 资源配额。
从 2.0.0 版本开始，此驱动程序使用 stunnel 切换到 efs-proxy 进行 TLS 连接。使用 efs-proxy 时，它将打开多个线程，其数量等于一加上它正在运行的节点的内核数。
Amazon EFS CSI 驱动程序与 Amazon EKS 混合节点功能不兼容。

先决条件

Amazon EFS CSI 驱动程序需要 Amazon Identity and Access Management（IAM）权限。
- Amazon 建议使用 EKS 容器组身份。有关更多信息，请参阅 EKS 容器组身份设置概述。
- 有关服务账户的 IAM 角色以及为您的集群设置 IAM OpenID Connect（OIDC）提供者的信息，请参阅为集群创建 IAM OIDC 提供商。
在您的设备或 Amazon CloudShell 上安装和配置 Amazon 命令行界面（Amazon CLI）的版本 2.12.3 或更高版本，或版本 1.27.160 或更高版本。要查看当前版本，请使用 aws --version | cut -d / -f2 | cut -d ' ' -f1。yum、apt-get 或适用于 macOS 的 Homebrew 等软件包管理器通常比 Amazon CLI 的最新版本落后几个版本。要安装最新版本，请参阅《Amazon 命令行界面用户指南》中的安装和使用 aws configure 快速配置。Amazon CloudShell 中安装的 Amazon CLI 版本也可能比最新版本落后几个版本。要对其进行更新，请参阅《Amazon CloudShell 用户指南》中的将 Amazon CLI 安装到您的主目录。
您的设备或 Amazon CloudShell 上安装了 kubectl 命令行工具。该版本可以与集群的 Kubernetes 版本相同，或者最多早于或晚于该版本一个次要版本。例如，如果您的集群版本为 1.29，则可以将 kubectl 的 1.28、1.29 或 1.30 版本与之配合使用。要安装或升级 kubectl，请参阅设置 kubectl 和 eksctl。

注意

Fargate 上运行的容器组（pod）会自动挂载 Amazon EFS 文件系统，无需手动执行驱动程序安装步骤。

步骤 1：创建 IAM 角色

Amazon EFS CSI 驱动程序需要 IAM 权限才能与您的文件系统进行交互。创建 IAM 角色并向其附加所需的 Amazon 托管策略。要实现此过程，可以使用以下过程之一：

eksctl
Amazon Web Services Management Console
Amazon CLI

注意

此过程中的具体步骤是为将驱动程序用作 Amazon EKS 附加组件而编写的。有关自主管理型安装的详细信息，请参阅 GitHub 上的 Set up driver permission。

`eksctl`

如果使用容器组身份

使用 eksctl 运行以下命令以创建 IAM 角色和容器组身份。将 my-cluster 替换为您的集群名称。您也可以将 AmazonEKS_EFS_CSI_DriverRole 替换为其他名称。


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
eksctl create podidentityassociation \
    --service-account-name efs-csi-controller-sa \
    --namespace kube-system \
    --cluster $cluster_name \
    --role-name $role_name \
    --permission-policy-arns arn:aws-cn:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
    --approve

如果对服务账户使用 IAM 角色

使用 eksctl 运行以下命令以创建 IAM 角色。将 my-cluster 替换为您的集群名称。您也可以将 AmazonEKS_EFS_CSI_DriverRole 替换为其他名称。


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
eksctl create iamserviceaccount \
    --name efs-csi-controller-sa \
    --namespace kube-system \
    --cluster $cluster_name \
    --role-name $role_name \
    --role-only \
    --attach-policy-arn arn:aws-cn:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
    --approve
TRUST_POLICY=$(aws iam get-role --output json --role-name $role_name --query 'Role.AssumeRolePolicyDocument' | \
    sed -e 's/efs-csi-controller-sa/efs-csi-*/' -e 's/StringEquals/StringLike/')
aws iam update-assume-role-policy --role-name $role_name --policy-document "$TRUST_POLICY"

Amazon Web Services Management Console

使用 Amazon Web Services Management Console 运行以下命令以创建 IAM 角色。

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。
在左侧导航窗格中，选择 Roles（角色）。
在 Roles（角色）页面上，选择 Create role（创建角色）。
在 Select trusted entity（选择受信任的实体）页面上，请执行以下操作：
1. 如果使用 EKS 容器组身份：
  1. 在可信实体类型部分中，选择 Amazon 服务。
  2. 在服务或应用场景下拉列表中，选择 EKS。
  3. 在应用场景部分中，选择 EKS – 容器组身份。
  4. 选择下一步。
2. 如果对服务账户使用 IAM 角色：
  1. 在 Trusted entity type（受信任的实体类型）部分中，选择 Web identity（Web 身份）。
  2. 对于 Identity provider（身份提供商），为您的集群选择 OpenID Connect provider URL（OpenID Connect 提供程序 URL）（如 Amazon EKS 中的 Overview（概述）下所示）。
  3. 对于 Audience (受众)，请选择 sts.amazonaws.com。
  4. 选择下一步。
在 Add permissions（添加权限）页面上，请执行以下操作：
1. 在 Filter policies (筛选器策略) 框中，输入 AmazonEFSCSIDriverPolicy。
2. 选中搜索返回的 AmazonEFSCSIDriverPolicy 左侧的复选框。
3. 选择下一步。
在 Name, review, and create（命名、查看和创建）页面中，请执行以下操作：
1. 对于 Role name（角色名称），请为角色输入唯一名称，例如 AmazonEKS_EFS_CSI_DriverRole。
2. 在添加标签（可选）下，将标签作为键值对附加，以将元数据添加到角色。有关在 IAM 中使用标签的更多信息，请参阅《IAM 用户指南》中的标记 IAM 资源。
3. 选择创建角色。
创建角色后：
1. 如果使用 EKS 容器组身份：
  1. 打开 Amazon EKS 控制台。
  2. 在左侧导航窗格中，选择集群，然后为您要配置 EKS 容器组身份关联的集群选择名称。
  3. 选择访问选项卡。
  4. 在容器组身份关联中，选择创建。
  5. 选择 IAM 角色下拉列表，然后选择您新创建的角色。
  6. 选择 Kubernetes 命名空间字段并输入 kube-system。
  7. 选择 Kubernetes 服务账户字段并输入 efs-csi-controller-sa。
  8. 选择创建。
  9. 有关创建容器组身份关联的更多信息，请参阅创建容器组身份关联（Amazon 控制台）。
2. 如果对服务账户使用 IAM 角色：
  1. 选择要打开进行编辑的角色。
  2. 选择 Trust relationships（信任关系）选项卡，然后选择 Edit trust policy（编辑信任策略）。
  3. 该行看起来类似于以下行：
    
