Mountpoint pour le pilote CSI Amazon S3

Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

Dans le panneau de navigation de gauche, choisissez Rôles.

Sur la page Rôles, choisissez Créer un rôle.

Sur la page Select trusted entity (Sélectionnez une entité de confiance), procédez comme suit :

1. Dans la section Trusted entity type (Type d'entité de confiance), sélectionnez Web identity (Identité web).

2. Pour Fournisseur d'identité, choisissez l'URL du fournisseur OpenID Connect pour votre cluster (comme indiqué sous Présentation dans Amazon EKS).

   Si aucune URL ne s'affiche, consultez la section Conditions préalables.

3. Pour Audience, choisissez sts.amazonaws.com.

4. Choisissez Suivant.

Sur la page Add permissions (Ajouter des autorisations), procédez comme suit :

1. Dans la zone Filter policies (Politiques de filtre), saisissez AmazonS3CSIDriverPolicy.

   Note

   Cette politique a été créée dans la section précédente.

2. Cochez la case à gauche du résultat AmazonS3CSIDriverPolicy renvoyé par la recherche.

3. Choisissez Suivant.

Sur la page Name, review, and create (Nommer, vérifier et créer), procédez comme suit :

1. Pour Role name (Nom de rôle), saisissez un nom unique pour votre rôle, par exemple, AmazonEKS_S3_CSI_DriverRole.

2. Sous Ajouter des balises (Facultatif), ajoutez des métadonnées au rôle en attachant les identifications sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation des balises dans IAM, consultez la rubrique Balisage des ressources IAM dans le Guide de l'utilisateur IAM.

3. Sélectionnez Créer un rôle.

Une fois le rôle créé, choisissez le rôle dans la console pour l'ouvrir et le modifier.

Sélectionnez l'onglet Trust relationships (Relations d'approbation), puis Edit trust policy (Modifier la politique d'approbation).

Trouvez la ligne qui ressemble à ce qui suit :

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

Ajoutez une virgule à la fin de la ligne précédente, puis ajoutez la ligne suivante. region-codeRemplacez-le par Région AWS celui dans lequel se trouve votre cluster. Remplacez EXAMPLED539D4633E53DE1B71EXAMPLE avec l'ID du fournisseur OIDC de votre cluster.

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:s3-csi-*"

Remplacez l'opérateur Condition par "StringEquals" au lieu de "StringLike".

Sélectionnez Update Trust Policy (Mettre à jour la politique d'approbation) pour terminer.

Affichez l'URL du fournisseur OIDC de votre cluster. Remplacez my-cluster par le nom de votre cluster. Si la sortie de la commande est None, consultez Prérequis.

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

L'exemple qui suit illustre un résultat.

https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE

Créez le rôle IAM, en accordant au compte de service Kubernetes l'action AssumeRoleWithWebIdentity.

1. Copiez le contenu suivant dans un fichier nommé aws-s3-csi-driver-trust-policy.json. Remplacez 111122223333 par votre ID de compte. Remplacez EXAMPLED539D4633E53DE1B71EXAMPLE et region-code par les valeurs renvoyées par l'étape précédente.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringLike": {
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:s3-csi-*",
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
           }
         }
       }
     ]
   }

2. Créez le rôle. Vous pouvez changer le nom de AmazonEKS_S3_CSI_DriverRole. Dans ce cas, veillez à le changer également dans les étapes suivantes.

   aws iam create-role \
     --role-name AmazonEKS_S3_CSI_DriverRole \
     --assume-role-policy-document file://"aws-s3-csi-driver-trust-policy.json"
   

Attachez la politique IAM créée précédemment au rôle à l'aide de la commande suivante.

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/AmazonS3CSIDriverPolicy \
  --role-name AmazonEKS_S3_CSI_DriverRole

Sautez cette étape si vous installez le pilote en tant que module complémentaire d'Amazon EKS. Pour les installations autogérées du pilote, créez des comptes de service Kubernetes annotés avec l'ARN du rôle IAM que vous avez créé.

1. Enregistrez le contenu suivant dans un fichier nommé mountpoint-s3-service-account.yaml. Remplacez 111122223333 par votre ID de compte.

   ---
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     labels:
       app.kubernetes.io/name: aws-mountpoint-s3-csi-driver
     name: mountpoint-s3-csi-controller-sa
     namespace: kube-system
     annotations:
       eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKS_S3_CSI_DriverRole
   
       

2. Créez le compte de service Kubernetes sur votre cluster. Le compte de service Kubernetes (mountpoint-s3-csi-controller-sa) est annoté avec le rôle IAM que vous avez créé nommé AmazonEKS_S3_CSI_DriverRole.

   kubectl apply -f mountpoint-s3-service-account.yaml
   

   Note

   Lorsque vous déployez le plugin dans cette procédure, il crée et est configuré pour utiliser un compte de service nommé s3-csi-driver-sa.

Ouvrez la console Amazon EKS à l'adresse https://console.aws.amazon.com/eks/home#/clusters.

Dans le panneau de navigation de gauche, choisissez Clusters.

Choisissez le nom du cluster pour lequel vous souhaitez configurer le module complémentaire CSI Mountpoint pour Amazon S3.

Choisissez l'onglet Modules complémentaires.

Choisissez Obtenez plus de modules complémentaires.

Sur la page Sélectionner des modules complémentaires, procédez comme suit :

1. Dans la section Amazon EKS-Addons, cochez la case pour le Mountpointpilote Amazon S3 CSI.

2. Choisissez Suivant.

Sur la page Configurer les paramètres des modules complémentaires sélectionnés, procédez comme suit :

1. Sélectionnez la version que vous souhaitez utiliser.

2. Pour Sélectionner un rôle IAM, sélectionnez le nom d'un rôle IAM auquel vous avez associé la Mountpoint politique IAM du pilote CSI Amazon S3.

3. (Facultatif) Vous pouvez développer les paramètres de configuration facultatifs. Si vous sélectionnez Remplacer pour la méthode de résolution des conflits, un ou plusieurs des paramètres du module complémentaire existant peuvent être remplacés par les paramètres du module complémentaire Amazon EKS. Si vous n'activez pas cette option et qu'il y a un conflit avec vos paramètres existants, l'opération échoue. Vous pouvez utiliser le message d'erreur qui en résulte pour résoudre le conflit. Avant de sélectionner cette option, assurez-vous que le module complémentaire Amazon EKS ne gère pas les paramètres que vous devez gérer vous-même.

4. Choisissez Suivant.

Sur la page Vérifier et ajouter, choisissez Créer. Une fois l'installation du module complémentaire terminée, vous pouvez voir le module complémentaire installé.

Ouvrez la console Amazon EKS à l'adresse https://console.aws.amazon.com/eks/home#/clusters.

Dans le panneau de navigation de gauche, choisissez Clusters.

Choisissez le nom du cluster pour lequel vous souhaitez supprimer le module complémentaire CSI Amazon EBS.

Choisissez l'onglet Modules complémentaires.

Choisissez Mountpointle pilote Amazon S3 CSI.

Sélectionnez Remove (Supprimer).

Dans la boîte de dialogue de confirmation Remove : aws-mountpoint-s 3-csi-driver, procédez comme suit :

1. Si vous voulez qu'Amazon EKS cesse de gérer les paramètres du module complémentaire, sélectionnez Conserver sur le cluster. Faites ceci si vous voulez retenir le logiciel du module complémentaire sur votre cluster. Ceci afin que vous puissiez gérer vous-même tous les paramètres du module complémentaire.

2. Saisissez aws-mountpoint-s3-csi-driver.

3. Sélectionnez Remove (Retirer).