将 Amazon S3 文件系统存储与 Amazon EFS CSI 驱动程序配合使用

如果使用 EKS 容器组身份：

如果对服务账户使用 IAM 角色：

在 Filter policies (筛选器策略) 框中，输入 AmazonS3FilesCSIDriverPolicy。

选中搜索返回的策略左侧的复选框。

选择下一步。

对于 Role name（角色名称），请为角色输入唯一名称，例如 AmazonEKS_EFS_CSI_ControllerRole。

在添加标签（可选）下，将标签作为键值对附加，以将元数据添加到角色。有关在 IAM 中使用标签的更多信息，请参阅《IAM 用户指南》 中的标记 IAM 资源。

选择创建角色。

如果使用 EKS 容器组身份：

如果对服务账户使用 IAM 角色：

将以下内容复制到名为 aws-efs-csi-driver-trust-policy-pod-identity.json 的文件中。

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

创建角色。将 my-cluster 替换为您的集群名称。

export cluster_name=my-cluster
export controller_role_name=AmazonEKS_EFS_CSI_ControllerRole
aws iam create-role \
  --role-name $controller_role_name \
  --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy-pod-identity.json"

将以下内容复制到名为 controller-trust-policy.json 的文件中。请将 <111122223333> 替换为您的账户 ID。将 <EXAMPLED539D4633E53DE1B71EXAMPLE> 和 <region-code> 替换为在上一步中返回的值。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws-cn:iam::<111122223333>:oidc-provider/oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:aud": "sts.amazonaws.com",
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:sub": "system:serviceaccount:kube-system:efs-csi-controller-sa"
                }
            }
        }
    ]
}

创建角色。

export controller_role_name=AmazonEKS_EFS_CSI_ControllerRole
aws iam create-role \
  --role-name $controller_role_name \
  --assume-role-policy-document file://"controller-trust-policy.json"

将以下内容复制到名为 node-trust-policy.json 的文件中。请将 <111122223333> 替换为您的账户 ID。将 <EXAMPLED539D4633E53DE1B71EXAMPLE> 和 <region-code> 替换为在步骤 1 中返回的值。

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws-cn:iam::<111122223333>:oidc-provider/oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:sub": "system:serviceaccount:kube-system:efs-csi-node-sa",
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}

创建角色。

export node_role_name=AmazonEKS_EFS_CSI_NodeRole
aws iam create-role \
  --role-name $node_role_name \
  --assume-role-policy-document file://"node-trust-policy.json"