Archivia un file system elastico con Amazon EFS

Apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

Nel pannello di navigazione a sinistra, seleziona Ruoli.

Nella pagina Ruoli, seleziona Crea ruolo.

Nella pagina Select trusted entity (Seleziona entità attendibile), esegui le operazioni seguenti:

1. Nella sezione Tipo di identità attendibile, scegli Identità Web.

2. Per provider di identità, scegli OpenID Connect provider URL per il tuo cluster (come mostrato nella sezione Panoramica in AmazonEKS).

3. Per Pubblico, scegli sts.amazonaws.com.

4. Scegli Next (Successivo).

Nella pagina Add permissions (Aggiungi autorizzazioni), esegui le operazioni seguenti:

1. Nella casella Filtra policy, inserisci AmazonEFSCSIDriverPolicy.

2. Seleziona la casella di controllo a sinistra della AmazonEFSCSIDriverPolicy restituita dalla ricerca.

3. Scegli Next (Successivo).

Nella pagina Name, review, and create (Assegna un nome, rivedi e crea), esegui le operazioni seguenti:

1. Per Role name (Nome ruolo), inserisci un nome univoco per il ruolo, ad esempio AmazonEKS_EFS_CSI_DriverRole.

2. In Aggiungi tag (facoltativo), aggiungi metadati al ruolo collegando i tag come coppie chiave-valore. Per ulteriori informazioni sull'utilizzo dei tag inIAM, consulta Tagging IAM resources nella Guida per l'IAMutente.

3. Scegliere Crea ruolo.

Dopo aver creato il ruolo, sceglilo nella console in modo da aprirlo per la modifica.

Scegli la scheda Relazioni di attendibilità e quindi Modifica policy di attendibilità.

Trova la riga simile alla seguente:

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

Aggiungi la riga seguente sopra la riga precedente. region-codeSostituiscilo con Regione AWS quello in cui si trova il cluster. Sostituiscilo EXAMPLED539D4633E53DE1B71EXAMPLE con l'ID del OIDC provider del cluster.

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",

Modifica l'operatore Condition da "StringEquals" a "StringLike".

Scegli Aggiorna policy per concludere.

Visualizza il OIDC provider del tuo clusterURL. Sostituire my-cluster con il nome del cluster. Se l'output dal comando è None, rivedi i Prerequisiti.

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

Di seguito viene riportato un output di esempio:

https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE

Crea il IAM ruolo che concede l'AssumeRoleWithWebIdentityazione.

1. Copia i contenuti seguenti in un file denominato aws-efs-csi-driver-trust-policy.json. Sostituisci 111122223333 con l'ID del tuo account. Sostituisci EXAMPLED539D4633E53DE1B71EXAMPLE e region-code con i valori restituiti nella fase precedente. Se il tuo cluster si trova negli AWS GovCloud Stati Uniti orientali o AWS GovCloud negli Stati Uniti occidentali Regioni AWS, sostituiscilo con. arn:aws: arn:aws-us-gov:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringLike": {
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
           }
         }
       }
     ]
   }

2. Crea il ruolo. È possibile modificare AmazonEKS_EFS_CSI_DriverRole con un nome diverso. In tal caso, assicurati di modificarlo anche nelle fasi successive.

   aws iam create-role \
     --role-name AmazonEKS_EFS_CSI_DriverRole \
     --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy.json"
   

Allega la politica AWS gestita richiesta al ruolo con il comando seguente. Se il cluster si trova negli AWS GovCloud Stati Uniti orientali o AWS GovCloud negli Stati Uniti occidentali Regioni AWS, arn:aws: sostituiscilo con. arn:aws-us-gov:

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name AmazonEKS_EFS_CSI_DriverRole