Amazon EFS CSI 드라이버와 함께 Amazon S3 파일 시스템 스토리지 사용 EFS

EKS Pod Identity를 사용하는 경우

서비스 계정에 IAM 역할을 사용하는 경우

필터 정책 상자에 AmazonS3FilesCSIDriverPolicy를 입력합니다.

검색에서 반환된 정책의 왼쪽에 있는 확인란을 선택합니다.

다음을 선택합니다.

역할 이름에 역할의 고유한 이름(예: AmazonEKS_EFS_CSI_ControllerRole)을 입력합니다.

태그 추가(선택사항)에서 태그를 키-값 페어로 연결하여 메타데이터를 역할에 추가합니다. IAM에서 태그 사용에 대한 자세한 내용을 알아보려면 IAM 사용 설명서의 IAM 리소스에 태깅을 참조하세요.

역할 생성을 선택합니다.

EKS Pod Identity를 사용하는 경우

서비스 계정에 IAM 역할을 사용하는 경우

다음 콘텐츠를 aws-efs-csi-driver-trust-policy-pod-identity.json라는 파일에 복사합니다.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

역할을 생성합니다. <cluster-name>을 클러스터 이름으로 바꿉니다.

export cluster_name=my-cluster
export controller_role_name=AmazonEKS_EFS_CSI_ControllerRole
aws iam create-role \
  --role-name $controller_role_name \
  --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy-pod-identity.json"

다음 콘텐츠를 controller-trust-policy.json라는 파일에 복사합니다. <111122223333>을 계정 ID로 바꿉니다. <EXAMPLED539D4633E53DE1B71EXAMPLE> 및 <region-code>를 이전 단계에서 반환된 값으로 바꿉니다.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::<111122223333>:oidc-provider/oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:aud": "sts.amazonaws.com",
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:sub": "system:serviceaccount:kube-system:efs-csi-controller-sa"
                }
            }
        }
    ]
}

역할을 생성합니다.

export controller_role_name=AmazonEKS_EFS_CSI_ControllerRole
aws iam create-role \
  --role-name $controller_role_name \
  --assume-role-policy-document file://"controller-trust-policy.json"

다음 콘텐츠를 node-trust-policy.json라는 파일에 복사합니다. <111122223333>을 계정 ID로 바꿉니다. <EXAMPLED539D4633E53DE1B71EXAMPLE> 및 <region-code>를 1단계에서 반환된 값으로 바꿉니다.

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::<111122223333>:oidc-provider/oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:sub": "system:serviceaccount:kube-system:efs-csi-node-sa",
                    "oidc.eks.<region-code>.amazonaws.com/id/<EXAMPLED539D4633E53DE1B71EXAMPLE>:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}

역할을 생성합니다.

export node_role_name=AmazonEKS_EFS_CSI_NodeRole
aws iam create-role \
  --role-name $node_role_name \
  --assume-role-policy-document file://"node-trust-policy.json"