Überlegungen Voraussetzungen Schritt 1: Erstellen einer IAM-Rolle Schritt 2: Amazon-EBS-CSI-Treiber herunterladen Schritt 3: Beispielanwendung bereitstellen

Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Kubernetes-Volume-Speicher mit Amazon EBS verwenden

Anmerkung

Neu: Amazon EKS Auto Mode automatisiert Routineaufgaben für Blockspeicher. Weitere Informationen erhalten Sie unter Bereitstellung einer Beispiel-Workload mit Statusverwaltung in EKS Auto Mode.

Der Amazon Elastic Block Store (Amazon EBS) Container-Storage-Interface (CSI)-Treiber verwaltet den Lebenszyklus von Amazon-EBS-Volumes als Speicher für von Ihnen erstellte Kubernetes-Volumes. Der Amazon-EBS-CSI-Treiber erstellt Amazon-EBS-Volumes für diese Arten von Kubernetes-Volumes: generische flüchtige Volumes und persistente Volumes.

Überlegungen

Es ist nicht erforderlich, den Amazon-EBS-CSI-Controller in Clustern von EKS Auto Mode zu installieren.
Sie können Amazon-EBS-Volumes nicht in Fargate-Pods mounten.
Sie können den Amazon EBS CSI-Controller auf Fargate-Knoten ausführen, aber der Amazon EBS CSI-Knoten DaemonSet kann nur auf Amazon-Instances ausgeführt werden. EC2
Amazon-EBS-Volumes und der Amazon-EBS-CSI-Treiber sind nicht mit Amazon EKS Hybrid Nodes kompatibel.
Support wird für die neueste Add-On-Version und eine vorherige Version bereitgestellt. Fehler oder Schwachstellen, die in der neuesten Version gefunden werden, werden in einer neuen Nebenversion auf die vorherige Version zurückportiert.
EKS Auto Mode erfordert, dass Speicherklassen ebs.csi.eks.amazonaws.com als Bereitsteller verwenden. Der Standard-Amazon-EBS-CSI-Treiber (ebs.csi.aws.com) verwaltet seine eigenen Volumes separat. Um vorhandene Volumes mit EKS Auto Mode zu verwenden, migrieren Sie diese mithilfe von Volume-Snapshots in eine Speicherklasse, die den Bereisteller im Automatikmodus verwendet.

Wichtig

Um die Snapshot-Funktionalität des Amazon-EBS-CSI-Treibers nutzen zu können, ist es erforderlich, zunächst den CSI-Snapshot-Controller zu installieren. Weitere Informationen finden Sie unter Snapshot-Funktion für CSI-Volumes aktivieren.

Voraussetzungen

Einen vorhandenen -Cluster. Führen Sie den folgenden Befehl aus, um die erforderliche Plattformversion anzuzeigen.
```
aws eks describe-addon-versions --addon-name aws-ebs-csi-driver
```
Der EBS CSI-Treiber benötigt IAM-Berechtigungen. AWS
- AWS schlägt vor, EKS Pod Identities zu verwenden. Weitere Informationen finden Sie unter Übersicht über die Einrichtung von EKS-Pod-Identitäten.
- Informationen zu IAM-Rollen für Servicekonten finden Sie unter Erstellen Sie einen IAM-OIDC-Anbieter für Ihren Cluster.

Schritt 1: Erstellen einer IAM-Rolle

Das Amazon EBS CSI-Plugin benötigt IAM-Berechtigungen, um in Ihrem Namen Anrufe tätigen AWS APIs zu können. Wenn Sie diese Schritte nicht ausführen, wird beim Versuch, das Add-On zu installieren und kubectl describe pvc auszuführen, failed to provision volume with StorageClass zusammen mit einem could not create volume in EC2: UnauthorizedOperation-Fehler angezeigt. Weitere Informationen finden Sie unter Treiberberechtigung einrichten auf GitHub.

Anmerkung

Pods haben Zugriff auf die Berechtigungen, die der IAM-Rolle zugewiesen sind, es sei denn, Sie blockieren den Zugriff auf IMDS. Weitere Informationen finden Sie unter Amazon-EKS-Cluster mit bewährten Methoden sichern.

