**Bantu tingkatkan halaman ini** Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris. Untuk berkontribusi pada panduan pengguna ini, pilih **Edit halaman ini pada GitHub** tautan yang terletak di panel kanan setiap halaman. Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris. # Gunakan penyimpanan sistem file Amazon S3 dengan driver Amazon EFS CSI File S3 adalah sistem file bersama yang menghubungkan AWS komputasi apa pun secara langsung dengan data Anda di Amazon S3. Ini menyediakan akses cepat dan langsung ke semua data S3 Anda sebagai file dengan semantik sistem file lengkap dan kinerja latensi rendah, tanpa data Anda pernah meninggalkan S3. Itu berarti aplikasi, agen, dan tim berbasis file dapat mengakses dan bekerja dengan data S3 sebagai sistem file menggunakan alat yang sudah mereka andalkan. [Driver Amazon EFS Container Storage Interface (CSI)](https://github.com/kubernetes-sigs/aws-efs-csi-driver) [memungkinkan cluster Kubernetes berjalan untuk me-mount sistem file AWS Amazon S3 sebagai volume persisten mulai dari versi 3.0.0.](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/CHANGELOG-3.x.md#v300) Topik ini menunjukkan cara menggunakan driver Amazon EFS CSI untuk mengelola sistem file Amazon S3 di cluster Amazon EKS Anda. ## Pertimbangan-pertimbangan + Driver Amazon EFS CSI tidak kompatibel dengan gambar kontainer berbasis Windows. + EKS Fargate tidak mendukung File S3. + Driver Amazon EFS CSI tidak kompatibel dengan Amazon EKS Hybrid Nodes. + [Dukungan File Amazon S3 di driver Amazon EFS CSI dimulai dari versi 3.0.0.](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/CHANGELOG-3.x.md#v300) ## Prasyarat + Driver Amazon EFS CSI memerlukan izin AWS Identity and Access Management (IAM). + AWS menyarankan menggunakan EKS Pod Identities. Untuk informasi selengkapnya, lihat [Ikhtisar pengaturan EKS Pod Identities](pod-identities.md#pod-id-setup-overview). + Untuk informasi tentang peran IAM untuk akun layanan dan menyiapkan penyedia IAM OpenID Connect (OIDC) untuk klaster Anda, lihat. [Buat penyedia IAM OIDC untuk klaster Anda](enable-iam-roles-for-service-accounts.md) + Versi `2.12.3` atau yang lebih baru atau versi `1.27.160` atau yang lebih baru dari AWS Command Line Interface (AWS CLI) diinstal dan dikonfigurasi pada perangkat Anda atau. AWS CloudShell Untuk memeriksa versi Anda saat ini, gunakan`aws --version | cut -d / -f2 | cut -d ' ' -f1`. Package manager seperti`yum`,`apt-get`, atau Homebrew untuk macOS seringkali merupakan beberapa versi di belakang versi terbaru CLI. AWS Untuk menginstal versi terbaru, lihat [Menginstal](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-install.html) dan [Konfigurasi cepat dengan aws configure](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-quickstart.html#cli-configure-quickstart-config) di *Panduan Pengguna Antarmuka Baris AWS Perintah*. Versi AWS CLI yang diinstal AWS CloudShell mungkin juga beberapa versi di belakang versi terbaru. Untuk memperbaruinya, lihat [Menginstal AWS CLI ke direktori home Anda](https://docs.aws.amazon.com/cloudshell/latest/userguide/vm-specs.html#install-cli-software) di * AWS CloudShell Panduan Pengguna*. + Alat baris `kubectl` perintah diinstal pada perangkat Anda atau AWS CloudShell. Versinya bisa sama dengan atau hingga satu versi minor lebih awal atau lebih lambat dari versi Kubernetes dari klaster Anda. Misalnya, jika versi cluster Anda`1.29`, Anda dapat menggunakan `kubectl` versi`1.28`,`1.29`, atau `1.30` dengan itu. Untuk