Considerazioni Prerequisiti Passaggio 1: Creazione di un ruolo IAM Fase 2: ottenere il driver CSI per Amazon EFS Fase 3: Creazione di un file system Amazon EFS Fase 4: implementazione di un’applicazione di esempio

Contribuisci a migliorare questa pagina

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Per contribuire a questa guida per l'utente, scegli il GitHub link Modifica questa pagina nel riquadro destro di ogni pagina.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Utilizzo dell’archiviazione di file system elastici con Amazon EFS

Amazon Elastic File System (Amazon EFS) fornisce un'archiviazione di file serverless e completamente elastica in modo da poter condividere i dati dei file senza dover fornire o gestire la capacità e le prestazioni di archiviazione. Il driver Amazon EFS Container Storage Interface (CSI) fornisce un'interfaccia CSI che consente ai cluster Kubernetes in esecuzione di AWS gestire il ciclo di vita dei file system Amazon EFS. Questo argomento illustra come implementare il driver CSI per Amazon EBS nel cluster Amazon EKS.

Considerazioni

Il driver CSI per Amazon EFS non è compatibile con le immagini di container basate su Windows.
Non è possibile utilizzare il provisioning dinamico dei volumi persistenti con nodi Fargate, ma è possibile utilizzare il provisioning statico.
Il provisioning dinamico richiede un driver versione 1.2 o successiva. È possibile eseguire il provisioning statico di volumi persistenti utilizzando la versione 1.1 del driver su qualsiasi versione del cluster Amazon EKS supportata (consultare la pagina Amazon EKS supported versions).
La versione 1.3.2 o successiva di questo driver supporta l'architettura Arm64, incluse le istanze basate su Amazon EC2 Graviton.
La versione 1.4.2 o successiva di questo driver supporta l’uso di FIPS per il montaggio di file system.
Osserva le quote delle risorse per Amazon EFS. Ad esempio, è possibile creare una quota di 1.000 punti di accesso per ogni file system Amazon EFS. Per ulteriori informazioni, consulta le Quote di risorse di Amazon EFS che non puoi modificare.
A partire dalla versione 2.0.0, questo driver è passato dall’utilizzo di stunnel a efs-proxy per le connessioni TLS. Quando viene utilizzato efs-proxy, aprirà un numero di thread pari a uno più il numero di core del nodo su cui è in esecuzione.
Il driver CSI per Amazon EFS non è compatibile con Amazon EKS Hybrid Nodes.

Prerequisiti

Il driver CSI Amazon EFS necessita delle autorizzazioni AWS Identity and Access Management (IAM).
- AWS suggerisce di utilizzare EKS Pod Identities. Per ulteriori informazioni, consulta Panoramica sulla configurazione delle associazioni EKS Pod Identity.
- Per informazioni sui ruoli IAM per gli account di servizio e su come configurare un gestore OpenID Connect (OIDC) IAM per il cluster, consultare Per creare un provider di identità IAM OIDC per il cluster.
Versione 2.12.3 o successiva o versione 1.27.160 o successiva dell'interfaccia a riga di AWS comando (AWS CLI) installata e configurata sul dispositivo o. AWS CloudShell Per verificare la versione attuale, usa aws --version | cut -d / -f2 | cut -d ' ' -f1. I gestori di pacchetti come yum Homebrew per macOS sono spesso diverse versioni dell'ultima versione della CLI AWS . apt-get Per installare la versione più recente, consulta Installazione e configurazione rapida con aws configure nella Guida per l'utente dell'interfaccia a riga di AWS comando. La versione AWS CLI installata in AWS CloudShell potrebbe anche contenere diverse versioni precedenti alla versione più recente. Per aggiornarlo, consulta Installazione della AWS CLI nella tua home directory nella Guida per l' AWS CloudShell utente.
Lo strumento a riga di comando kubectl è installato sul dispositivo o AWS CloudShell. La versione può essere uguale oppure immediatamente precedente o successiva alla versione di Kubernetes del cluster. Ad esempio, se la versione del cluster è 1.29, puoi usare kubectl versione 1.28, 1.29 o 1.30. Per installare o aggiornare kubectl, consulta Impostazione di kubectl e eksctl:

Nota

Un pod in esecuzione su Fargate monta automaticamente un file system Amazon EFS senza bisogno della procedura di installazione manuale del driver.

Passaggio 1: Creazione di un ruolo IAM

Il driver CSI per Amazon EFS richiede le autorizzazioni IAM per interagire con il file system. Crea un ruolo IAM e allega ad esso la policy AWS gestita richiesta. Per implementare questa procedura, è possibile utilizzare uno dei seguenti strumenti:

eksctl
Console di gestione AWS
AWS CLI

Nota

I passaggi specifici di questa procedura sono stati scritti per l'utilizzo del driver come componente aggiuntivo di Amazon EKS. Per informazioni dettagliate sulle installazioni autogestite, consulta Set up driver permission su GitHub.

