适用于 Amazon S3 的 Mountpoint CSI 驱动程序

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在左侧导航窗格中，选择 Roles（角色）。

在 Roles（角色）页面上，选择 Create role（创建角色）。

在 Select trusted entity（选择受信任的实体）页面上，请执行以下操作：

1. 在 Trusted entity type（受信任的实体类型）部分中，选择 Web identity（Web 身份）。

2. 对于 Identity provider（身份提供商），为您的集群选择 OpenID Connect provider URL（提供商 URL）（如 Amazon EKS 中的 Overview（概述）下所示）。

   如果未显示 URL，请查看先决条件部分。

3. 对于 Audience (受众)，请选择 sts.amazonaws.com。

4. 选择下一步。

在 Add permissions（添加权限）页面上，请执行以下操作：

1. 在 Filter policies (筛选器策略) 框中，输入 AmazonS3CSIDriverPolicy。

   注意

   在上一节中创建了此策略。

2. 选中搜索返回的 AmazonS3CSIDriverPolicy 结果左侧的复选框。

3. 选择下一步。

在 Name, review, and create（命名、查看和创建）页面中，请执行以下操作：

1. 对于 Role name（角色名称），请为角色输入唯一名称，例如 AmazonEKS_S3_CSI_DriverRole。

2. 在添加标签（可选）下，将标签作为键值对附加，以将元数据添加到角色。有关在 IAM 中使用标签的更多信息，请参阅《IAM 用户指南》中的标记 IAM 资源。

3. 选择创建角色。

创建角色后，在控制台中选择角色以将其打开进行编辑。

选择 Trust relationships（信任关系）选项卡，然后选择 Edit trust policy（编辑信任策略）。

该行看起来类似于以下行：

"oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

在上一行末尾添加逗号，然后在逗号后添加下一行。将 region-code 替换为集群所在的 Amazon Web Services 区域。将 EXAMPLED539D4633E53DE1B71EXAMPLE 替换为集群的 OIDC 提供商 ID。

"oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:s3-csi-*"

将 Condition 运算符从 "StringEquals" 变更为 "StringLike"。

选择 Update policy（更新策略）以完成操作。

查看集群的 OIDC 提供商 URL。将 my-cluster 替换为您的集群名称。如果命令的输出为 None，请查看先决条件。

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

示例输出如下。

https://oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE

创建 IAM 角色，从而向 Kubernetes 服务账户授予 AssumeRoleWithWebIdentity 操作权限。

1. 将以下内容复制到名为 aws-s3-csi-driver-trust-policy.json 的文件中。请将 111122223333 替换为您的账户 ID。将 EXAMPLED539D4633E53DE1B71EXAMPLE 和 region-code 替换为在上一步中返回的值。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringLike": {
             "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:s3-csi-*",
             "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
           }
         }
       }
     ]
   }

2. 创建角色。您可以将 AmazonEKS_S3_CSI_DriverRole 更改为其他名称，但如果更改，请确保在后续步骤中也做出相应更改。

   aws iam create-role \
     --role-name AmazonEKS_S3_CSI_DriverRole \
     --assume-role-policy-document file://"aws-s3-csi-driver-trust-policy.json"
   

使用以下命令将之前创建的 IAM 策略附加到角色。

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3CSIDriverPolicy \
  --role-name AmazonEKS_S3_CSI_DriverRole

如果您将驱动程序作为 Amazon EKS 附加组件安装，则跳过此步骤。对于自行管理的驱动程序安装，请创建 Kubernetes 服务账户并使用您创建的 IAM 角色的 ARN 进行注释。

1. 将以下内容保存到名为 mountpoint-s3-service-account.yaml 的文件中。请将 111122223333 替换为您的账户 ID。

   ---
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     labels:
       app.kubernetes.io/name: aws-mountpoint-s3-csi-driver
     name: mountpoint-s3-csi-controller-sa
     namespace: kube-system
     annotations:
       eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKS_S3_CSI_DriverRole
   
       

2. 在集群上创建 Kubernetes 服务账户。使用您创建的名为 AmazonEKS_S3_CSI_DriverRole 的 IAM 角色对 Kubernetes 服务账户（mountpoint-s3-csi-controller-sa）进行注释。

   kubectl apply -f mountpoint-s3-service-account.yaml
   

   注意

   在此过程中部署插件后，系统会创建一个名为 s3-csi-driver-sa 的服务账户，并将其配置为使用该服务账户。

访问 https://console.aws.amazon.com/eks/home#/clusters 打开 Amazon EKS 控制台。

在左侧导航窗格中，选择集群。

选择要为其配置适用于 Amazon S3 CSI 的 Mountpoint 附加组件的集群名称。

选择附加组件选项卡。

选择获取更多附加组件。

在选择附加组件页面上，执行以下操作：

1. 在 Amazon EKS 附加组件部分，选择适用于 Amazon S3 CSI 驱动程序的 Mountpoint复选框。

2. 选择下一步。

在配置选定的附加组件设置页面上，执行以下操作：

1. 选择您想使用的 Version（版本）。

2. 对于选择 IAM 角色，选择要将适用于 Amazon EBS CSI 驱动程序的 Mountpoint IAM 策略附加到的 IAM 角色的名称。

3. （可选）展开可选配置设置。如果对冲突解决方法选择覆盖，则可能用 Amazon EKS 附加组件设置覆盖现有附加组件的一个或多个设置。如果不启用此选项，并且与现有设置存在冲突，则操作将失败。您可以使用生成的错误消息对冲突进行故障排除。在选择此选项之前，请确保 Amazon EKS 附加组件不会管理您需要自行管理的设置。

4. 选择下一步。

在查看和添加页面上，选择创建。附加组件安装完成后，您将看到已安装的附加组件。

访问 https://console.aws.amazon.com/eks/home#/clusters 打开 Amazon EKS 控制台。

在左侧导航窗格中，选择集群。

选择要为其移除 Amazon EBS CSI 附加组件的集群名称。

选择附加组件选项卡。

选择适用于 Amazon S3 CSI 驱动程序的 Mountpoint。

选择移除。

在删除：aws-mountpoint-s3-csi-driver 确认对话框中，执行以下操作：

1. 如果希望 Amazon EKS 停止管理附加组件设置，请选择在集群上保留。如果要在集群上保留附加组件软件，请执行此操作。这样您可以自行管理附加组件的所有设置。

2. 输入 aws-mountpoint-s3-csi-driver。

3. 选择移除。