Aidez à améliorer cette page
Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Vous souhaitez contribuer à ce guide de l'utilisateur ? Choisissez le GitHub lien Modifier cette page sur qui se trouve dans le volet droit de chaque page. Vos contributions aideront à améliorer notre guide de l'utilisateur pour tout le monde.
Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Stockage Kubernetes volumes avec Amazon EBS
Note
Nouveau : le mode automatique d'Amazon EKS automatise les tâches de routine pour le stockage par blocs. Découvrez comment Déployer un exemple de charge de travail dynamique en mode automatique EKS.
Le pilote Amazon Elastic Block Store (Amazon EBS) Container Storage Interface (CSI)
Considérations
-
Il n'est pas nécessaire d'installer le contrôleur Amazon EBS CSI sur les clusters en mode automatique EKS.
-
Vous ne pouvez pas monter de volumes Amazon EBS sur Fargate Pods.
-
Vous pouvez exécuter le contrôleur Amazon EBS CSI sur les nœuds Fargate, mais le nœud Amazon EBS CSI DaemonSet ne peut être exécuté que sur EC2 des instances Amazon.
-
Les volumes Amazon EBS et le pilote Amazon EBS CSI ne sont pas compatibles avec les nœuds hybrides Amazon EKS.
-
Support sera fourni pour la dernière version du module complémentaire et une version précédente. Les bogues ou vulnérabilités découverts dans la dernière version seront rétroportés vers la version précédente dans une nouvelle version mineure.
Important
Pour utiliser la fonctionnalité de capture instantanée du pilote Amazon EBS CSI, vous devez d'abord installer le contrôleur de capture instantanée CSI. Pour de plus amples informations, veuillez consulter Activer la fonctionnalité de capture instantanée pour les volumes CSI.
Prérequis
-
Un cluster existant. Pour afficher la version requise de la plateforme, exécutez la commande suivante.
aws eks describe-addon-versions --addon-name aws-ebs-csi-driver
-
Le pilote EBS CSI a besoin d'autorisations AWS IAM.
-
AWS suggère d'utiliser EKS Pod Identities. Pour de plus amples informations, veuillez consulter Présentation de la configuration des identités du pod EKS.
-
Pour plus d'informations sur les rôles IAM pour les comptes de service, consultezCréer un IAM OIDC fournisseur pour votre cluster.
-
-
Si vous utilisez un module restreint à l'échelle d'un cluster PodSecurityPolicy, assurez-vous que le module complémentaire dispose des autorisations suffisantes pour être déployé. Pour les autorisations requises par chaque module complémentaire Pod, voir la définition du manifeste complémentaire correspondant
sur GitHub.
Étape 1 : Créer un rôle IAM
Le plug-in Amazon EBS CSI nécessite des autorisations IAM pour passer des appels en votre AWS APIs nom. Si vous ne suivez pas ces étapes, la tentative d'installation du module complémentaire et son exécution s'kubectl describe pvc
afficheront failed to provision volume with StorageClass
avec un could not create volume in EC2: UnauthorizedOperation
message d'erreur. Pour plus d'informations, voir Configurer l'autorisation de conduire
Note
Pods aura accès aux autorisations attribuées au rôle IAM, sauf si vous bloquez l'accès à IMDS. Pour de plus amples informations, veuillez consulter Sécurisez les clusters Amazon EKS à l'aide des meilleures pratiques.