`eksctl`

Se si utilizza Pod Identity

Eseguire i seguenti comandi per creare un ruolo IAM e un’associazione Pod Identity con eksctl. Sostituisci my-cluster con il nome del cluster. È anche possibile sostituire AmazonEKS_EFS_CSI_DriverRole con un nome diverso.


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
eksctl create podidentityassociation \
    --service-account-name efs-csi-controller-sa \
    --namespace kube-system \
    --cluster $cluster_name \
    --role-name $role_name \
    --permission-policy-arns arn:aws: iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy

Se si utilizzano ruoli IAM per gli account di servizio

Eseguire i seguenti comandi per creare un ruolo IAM con eksctl. Sostituisci my-cluster con il nome del cluster. È anche possibile sostituire AmazonEKS_EFS_CSI_DriverRole con un nome diverso.


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
eksctl create iamserviceaccount \
    --name efs-csi-controller-sa \
    --namespace kube-system \
    --cluster $cluster_name \
    --role-name $role_name \
    --role-only \
    --attach-policy-arn arn:aws: iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
    --approve
TRUST_POLICY=$(aws iam get-role --output json --role-name $role_name --query 'Role.AssumeRolePolicyDocument' | \
    sed -e 's/efs-csi-controller-sa/efs-csi-*/' -e 's/StringEquals/StringLike/')
aws iam update-assume-role-policy --role-name $role_name --policy-document "$TRUST_POLICY"

Console di gestione AWS

Esegui quanto segue per creare un ruolo IAM con Console di gestione AWS.

Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.
Nel pannello di navigazione a sinistra, seleziona Ruoli.
Nella pagina Ruoli, seleziona Crea ruolo.
Nella pagina Seleziona un’entità attendibile, esegui le operazioni seguenti:
1. Se si utilizza EKS Pod Identity:
  1. Nella sezione Tipo di entità affidabile, scegli AWS servizio.
  2. Nel menu a discesa Servizio o caso d’uso, scegliere EKS.
  3. Nella sezione Caso d’uso, scegliere EKS - Pod Identity.
  4. Scegli Next (Successivo).
2. Se si utilizzano ruoli IAM per gli account di servizio:
  1. Nella sezione Tipo di identità attendibile, scegli Identità Web.
  2. Per Identity provider (Provider di identità), scegli URL del provider OpenID Connect per il cluster (come mostrato nella scheda Overview (Panoramica) in Amazon EKS).
  3. Per Pubblico, scegli sts.amazonaws.com.
  4. Scegli Next (Successivo).
Nella pagina Add permissions (Aggiungi autorizzazioni), esegui le operazioni seguenti:
1. Nella casella Filtra policy, inserisci AmazonEFSCSIDriverPolicy.
2. Seleziona la casella di controllo a sinistra della AmazonEFSCSIDriverPolicy restituita dalla ricerca.
3. Scegli Next (Successivo).
Nella pagina Name, review, and create (Assegna un nome, rivedi e crea), esegui le operazioni seguenti:
1. Per Nome ruolo, inserisci un nome univoco per il ruolo, ad esempio AmazonEKS_EFS_CSI_DriverRole.
2. In Aggiungi tag (facoltativo), aggiungi metadati al ruolo collegando i tag come coppie chiave-valore. Per ulteriori informazioni sull’utilizzo di tag in IAM, consulta la sezione Tagging IAM resources nella Guida per l’utente di IAM.
3. Scegli Crea ruolo.
Dopo aver creato il ruolo:
1. Se si utilizza EKS Pod Identity:
  1. Aprire la Console Amazon EKS.
  2. Nel riquadro di navigazione a sinistra, selezionare Cluster, quindi selezionare il nome del cluster per cui configurare l’associazione EKS Pod Identity.
  3. Scegliere la scheda Accesso.
  4. In Associazioni Pod Identity, scegliere Crea.
  5. Scegliere il menu a discesa Ruolo IAM e selezionare il ruolo appena creato.
  6. Scegliere il campo Namespace Kubernetes e inserire kube-system.
  7. Scegliere il campo Account del servizio Kubernetes e inserire efs-csi-controller-sa.
  8. Scegli Create (Crea).
  9. Per ulteriori informazioni sulla creazione di associazioni Pod Identity, consultare Crea un'associazione Pod Identity (AWS Console).
2. Se si utilizzano ruoli IAM per gli account di servizio:
  1. Scegliere il ruolo per aprirlo per la modifica.
  2. Scegli la scheda Relazioni di attendibilità e quindi Modifica policy di attendibilità.
  3. Trova la riga simile alla seguente:
    
    "oidc.eks.region-code.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:aud": "sts.amazonaws.com"
    
    Aggiungi la riga seguente sopra la riga precedente. Sostituiscilo <region-code> con la AWS regione in cui si trova il cluster. Sostituire <EXAMPLED539D4633E53DE1B71EXAMPLE> con l’ID del gestore OIDC del cluster.
    