    "oidc.eks.region-code.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:aud": "sts.amazonaws.com"
    
    将以下行添加到上一行的上方。将 <region-code> 替换为集群所在的 Amazon 区域。将 <EXAMPLED539D4633E53DE1B71EXAMPLE> 替换为集群的 OIDC 提供者 ID。
    
    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:sub": "system:serviceaccount:kube-system:efs-csi-*",
  4. 将 Condition 运算符从 "StringEquals" 修改为 "StringLike"。
  5. 选择 Update policy（更新策略）以完成操作。

Amazon CLI

使用 Amazon CLI 运行以下命令以创建 IAM 角色。

如果使用容器组身份

创建向 pods.eks.amazonaws.com 服务授予 AssumeRole 和 TagSession 操作权限的 IAM 角色。

将以下内容复制到名为 aws-efs-csi-driver-trust-policy-pod-identity.json 的文件中。


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

创建角色。将 my-cluster 替换为您的集群名称。您也可以将 AmazonEKS_EFS_CSI_DriverRole 替换为其他名称。


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
aws iam create-role \
  --role-name $role_name \
  --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy-pod-identity.json"

使用以下命令以将所需的 Amazon 托管策略附加到角色。


aws iam attach-role-policy \
  --policy-arn arn:aws-cn:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name $role_name

运行以下命令以创建容器组身份关联。将 arn:aws-cn:iam::<111122223333>:role/my-role 替换为在之前步骤中创建的角色。

aws eks create-pod-identity-association --cluster-name $cluster_name --role-arn {arn-aws}iam::<111122223333>:role/my-role --namespace kube-system --service-account efs-csi-controller-sa

有关创建容器组身份关联的更多信息，请参阅创建容器组身份关联（Amazon 控制台）。

如果对服务账户使用 IAM 角色

查看集群的 OIDC 提供者 URL。将 my-cluster 替换为您的集群名称。您也可以将 AmazonEKS_EFS_CSI_DriverRole 替换为其他名称。


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
aws eks describe-cluster --name $cluster_name --query "cluster.identity.oidc.issuer" --output text

示例输出如下。


https://oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>

如果命令的输出为 None，请查看先决条件。

创建授予 AssumeRoleWithWebIdentity 操作权限的 IAM 角色。

将以下内容复制到名为 aws-efs-csi-driver-trust-policy.json 的文件中。请将 <111122223333> 替换为您的账户 ID。将 <EXAMPLED539D4633E53DE1B71EXAMPLE> 和 <region-code> 替换为在上一步中返回的值。


{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws-cn:iam::<111122223333>:oidc-provider/oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringLike": {
          "oidc.eks.region-code.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:sub": "system:serviceaccount:kube-system:efs-csi-*",
          "oidc.eks.region-code.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:aud": "sts.amazonaws.com"
        }
      }
    }
  ]
}

创建角色。


aws iam create-role \
  --role-name $role_name \
  --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy.json"

使用以下命令以将所需的 Amazon 托管策略附加到角色。


aws iam attach-role-policy \
  --policy-arn arn:aws-cn:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name $role_name

第 2 步：获取 Amazon EFS CSI 驱动程序

我们建议您通过 Amazon EKS 附加组件方式来安装 Amazon EFS CSI 驱动程序。要将 Amazon EKS 附加组件添加到您的集群，请参阅创建 Amazon EKS 附加组件。有关附加组件的更多信息，请参阅 Amazon EKS 附加组件。如果您无法使用 Amazon EKS 附加组件，我们鼓励您向容器路线图 GitHub 存储库提交有关您为什么无法使用的问题。

重要

在将 Amazon EFS 驱动程序添加为 Amazon EKS 附加组件之前，请确认集群上没有安装该驱动程序的自行管理版本。如果安装了这样的版本，请参阅 GitHub 上的 Uninstalling the Amazon EFS CSI Driver。

如果要对 Amazon EFS CSI 驱动程序进行自主管理型安装，请参阅 GitHub 上的 Installation。

步骤 3：创建 Amazon EFS 文件系统

要创建 Amazon EFS 文件系统，请参阅 GitHub 上的为 Amazon EKS 创建 Amazon EKS 文件系统。

第 4 步：部署示例应用程序

您可以部署各种示例应用程序并根据需要对其进行修改。有关更多信息，请参阅 GitHub 上的示例。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon EBS

Amazon FSx for Lustre