Das folgende Verfahren zeigt Ihnen, wie Sie eine IAM-Rolle erstellen und ihr die AWS verwaltete Richtlinie zuordnen. Um dieses Verfahren umzusetzen, können Sie eines dieser Tools verwenden:

eksctl
AWS-Managementkonsole
AWS CLI

Anmerkung

Sie können eine selbstverwaltete Richtlinie mit eingeschränkten Berechtigungen erstellen. Überprüfen Sie AmazonEBSCSIDriverPolicy und erstellen Sie eine benutzerdefinierte IAM-Richtlinie mit eingeschränkten Berechtigungen.

Anmerkung

Die spezifischen Schritte in diesem Verfahren sind für die Verwendung des Treibers als Amazon-EKS-Add-on geschrieben. Es sind verschiedene Schritte erforderlich, um den Treiber als selbstverwaltetes Add-on zu verwenden. Weitere Informationen finden Sie unter Fahrerberechtigungen einrichten für. GitHub

`eksctl`

Erstellen Sie eine IAM-Rolle und fügen Sie eine Richtlinie hinzu. AWS verwaltet eine AWS verwaltete Richtlinie oder Sie können Ihre eigene benutzerdefinierte Richtlinie erstellen. Sie können eine IAM-Rolle erstellen und die AWS verwaltete Richtlinie mit dem folgenden Befehl anhängen. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters. Der Befehl stellt einen AWS CloudFormation Stack bereit, der eine IAM-Rolle erstellt und ihr die IAM-Richtlinie anhängt.
```
eksctl create iamserviceaccount \
        --name ebs-csi-controller-sa \
        --namespace kube-system \
        --cluster my-cluster \
        --role-name AmazonEKS_EBS_CSI_DriverRole \
        --role-only \
        --attach-policy-arn arn:aws: iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
        --approve
```

Sie können diesen Schritt überspringen, wenn Sie keinen benutzerdefinierten KMS-Schlüssel verwenden. Wenn Sie einen zur Verschlüsselung Ihrer Amazon-EBS-Volumes verwenden, passen Sie die IAM-Rolle nach Bedarf an. Führen Sie beispielsweise folgende Schritte aus:

Kopieren Sie den folgenden Code und fügen Sie diesen in eine neue kms-key-for-encryption-on-ebs.json-Datei ein. Ersetzen Sie custom-key-arn durch den benutzerdefinierten KMS-Schlüssel-ARN.


{
      "Version":"2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"]
        }
      ]
    }

Erstellen Sie die Richtlinie. Sie können KMS_Key_For_Encryption_On_EBS_Policy in einen anderen Namen ändern. In diesem Fall ändern Sie sie auch in den späteren Schritten.
```
aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json
```

Hängen Sie die IAM-Richtlinie mit dem folgenden Befehl an die Rolle an. Ersetzen Sie 111122223333 durch Ihre Konto-ID.


aws iam attach-role-policy \
      --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole

AWS-Managementkonsole

Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.
Wählen Sie im linken Navigationsbereich Roles aus.
Klicken Sie auf der Seite Roles (Rollen) auf Create role (Rolle erstellen).
Gehen Sie auf der Seite Select trusted entity (Vertrauenswürdige Entität auswählen) wie folgt vor:
1. Wählen Sie im Abschnitt Trusted entity type (Typ der vertrauenswürdigen Entität) die Option Web identity (Web-Identität) aus.
2. Wählen Sie für Identity provider (Identitätsanbieter) die Option OpenID Connect provider URL (OpenID-Connect-Anbieter-URL) für Ihren Cluster aus (wie unter Overview (Übersicht) in Amazon EKS gezeigt).
3. Wählen Sie für Audience (Zielgruppe) sts.amazonaws.com.
4. Wählen Sie Weiter aus.
Gehen Sie auf der Seite Add permissions (Berechtigungen hinzufügen) wie folgt vor:
1. Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonEBSCSIDriverPolicy ein.
2. Aktivieren Sie das Kontrollkästchen links neben der AmazonEBSCSIDriverPolicy, die bei der Suche zurückgegeben wurde.
3. Wählen Sie Weiter aus.
Gehen Sie auf der Seite Name, review, and create (Benennen, überprüfen und erstellen) wie folgt vor:
1. Geben Sie unter Role name (Rollenname) einen eindeutigen Namen für die Rolle ein, z. B. AmazonEKS_EBS_CSI_DriverRole.
2. Fügen Sie der Rolle unter Tags hinzufügen (optional) Metadaten hinzu, indem Sie Tags als Schlüssel-Wert-Paare anfügen. Weitere Informationen zur Verwendung von Tags in IAM finden Sie unter Markieren von IAM-Ressourcen im IAM-Benutzerhandbuch.
3. Wählen Sie Create role (Rolle erstellen) aus.
Nachdem die Rolle erstellt wurde, wählen Sie die Rolle in der Konsole aus, um sie zur Bearbeitung zu öffnen.
Wählen Sie die Registerkarte Trust Relationships (Vertrauensstellungen) und dann Edit trust policy (Vertrauensrichtlinie bearbeiten) aus.
Suchen Sie die Zeile, die der folgenden Zeile ähnelt:
```
"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
```
Fügen Sie am Ende der vorherigen Zeile ein Komma hinzu und fügen Sie anschließend die folgende Zeile nach der vorherigen Zeile hinzu. Ersetzen Sie region-code durch die AWS Region, in der sich Ihr Cluster befindet. Ersetzen Sie EXAMPLED539D4633E53DE1B71EXAMPLE mit dem OIDC-Anbieter-ID Ihres Clusters.
```
"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
```
Wählen Sie Update Policy (Richtlinie aktualisieren) aus, um den Vorgang abzuschließen.
Wenn Sie einen benutzerdefinierten KMS-Schlüssel für die Verschlüsselung auf Ihren Amazon-EBS-Volumes verwenden, passen Sie die IAM-Rolle nach Bedarf an. Führen Sie beispielsweise folgende Schritte aus:
1. Wählen Sie im linken Navigationsbereich die Option Policies aus.
2. Wählen Sie auf der Seite Policies (Richtlinien) die Option Create a policy (Richtlinie erstellen).
3. Wählen Sie auf der Seite Create policy (Richtlinie erstellen) die Registerkarte JSON aus.
4. Kopieren Sie den folgenden Code in den Editor und ersetzen Sie custom-key-arn durch den benutzerdefinierten KMS-Schlüssel-ARN:
```
{
      "Version":"2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"]
        }
      ]
    }
```
5. Wählen Sie Next: Markierungen (Weiter: Markierungen).
6. Wählen Sie auf der Seite Add Tags (optional) (Tags hinzufügen (optional)) die Option Next: Review (Weiter: Prüfen).
7. Geben Sie unter Name einen eindeutigen Namen für Ihre Richtlinie ein (z. B. KMS_Key_For_Encryption_On_EBS_Policy).
8. Wählen Sie Create Policy (Richtlinie erstellen) aus.
9. Wählen Sie im linken Navigationsbereich Roles aus.
10. Wählen Sie AmazonEKS_EBS_CSI_DriverRolein der Konsole das aus, um es zur Bearbeitung zu öffnen.
11. Wählen Sie in der Dropdown-Liste Add permissions (Berechtigungen hinzufügen) Attach policies (Richtlinien hinzufügen) aus.
12. Geben Sie im Feld Filter policies (Filterrichtlinien) KMS_Key_For_Encryption_On_EBS_Policy ein.
13. Aktivieren Sie das Kontrollkästchen links neben der KMS_Key_For_Encryption_On_EBS_Policy, die bei der Suche zurückgegeben wurde.
14. Wählen Sie Attach Policies (Richtlinien hinzufügen).

AWS CLI

Zeigen Sie die OIDC-Anbieter-URL Ihres Clusters an. Ersetzen Sie my-cluster durch Ihren Clusternamen. Wenn die Ausgabe des Befehls None ist, überprüfen Sie die Voraussetzungen.
```
aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text
```
Eine Beispielausgabe sieht wie folgt aus.
```
https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE
```

Erstellen Sie die IAM-Rolle und gewähren Sie ihr die AssumeRoleWithWebIdentity-Aktion.

Kopieren Sie den folgenden Inhalt in eine Datei mit dem Namen aws-ebs-csi-driver-trust-policy.json. Ersetzen Sie 111122223333 durch Ihre Konto-ID. Ersetzen Sie EXAMPLED539D4633E53DE1B71EXAMPLE und region-code mit den im vorherigen Schritt zurückgegebenen Werten.