    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:sub": "system:serviceaccount:kube-system:efs-csi-*",
  4. Modifica l'operatore Condition da "StringEquals" a "StringLike".
  5. Scegli Aggiorna policy per concludere.

AWS CLI

Esegui i seguenti comandi per creare un ruolo IAM con AWS CLI.

Se si utilizza Pod Identity

Creare il ruolo IAM che concede le operazioni AssumeRole e TagSession al servizio pods.eks.amazonaws.com.

Copiare i seguenti contenuti in un file denominato aws-efs-csi-driver-trust-policy-pod-identity.json.


{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

Crea il ruolo. Sostituisci my-cluster con il nome del cluster. È anche possibile sostituire AmazonEKS_EFS_CSI_DriverRole con un nome diverso.


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
aws iam create-role \
  --role-name $role_name \
  --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy-pod-identity.json"

Allega la policy AWS gestita richiesta al ruolo con il comando seguente.


aws iam attach-role-policy \
  --policy-arn arn:aws: iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name $role_name

Eseguire il seguente comando per creare l’associazione Pod Identity. Sostituire arn:aws: iam::<111122223333>:role/my-role con il ruolo creato nei passaggi precedenti.

aws eks create-pod-identity-association --cluster-name $cluster_name --role-arn {arn-aws}iam::<111122223333>:role/my-role --namespace kube-system --service-account efs-csi-controller-sa

Per ulteriori informazioni sulla creazione di associazioni Pod Identity, consultare Crea un'associazione Pod Identity (AWS Console).

Se si utilizzano ruoli IAM per gli account di servizio

Visualizzare l’URL del gestore OIDC del cluster. Sostituisci my-cluster con il nome del cluster. È anche possibile sostituire AmazonEKS_EFS_CSI_DriverRole con un nome diverso.


export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
aws eks describe-cluster --name $cluster_name --query "cluster.identity.oidc.issuer" --output text

Di seguito viene riportato un output di esempio.


https://oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>

Se l'output dal comando è None, rivedi i Prerequisiti.

Crea il ruolo IAM che concede l'autorizzazione per l'operazione AssumeRoleWithWebIdentity.

Copia i seguenti contenuti in un file denominato aws-efs-csi-driver-trust-policy.json. Sostituisci <111122223333> con l'ID del tuo account. Sostituire <EXAMPLED539D4633E53DE1B71EXAMPLE> e <region-code> con i valori restituiti nella fase precedente.


{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::123456789012:oidc-provider/oidc.eks.us-east-1.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringLike": {
          "oidc.eks.us-east-1.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",
          "oidc.eks.us-east-1.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
        }
      }
    }
  ]
}

Creare il ruolo.


aws iam create-role \
  --role-name $role_name \
  --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy.json"

Allega la politica AWS gestita richiesta al ruolo con il comando seguente.


aws iam attach-role-policy \
  --policy-arn arn:aws: iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name $role_name

Fase 2: ottenere il driver CSI per Amazon EFS

Consigliamo di installare il driver Amazon EFS CSI attraverso il componente aggiuntivo di Amazon EKS. Per aggiungere un componente aggiuntivo di Amazon EKS al cluster, consulta Creare un componente aggiuntivo Amazon EKS. Per ulteriori informazioni sui componenti aggiuntivi, consulta Componenti aggiuntivi Amazon EKS. Se non riesci a utilizzare il componente aggiuntivo Amazon EKS, ti consigliamo di segnalare un problema sul motivo per cui non puoi farlo all'archivio della roadmap GitHub di Containers.

Importante

Prima di aggiungere il driver Amazon EFS come componente aggiuntivo di Amazon EKS, verificare che nel cluster non sia installata una versione autogestita del driver. In tal caso, consulta Disinstallazione del driver Amazon EFS CSI su. GitHub

In alternativa, se desideri un'installazione autogestita del driver Amazon EFS CSI, consulta Installazionesu GitHub.

Fase 3: Creazione di un file system Amazon EFS

Per creare un file system Amazon EFS, consulta Creazione di un sistema di file Amazon EFS per Amazon EKS su GitHub.

Fase 4: implementazione di un’applicazione di esempio

Puoi implementare diverse app di esempio e modificarle in base alle tue esigenze. Per ulteriori informazioni, consulta Esempi su. GitHub

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Amazon EBS

Amazon FSx per Lustre