menginstal atau memutakhirkan `kubectl`, lihat [Mengatur `kubectl` dan `eksctl`](install-kubectl.md). ## Langkah 1: Buat peran IAM Driver Amazon EFS CSI memerlukan izin IAM untuk berinteraksi dengan sistem file Anda. Driver EFS CSI menggunakan dua akun layanan dengan peran IAM terpisah: + `efs-csi-controller-sa`— digunakan oleh controller, membutuhkan`AmazonS3FilesCSIDriverPolicy`. + `efs-csi-node-sa`— digunakan oleh node daemonset, membutuhkan: + `AmazonS3ReadOnlyAccess`— memungkinkan streaming membaca langsung dari bucket S3 Anda untuk throughput yang lebih tinggi. + `AmazonElasticFileSystemsUtils`— memungkinkan penerbitan log efs-utils ke Amazon CloudWatch untuk visibilitas ke dalam operasi pemasangan dan pemecahan masalah yang lebih mudah. **catatan** Jika Anda ingin menggunakan sistem file Amazon S3 dan penyimpanan Amazon EFS, Anda harus melampirkan kebijakan `AmazonS3FilesCSIDriverPolicy` dan kebijakan `AmazonEFSCSIDriverPolicy` terkelola ke peran pengontrol. Untuk informasi selengkapnya tentang penyimpanan Amazon EFS, lihat[Gunakan penyimpanan sistem file elastis dengan Amazon EFS](efs-csi.md). Untuk menerapkan prosedur ini, Anda dapat menggunakan salah satu alat ini: + [`eksctl`](#eksctl_s3files_store_app_data) + [Konsol Manajemen AWS](#console_s3files_store_app_data) + [AWS CLI](#awscli_s3files_store_app_data) **catatan** Langkah-langkah spesifik dalam prosedur ini ditulis untuk menggunakan driver sebagai add-on Amazon EKS. Untuk detail tentang penginstalan yang dikelola sendiri, lihat [Mengatur izin driver](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/docs/install.md#set-up-driver-permission) pada. GitHub ### `eksctl` #### Jika menggunakan Identitas Pod Jalankan perintah berikut untuk membuat peran IAM dan asosiasi Pod Identity dengan`eksctl`. Ganti {{my-cluster}} dengan nilai Anda. ``` export cluster_name=my-cluster # Create the controller role eksctl create podidentityassociation \ --service-account-name efs-csi-controller-sa \ --namespace kube-system \ --cluster $cluster_name \ --role-name AmazonEKS_EFS_CSI_ControllerRole \ --permission-policy-arns arn:aws: iam::aws:policy/service-role/AmazonS3FilesCSIDriverPolicy # Create the node role eksctl create podidentityassociation \ --service-account-name efs-csi-node-sa \ --namespace kube-system \ --cluster $cluster_name \ --role-name AmazonEKS_EFS_CSI_NodeRole \ --permission-policy-arns arn:aws: iam::aws:policy/AmazonS3ReadOnlyAccess,arn:aws: iam::aws:policy/AmazonElasticFileSystemsUtils ``` #### Jika menggunakan peran IAM untuk akun layanan Jalankan perintah berikut untuk membuat peran IAM dengan`eksctl`. Ganti {{my-cluster}} dengan nama cluster Anda dan {{region-code}} dengan kode AWS Region Anda. ``` export cluster_name=my-cluster export region_code=region-code # Create the controller role export controller_role_name=AmazonEKS_EFS_CSI_ControllerRole eksctl create iamserviceaccount \ --name efs-csi-controller-sa \ --namespace kube-system \ --cluster $cluster_name \ --role-name $controller_role_name \ --attach-policy-arn arn:aws: iam::aws:policy/service-role/AmazonS3FilesCSIDriverPolicy \ --approve \ --region $region_code # Create the node role export node_role_name=AmazonEKS_EFS_CSI_NodeRole eksctl create iamserviceaccount \ --name efs-csi-node-sa \ --namespace kube-system \ --cluster $cluster_name \ --role-name $node_role_name \ --attach-policy-arn arn:aws: iam::aws:policy/AmazonS3ReadOnlyAccess \ --attach-policy-arn arn:aws: iam::aws:policy/AmazonElasticFileSystemsUtils \ --approve \ --region $region_code ``` ### Konsol Manajemen AWS Jalankan berikut ini untuk membuat peran IAM dengan Konsol Manajemen AWS. 1. Buka konsol IAM di https://console.aws.amazon.com/iam/. 