{
      "Version":"2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.us-east-1.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
          },
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {
            "StringEquals": {
              "oidc.eks.us-east-1.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
              "oidc.eks.us-east-1.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
            }
          }
        }
      ]
    }

Erstellen Sie die Rolle. Sie können AmazonEKS_EBS_CSI_DriverRole in einen anderen Namen ändern. Wenn Sie es ändern, ändern Sie es in späteren Schritten.
```
aws iam create-role \
      --role-name AmazonEKS_EBS_CSI_DriverRole \
      --assume-role-policy-document file://"aws-ebs-csi-driver-trust-policy.json"
```

Hängen Sie eine Richtlinie an. AWS verwaltet eine AWS verwaltete Richtlinie oder Sie können Ihre eigene benutzerdefinierte Richtlinie erstellen. Hängen Sie die AWS verwaltete Richtlinie mit dem folgenden Befehl an die Rolle an.
```
aws iam attach-role-policy \
      --policy-arn arn:aws: iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
      --role-name AmazonEKS_EBS_CSI_DriverRole
```

Wenn Sie einen benutzerdefinierten KMS-Schlüssel für die Verschlüsselung auf Ihren Amazon-EBS-Volumes verwenden, passen Sie die IAM-Rolle nach Bedarf an. Führen Sie beispielsweise folgende Schritte aus:

Kopieren Sie den folgenden Code und fügen Sie diesen in eine neue kms-key-for-encryption-on-ebs.json-Datei ein. Ersetzen Sie custom-key-arn durch den benutzerdefinierten KMS-Schlüssel-ARN.


{
      "Version":"2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"]
        }
      ]
    }

Erstellen Sie die Richtlinie. Sie können KMS_Key_For_Encryption_On_EBS_Policy in einen anderen Namen ändern. In diesem Fall ändern Sie sie auch in den späteren Schritten.
```
aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json
```

Hängen Sie die IAM-Richtlinie mit dem folgenden Befehl an die Rolle an. Ersetzen Sie 111122223333 durch Ihre Konto-ID.


aws iam attach-role-policy \
      --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole

Nachdem Sie die IAM-Rolle des Amazon-EBS-CSI-Treibers erstellt haben, können Sie mit dem nächsten Abschnitt fortfahren. Wenn Sie das Add-on mit dieser IAM-Rolle bereitstellen, wird ein Servicekonto mit dem Namen ebs-csi-controller-sa erstellt und für die Verwendung konfiguriert. Das Servicekonto ist an ein Kubernetes clusterrole gebunden, dem die erforderlichen Kubernetes-Berechtigungen zugewiesen sind.

Schritt 2: Amazon-EBS-CSI-Treiber herunterladen

Wir empfehlen Ihnen, den Amazon-EBS-CSI-Treiber über das Amazon-EKS-Add-On zu installieren, um die Sicherheit zu erhöhen und den Arbeitsaufwand zu reduzieren. Wenn Sie ein Amazon-EKS-Add-on zu Ihrem Cluster hinzufügen möchten, lesen Sie Erstellung eines Amazon-EKS-Add-Ons. Weitere Informationen zu Add-ons finden Sie unter Amazon-EKS-Add-ons.

Wichtig

Bevor Sie den Amazon-EBS-Treiber als Amazon-EKS-Add-On hinzufügen, stellen Sie sicher, dass Sie keine selbstverwaltete Version des Treibers auf Ihrem Cluster installiert haben. Falls ja, siehe Deinstallation eines selbstverwalteten Amazon-EBS-CSI-Treibers in GitHub.

Anmerkung

Standardmäßig ist die vom EBS-CSI verwendete RBAC-Rolle berechtigt, Knoten zu mutieren, um deren Funktion zum Entfernen von Verunreinigungen zu unterstützen. Aufgrund der Einschränkungen von Kubernetes RBAC kann Kubernetes dadurch auch jeden anderen Knoten im Cluster mutieren. Das Helm-Diagramm hat einen Parameter (node.serviceAccount.disableMutation), der die Änderung der Node-RBAC-Berechtigungen für das Dienstkonto deaktiviert. ebs-csi-node Wenn diese Option aktiviert ist, funktionieren Treiberfunktionen wie das Entfernen von Flecken nicht.

Wenn Sie alternativ eine selbstverwaltete Installation des Amazon EBS CSI-Treibers wünschen, finden Sie weitere Informationen unter Installation auf. GitHub

Schritt 3: Beispielanwendung bereitstellen

Sie können eine Vielzahl von Beispiel-Apps bereitstellen und diese nach Bedarf ändern. Weitere Informationen finden Sie unter Kubernetes-Beispiele unter. GitHub

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Anwendungsdatenspeicher

Amazon EFS