La procédure suivante explique comment créer un rôle IAM et y associer la politique AWS gérée. Pour implémenter cette procédure, vous pouvez utiliser l'un des outils suivants :
Note
Les étapes spécifiques de cette procédure sont destinées à l'utilisation du pilote en tant que module complémentaire d'Amazon EKS. Différentes étapes sont nécessaires pour utiliser le pilote en tant que module complémentaire autogéré. Pour plus d'informations, voir Configurer les autorisations de conduire
eksctl
-
Créez un rôle IAM et associez une politique. AWS gère une politique AWS gérée ou vous pouvez créer votre propre politique personnalisée. Vous pouvez créer un rôle IAM et associer la politique AWS gérée à l'aide de la commande suivante. Remplacez
my-cluster
par le nom de votre cluster. La commande déploie une AWS CloudFormation pile qui crée un rôle IAM et y attache la politique IAM.eksctl create iamserviceaccount \ --name ebs-csi-controller-sa \ --namespace kube-system \ --cluster my-cluster \ --role-name AmazonEKS_EBS_CSI_DriverRole \ --role-only \ --attach-policy-arn arn:aws: iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \ --approve
-
Si vous utilisez une clé KMS
personnalisée pour le chiffrement de vos volumes Amazon EBS, personnalisez le rôle IAM en fonction des besoins. Par exemple, procédez comme suit : -
Copiez et collez le code suivant dans un nouveau fichier
kms-key-for-encryption-on-ebs.json
. Remplacezcustom-key-arn
par l'ARN de clé KMS personnalisé.{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": ["custom-key-arn"], "Condition": { "Bool": { "kms:GrantIsForAWSResource": "true" } } }, { "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": ["custom-key-arn"] } ] }
-
Créez la politique. Vous pouvez remplacer
KMS_Key_For_Encryption_On_EBS_Policy
par un autre nom. Cependant, si vous le remplacez, assurez-vous de le remplacer également dans les étapes suivantes.aws iam create-policy \ --policy-name KMS_Key_For_Encryption_On_EBS_Policy \ --policy-document file://kms-key-for-encryption-on-ebs.json
-
Attachez la politique IAM au rôle à l'aide de la commande suivante. Remplacez
111122223333
par votre ID de compte.aws iam attach-role-policy \ --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \ --role-name AmazonEKS_EBS_CSI_DriverRole
-
AWS Management Console
-
Ouvrez la console IAM à l'adresse https://console.aws.amazon.com/iam/
. -
Dans le volet de navigation de gauche, choisissez Rôles.
-
Sur la page Rôles, choisissez Créer un rôle.
-
Sur la page Select trusted entity (Sélectionnez une entité de confiance), procédez comme suit :
-
Dans la section Trusted entity type (Type d'entité de confiance), sélectionnez Web identity (Identité web).
-
Pour le fournisseur d'identité, choisissez OpenID Connect URL du fournisseur de votre cluster (comme indiqué dans la section Vue d'ensemble dans Amazon EKS).
-
Pour Audience, choisissez
sts.amazonaws.com
. -
Choisissez Suivant.
-
-
Sur la page Add permissions (Ajouter des autorisations), procédez comme suit :
-
Dans la zone Filter policies (Politiques de filtre), saisissez
AmazonEBSCSIDriverPolicy
. -
Cochez la case à gauche du
AmazonEBSCSIDriverPolicy
renvoyé dans la recherche. -
Choisissez Suivant.
-
-
Sur la page Name, review, and create (Nommer, vérifier et créer), procédez comme suit :
-
Pour Role name (Nom de rôle), saisissez un nom unique pour votre rôle, par exemple,
AmazonEKS_EBS_CSI_DriverRole
. -
Sous Ajouter des balises (Facultatif), ajoutez des métadonnées au rôle en attachant les identifications sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation des balises dans IAM, consultez la rubrique Balisage des ressources IAM dans le Guide de l'utilisateur IAM.
-
Sélectionnez Créer un rôle.
-
-
Une fois le rôle créé, choisissez le rôle dans la console pour l'ouvrir et le modifier.
-
Sélectionnez l'onglet Trust relationships (Relations d'approbation), puis Edit trust policy (Modifier la politique d'approbation).
-
Trouvez la ligne qui ressemble à la ligne suivante :
"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
Ajoutez une virgule à la fin de la ligne précédente, puis ajoutez la ligne suivante après la ligne précédente. Remplacez
region-code
par la AWS région dans laquelle se trouve votre cluster.EXAMPLED539D4633E53DE1B71EXAMPLE
Remplacez-le par l'ID du fournisseur OIDC de votre cluster."oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
-
Sélectionnez Update Trust Policy (Mettre à jour la politique d'approbation) pour terminer.
-
Si vous utilisez une clé KMS
personnalisée pour le chiffrement de vos volumes Amazon EBS, personnalisez le rôle IAM en fonction des besoins. Par exemple, procédez comme suit : -
Dans le volet de navigation de gauche, choisissez Politiques.
-
Sur la page Politiques, choisissez Créer une politique.
-
Sur la page Créer une politique, choisissez l'onglet JSON.
-
Copiez et collez le code suivant dans l'éditeur, en remplaçant
custom-key-arn
par l'ARN de clé KMS personnalisée.{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": ["custom-key-arn"], "Condition": { "Bool": { "kms:GrantIsForAWSResource": "true" } } }, { "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": ["custom-key-arn"] } ] }
-
Choisissez Suivant : Balises.
-
Sur la page Ajouter des balises (facultatif), choisissez Suivant : Vérifier.
-
Dans Nom, attribuez un nom unique à votre politique (par exemple
KMS_Key_For_Encryption_On_EBS_Policy
). -
Choisissez Create Policy (Créer une politique).
-
Dans le volet de navigation de gauche, choisissez Rôles.