1. Di panel navigasi sebelah kiri, pilih **Peran**. 1. Pada halaman **Peran**, pilih **Buat peran**. 1. Pada halaman **Pilih entitas tepercaya**, lakukan hal berikut: 1. Jika menggunakan Identitas Pod EKS: 1. Di bagian **Jenis entitas tepercaya**, pilih ** AWS layanan**. 1. Dalam tarik-turun **Layanan atau kasus penggunaan**, pilih **EKS**. 1. Di bagian **Use case**, pilih **EKS - Pod Identity**. 1. Pilih **Berikutnya**. 1. Jika menggunakan peran IAM untuk akun layanan: 1. Di bagian **Jenis entitas tepercaya**, pilih **Identitas web**. 1. Untuk **penyedia Identity**, pilih **URL penyedia OpenID Connect** untuk klaster Anda (seperti yang ditunjukkan di bawah **Ikhtisar** di Amazon EKS). 1. Untuk **Audiens**, pilih `sts.amazonaws.com`. 1. Pilih **Berikutnya**. 1. Pada halaman **Tambahkan izin**, lakukan hal berikut: 1. Di dalam kotak **Filter kebijakan**, masukkan `AmazonS3FilesCSIDriverPolicy`. 1. Pilih kotak centang di sebelah kiri kebijakan yang ditampilkan dalam pencarian. 1. Pilih **Berikutnya**. 1. Pada halaman **Nama, tinjau, dan buat**, lakukan hal berikut: 1. Untuk **nama Peran**, masukkan nama unik untuk peran Anda, seperti`AmazonEKS_EFS_CSI_ControllerRole`. 1. Di bawah **Tambahkan tag (Opsional)**, tambahkan metadata ke peran dengan melampirkan tag sebagai pasangan nilai kunci. Untuk informasi selengkapnya tentang penggunaan tanda di IAM, lihat [Menandai sumber daya IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags.html) di *Panduan Pengguna IAM*. 1. Pilih **Buat peran**. 1. Setelah peran dibuat: 1. Jika menggunakan Identitas Pod EKS: 1. Buka [konsol Amazon EKS](https://console.aws.amazon.com/eks/home#/clusters). 1. Di panel navigasi kiri, pilih **Clusters**, lalu pilih nama cluster yang ingin Anda konfigurasikan untuk asosiasi EKS Pod Identity. 1. Pilih tab **Access**. 1. Dalam **asosiasi Pod Identity**, pilih **Create**. 1. Pilih dropdown **peran IAM** dan pilih peran yang baru Anda buat. 1. Pilih kolom **namespace Kubernetes dan masukan**. `kube-system` 1. Pilih kolom **akun layanan Kubernetes dan** masukan. `efs-csi-controller-sa` 1. Pilih **Buat**. 1. Untuk informasi selengkapnya tentang membuat asosiasi Pod Identity, lihat[Membuat asosiasi Pod Identity (AWS Console)](pod-id-association.md#pod-id-association-create). 1. Ulangi langkah-langkah di atas untuk membuat peran kedua untuk akun layanan node. Pada halaman **Tambahkan izin**, lampirkan `AmazonS3ReadOnlyAccess` dan `AmazonElasticFileSystemsUtils` sebagai gantinya. Kemudian buat sebuah asosiasi Pod Identity dengan `efs-csi-node-sa` bidang **Service Account Kubernetes.** 1. Jika menggunakan peran IAM untuk akun layanan: 1. Pilih peran untuk membukanya untuk diedit. 1. Pilih tab **Trust relationship**, lalu pilih **Edit trust policy**. 1. Temukan garis yang terlihat mirip dengan baris berikut: ``` "oidc.eks.region-code.amazonaws.com/id/:aud": "sts.amazonaws.com" ``` Tambahkan baris berikut di atas baris sebelumnya. Ganti `` dengan AWS Wilayah tempat cluster Anda berada. Ganti `` dengan ID penyedia OIDC cluster Anda. ``` "oidc.eks..amazonaws.com/id/:sub": "system:serviceaccount:kube-system:efs-csi-controller-sa", ``` 1. Pilih **Perbarui kebijakan** untuk menyelesaikan. 