Amazon EFS CSI 驱动程序

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在左侧导航窗格中，选择 Roles（角色）。

在 Roles（角色）页面上，选择 Create role（创建角色）。

在 Select trusted entity（选择受信任的实体）页面上，请执行以下操作：

1. 在 Trusted entity type（受信任的实体类型）部分中，选择 Web identity（Web 身份）。

2. 对于 Identity provider（身份提供商），为您的集群选择 OpenID Connect provider URL（提供商 URL）（如 Amazon EKS 中的 Overview（概述）下所示）。

3. 对于 Audience (受众)，请选择 sts.amazonaws.com。

4. 选择下一步。

在 Add permissions（添加权限）页面上，请执行以下操作：

1. 在 Filter policies (筛选器策略) 框中，输入 AmazonEFSCSIDriverPolicy。

2. 选中搜索返回的 AmazonEFSCSIDriverPolicy 左侧的复选框。

3. 选择下一步。

在 Name, review, and create（命名、查看和创建）页面中，请执行以下操作：

1. 对于 Role name（角色名称），请为角色输入唯一名称，例如 AmazonEKS_EFS_CSI_DriverRole。

2. 在添加标签（可选）下，将标签作为键值对附加，以将元数据添加到角色。有关在 IAM 中使用标签的更多信息，请参阅《IAM 用户指南》中的标记 IAM 资源。

3. 选择创建角色。

创建角色后，在控制台中选择角色以将其打开进行编辑。

选择 Trust relationships（信任关系）选项卡，然后选择 Edit trust policy（编辑信任策略）。

该行看起来类似于以下行：

"oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

将以下行添加到上一行的上方。将 region-code 替换为集群所在的 Amazon Web Services 区域。将 EXAMPLED539D4633E53DE1B71EXAMPLE 替换为集群的 OIDC 提供商 ID。

"oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",

将 Condition 运算符从 "StringEquals" 修改为 "StringLike"。

选择 Update policy（更新策略）以完成操作。

查看集群的 OIDC 提供商 URL。将 my-cluster 替换为您的集群名称。如果命令的输出为 None，请查看先决条件。

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

示例输出如下。

https://oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE

创建授予 AssumeRoleWithWebIdentity 操作权限的 IAM 角色。

1. 将以下内容复制到名为 aws-efs-csi-driver-trust-policy.json 的文件中。请将 111122223333 替换为您的账户 ID。将 EXAMPLED539D4633E53DE1B71EXAMPLE 和 region-code 替换为在上一步中返回的值。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringLike": {
             "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",
             "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
           }
         }
       }
     ]
   }

2. 创建角色。您可以将 AmazonEKS_EFS_CSI_DriverRole 更改为其他名称，但如果更改，请确保在后续步骤中也做出相应更改。

   aws iam create-role \
     --role-name AmazonEKS_EFS_CSI_DriverRole \
     --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy.json"
   

使用以下命令以将所需的 Amazon 托管策略附加到角色。

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name AmazonEKS_EFS_CSI_DriverRole