-
Choisissez le
AmazonEKS_EBS_CSI_DriverRole
dans la console pour l'ouvrir en vue de le modifier. -
Dans la liste déroulante Ajouter des autorisations, choisissez Associer des politiques.
-
Dans la zone Filter policies (Politiques de filtre), saisissez
KMS_Key_For_Encryption_On_EBS_Policy
. -
Cochez la case à gauche du
KMS_Key_For_Encryption_On_EBS_Policy
renvoyé dans la recherche. -
Choisissez Attach Policies (Attacher des politiques).
-
AWS CLI
-
Consultez l'URL du fournisseur OIDC de votre cluster. Remplacez
my-cluster
par le nom de votre cluster. Si la sortie de la commande estNone
, consultez Prérequis.aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text
L'exemple qui suit illustre un résultat.
https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE
-
Créez le rôle IAM et attachez-y l'action
AssumeRoleWithWebIdentity
.-
Copiez le contenu suivant dans un fichier nommé
aws-ebs-csi-driver-trust-policy.json
. Remplacez111122223333
par votre ID de compte. RemplacezEXAMPLED539D4633E53DE1B71EXAMPLE
etregion-code
par les valeurs renvoyées par l'étape précédente.{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE" }, "Action": "sts:AssumeRoleWithWebIdentity", "Condition": { "StringEquals": { "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com", "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa" } } } ] }
-
Créez le rôle. Vous pouvez remplacer
AmazonEKS_EBS_CSI_DriverRole
par un autre nom. Si vous le remplacez, assurez-vous de le remplacer dans les étapes suivantes.aws iam create-role \ --role-name AmazonEKS_EBS_CSI_DriverRole \ --assume-role-policy-document file://"aws-ebs-csi-driver-trust-policy.json"
-
-
Joignez une politique. AWS gère une politique AWS gérée ou vous pouvez créer votre propre politique personnalisée. Attachez la politique AWS gérée au rôle à l'aide de la commande suivante.
aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \ --role-name AmazonEKS_EBS_CSI_DriverRole
-
Si vous utilisez une clé KMS
personnalisée pour le chiffrement de vos volumes Amazon EBS, personnalisez le rôle IAM en fonction des besoins. Par exemple, procédez comme suit : -
Copiez et collez le code suivant dans un nouveau fichier
kms-key-for-encryption-on-ebs.json
. Remplacezcustom-key-arn
par l'ARN de clé KMS personnalisé.{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": ["custom-key-arn"], "Condition": { "Bool": { "kms:GrantIsForAWSResource": "true" } } }, { "Effect": "Allow", "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": ["custom-key-arn"] } ] }
-
Créez la politique. Vous pouvez remplacer
KMS_Key_For_Encryption_On_EBS_Policy
par un autre nom. Cependant, si vous le remplacez, assurez-vous de le remplacer également dans les étapes suivantes.aws iam create-policy \ --policy-name KMS_Key_For_Encryption_On_EBS_Policy \ --policy-document file://kms-key-for-encryption-on-ebs.json
-
Attachez la politique IAM au rôle à l'aide de la commande suivante. Remplacez
111122223333
par votre ID de compte.aws iam attach-role-policy \ --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \ --role-name AmazonEKS_EBS_CSI_DriverRole
-
Maintenant que vous avez créé le rôle IAM du pilote Amazon EBS CSI, vous pouvez passer à la section suivante. Lorsque vous déployez le module complémentaire avec ce rôle IAM, il crée et est configuré pour utiliser un compte de service nomméebs-csi-controller-sa
. Le compte de service est lié à un Kubernetes clusterrole
auquel a été attribué le montant requis Kubernetes autorisations.
Étape 2 : obtenir le pilote Amazon EBS CSI
Nous vous recommandons d'installer le pilote Amazon EBS CSI via le module complémentaire Amazon EKS afin d'améliorer la sécurité et de réduire la charge de travail. Pour ajouter un module complémentaire Amazon EKS à votre cluster, voir Création d'un module complémentaire Amazon EKS. Pour plus d'informations sur les modules complémentaires, voir Modules complémentaires Amazon EKS.
Important
Avant d'ajouter le pilote Amazon EBS en tant que module complémentaire Amazon EKS, vérifiez qu'aucune version autogérée du pilote n'est installée sur votre cluster. Dans ce cas, consultez la section Désinstaller un pilote Amazon EBS CSI autogéré
Étape 3 : Déployer un exemple d'application
Vous pouvez déployer une variété d'applications types et les modifier selon vos besoins. Pour plus d'informations, consultez les exemples de Kubernetes sur