1. Ulangi langkah-langkah di atas untuk membuat peran kedua untuk akun layanan node. Pada halaman **Tambahkan izin**, lampirkan `AmazonS3ReadOnlyAccess` dan `AmazonElasticFileSystemsUtils` sebagai gantinya. Dalam kebijakan kepercayaan, gunakan `efs-csi-node-sa` untuk nilai `:sub` kondisi. ### AWS CLI Jalankan perintah berikut untuk membuat peran IAM dengan AWS CLI. #### Jika menggunakan Identitas Pod 1. Buat peran IAM yang memberikan `AssumeRole` dan `TagSession` tindakan ke layanan. `pods.eks.amazonaws.com` 1. Salin isi berikut ke file bernama `aws-efs-csi-driver-trust-policy-pod-identity.json`. ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "AllowEksAuthToAssumeRoleForPodIdentity", "Effect": "Allow", "Principal": { "Service": "pods.eks.amazonaws.com" }, "Action": [ "sts:AssumeRole", "sts:TagSession" ] } ] } ``` 1. Buat peran. Ganti {{my-cluster}} dengan nama klaster Anda. ``` export cluster_name=my-cluster export controller_role_name=AmazonEKS_EFS_CSI_ControllerRole aws iam create-role \ --role-name $controller_role_name \ --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy-pod-identity.json" ``` 1. Lampirkan kebijakan AWS terkelola yang diperlukan ke peran pengontrol. ``` aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/service-role/AmazonS3FilesCSIDriverPolicy \ --role-name $controller_role_name ``` 1. Buat peran IAM node menggunakan kebijakan kepercayaan yang sama. ``` export node_role_name=AmazonEKS_EFS_CSI_NodeRole aws iam create-role \ --role-name $node_role_name \ --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy-pod-identity.json" ``` 1. Lampirkan kebijakan AWS terkelola yang diperlukan ke peran node. ``` aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/AmazonS3ReadOnlyAccess \ --role-name $node_role_name aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/AmazonElasticFileSystemsUtils \ --role-name $node_role_name ``` 1. Jalankan perintah berikut untuk membuat asosiasi Pod Identity. Ganti `<111122223333>` dengan ID akun Anda. ``` aws eks create-pod-identity-association --cluster-name $cluster_name --role-arn {arn-aws}iam::<111122223333>:role/$controller_role_name --namespace kube-system --service-account efs-csi-controller-sa aws eks create-pod-identity-association --cluster-name $cluster_name --role-arn {arn-aws}iam::<111122223333>:role/$node_role_name --namespace kube-system --service-account efs-csi-node-sa ``` 1. Untuk informasi selengkapnya tentang membuat asosiasi Pod Identity, lihat[Membuat asosiasi Pod Identity (AWS Console)](pod-id-association.md#pod-id-association-create). #### Jika menggunakan peran IAM untuk akun layanan 1. Lihat URL penyedia OIDC klaster Anda. Ganti {{my-cluster}} dengan nama klaster Anda. ``` export cluster_name=my-cluster aws eks describe-cluster --name $cluster_name --query "cluster.identity.oidc.issuer" --output text ``` Contoh output adalah sebagai berikut. ``` https://oidc.eks..amazonaws.com/id/ ``` Jika output dari perintah adalah `None`, tinjau **Prasyarat**. 1. Buat peran IAM untuk akun layanan pengontrol. 1. Salin isi berikut ke file bernama `controller-trust-policy.json`. Ganti `<111122223333>` dengan ID akun Anda. Ganti `` dan `` dengan nilai yang dikembalikan pada langkah sebelumnya. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Federated": "arn:aws: iam::<111122223333>:oidc-provider/oidc.eks..amazonaws.com/id/" }, "Action": "sts:AssumeRoleWithWebIdentity", "Condition": { "StringEquals": { "oidc.eks..amazonaws.com/id/:aud": "sts.amazonaws.com", "oidc.eks..amazonaws.com/id/:sub": "system:serviceaccount:kube-system:efs-csi-controller-sa" } } } ] } ``` 1. Buat peran. ``` export controller_role_name=AmazonEKS_EFS_CSI_ControllerRole aws iam create-role \ --role-name $controller_role_name \ --assume-role-policy-document file://"controller-trust-policy.json" ``` 1. Lampirkan kebijakan AWS terkelola yang diperlukan ke peran pengontrol. ``` aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/service-role/AmazonS3FilesCSIDriverPolicy \ --role-name $controller_role_name ``` 1. Buat peran IAM untuk akun layanan node. 1. Salin isi berikut ke file bernama `node-trust-policy.json`. Ganti `<111122223333>` dengan ID akun Anda. Ganti `` dan `` dengan nilai yang dikembalikan pada langkah 1. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Federated": "arn:aws: iam::<111122223333>:oidc-provider/oidc.eks..amazonaws.com/id/" }, "Action": "sts:AssumeRoleWithWebIdentity", "Condition": { "StringEquals": { "oidc.eks..amazonaws.com/id/:sub": "system:serviceaccount:kube-system:efs-csi-node-sa", "oidc.eks..amazonaws.com/id/:aud": "sts.amazonaws.com" } } } ] } ``` 1. Buat peran. ``` export node_role_name=AmazonEKS_EFS_CSI_NodeRole aws iam create-role \ --role-name $node_role_name \ --assume-role-policy-document file://"node-trust-policy.json" ``` 1. Lampirkan kebijakan AWS terkelola yang diperlukan ke peran node. ``` aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/AmazonS3ReadOnlyAccess \ --role-name $node_role_name aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/AmazonElasticFileSystemsUtils \ --role-name $node_role_name ``` **catatan** `AmazonS3ReadOnlyAccess`Kebijakan ini memberikan akses baca ke semua bucket S3. Untuk membatasi akses ke bucket tertentu, Anda dapat melepaskannya dan menggantinya dengan kebijakan inline berbasis tag. Lihat [dokumentasi kebijakan IAM driver Amazon EFS CSI](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/docs/iam-policy-create.md) GitHub untuk detailnya. ## Langkah 2: Dapatkan driver Amazon EFS CSI Kami menyarankan Anda menginstal driver Amazon EFS CSI melalui add-on Amazon EKS. Untuk menambahkan add-on Amazon EKS ke cluster Anda, lihat[Buat add-on Amazon EKS](creating-an-add-on.md). Untuk informasi selengkapnya tentang add-on, lihat[Add-on Amazon EKS](eks-add-ons.md). Jika Anda tidak dapat menggunakan add-on Amazon EKS, kami mendorong Anda untuk mengirimkan masalah tentang mengapa Anda tidak dapat ke repositori [peta jalan GitHub Containers](https://github.com/aws/containers-roadmap/issues). **penting** Sebelum menambahkan driver Amazon EFS sebagai add-on Amazon EKS, konfirmasikan bahwa Anda tidak memiliki versi driver yang dikelola sendiri yang diinstal di cluster Anda. Jika demikian, lihat [Menghapus Instalasi Driver Amazon EFS CSI](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/docs/install.md#uninstalling-the-amazon-efs-csi-driver) di. GitHub Atau, jika Anda ingin instalasi yang dikelola sendiri dari driver Amazon EFS CSI, lihat [Instalasi](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/docs/install.md) aktif. GitHub ## Langkah 3: Buat sistem file Amazon S3 Untuk membuat sistem file Amazon S3, lihat [Membuat sistem file Amazon S3 untuk Amazon EKS](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/docs/s3files-create-filesystem.md) aktif. GitHub ## Langkah 4: Menyebarkan aplikasi sampel Anda dapat menerapkan berbagai contoh aplikasi dan memodifikasinya sesuai kebutuhan. Untuk informasi selengkapnya, lihat [Contoh](https://github.com/kubernetes-sigs/aws-efs-csi-driver/tree/master/examples/kubernetes) di GitHub.