Simpan sistem file elastis dengan Amazon EFS

Buka IAM konsol di https://console.aws.amazon.com/iam/.

Di panel navigasi sebelah kiri, pilih Peran.

Pada halaman Peran, pilih Buat peran.

Pada halaman Pilih entitas tepercaya, lakukan hal berikut:

1. Di bagian Jenis entitas tepercaya, pilih Identitas web.

2. Untuk penyedia Identitas, pilih OpenID Connect penyedia URL untuk klaster Anda (seperti yang ditunjukkan di bawah Ikhtisar di AmazonEKS).

3. Untuk Audiens, pilih sts.amazonaws.com.

4. Pilih Berikutnya.

Pada halaman Tambahkan izin, lakukan hal berikut:

1. Di dalam kotak Filter kebijakan, masukkan AmazonEFSCSIDriverPolicy.

2. Pilih kotak centang di sebelah kiri yang AmazonEFSCSIDriverPolicy dikembalikan dalam pencarian.

3. Pilih Berikutnya.

Pada halaman Nama, tinjau, dan buat, lakukan hal berikut:

1. Untuk nama Peran, masukkan nama unik untuk peran Anda, sepertiAmazonEKS_EFS_CSI_DriverRole.

2. Di bawah Tambahkan tag (Opsional), tambahkan metadata ke peran dengan melampirkan tag sebagai pasangan nilai kunci. Untuk informasi selengkapnya tentang penggunaan tagIAM, lihat Menandai IAM sumber daya di Panduan IAM Pengguna.

3. Pilih Buat peran.

Setelah peran dibuat, pilih peran di konsol untuk dibuka, dan kemudian diedit.

Pilih tab Trust relationship, lalu pilih Edit trust policy.

Temukan garis yang terlihat mirip dengan baris berikut:

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

Tambahkan baris berikut di atas baris sebelumnya. Ganti region-code dengan tempat Wilayah AWS cluster Anda berada. Ganti EXAMPLED539D4633E53DE1B71EXAMPLE dengan ID OIDC penyedia klaster Anda.

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",

Ubah Condition operator dari "StringEquals" ke"StringLike".

Pilih Perbarui kebijakan untuk menyelesaikan.

Lihat OIDC penyedia klaster AndaURL. Ganti my-cluster dengan nama klaster Anda. Jika output dari perintah adalah None, tinjau Prasyarat.

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

Contoh output adalah sebagai berikut.

https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE

Buat IAM peran yang memberikan AssumeRoleWithWebIdentity tindakan.

1. Salin isi berikut ke file bernama aws-efs-csi-driver-trust-policy.json. Ganti 111122223333 dengan ID akun Anda. Ganti EXAMPLED539D4633E53DE1B71EXAMPLE dan region-code dengan nilai yang dikembalikan pada langkah sebelumnya. Jika cluster Anda berada di AWS GovCloud (AS-Timur) atau AWS GovCloud (AS-Barat) Wilayah AWS, maka ganti arn:aws: dengan. arn:aws-us-gov:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringLike": {
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
           }
         }
       }
     ]
   }

2. Buat peran. Anda dapat mengubah AmazonEKS_EFS_CSI_DriverRole ke nama yang berbeda, tetapi jika Anda melakukannya, pastikan untuk mengubahnya juga dalam langkah berikutnya.

   aws iam create-role \
     --role-name AmazonEKS_EFS_CSI_DriverRole \
     --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy.json"
   

Lampirkan kebijakan AWS terkelola yang diperlukan ke peran dengan perintah berikut. Jika cluster Anda berada di AWS GovCloud (AS-Timur) atau AWS GovCloud (AS-Barat) Wilayah AWS, maka ganti arn:aws: dengan. arn:aws-us-gov:

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name AmazonEKS_EFS_CSI_DriverRole