使用 Amazon 存放彈性檔案系統 EFS

在 開啟IAM主控台https://console.aws.amazon.com/iam/。

在左側導覽窗格中，選擇 Roles (角色)。

在 Roles (角色) 頁面上，選擇 Create role (建立角色)。

在 Select trusted entity (選取信任的實體) 頁面上，執行以下作業：

1. 在 Trusted entity type (信任的實體類型) 區段中，選擇 Web identity (Web 身分)。

2. 針對 Identity provider ，選擇 OpenID Connect 叢集URL的提供者 （如 Amazon 中的概觀 所示EKS）。

3. 針對 Audience (對象)，選擇 sts.amazonaws.com。

4. 選擇 Next (下一步)。

在 Add permissions (新增許可) 頁面上，執行以下作業：

1. 在 Filter policies (篩選政策) 方塊中，輸入 AmazonEFSCSIDriverPolicy。

2. 勾選在搜尋中傳回的 AmazonEFSCSIDriverPolicy 左側的核取方塊。

3. 選擇 Next (下一步)。

在 Name, review, and create (命名、檢閱和建立) 頁面上，執行以下作業：

1. 針對 Role name (角色名稱)，為您的角色輸入唯一名稱 (例如 AmazonEKS_EFS_CSI_DriverRole)。

2. 藉由連接標籤做為鍵值對，在新增標籤 (選用) 下將中繼資料新增至角色。如需在 中使用標籤的詳細資訊IAM，請參閱 IAM 使用者指南 中的標記IAM資源。

3. 選擇建立角色。

建立角色之後，在主控台中選擇角色，以開啟角色進行編輯。

選擇 Trust Relationships (信任關係) 標籤，然後選擇 Edit Trust Relationship (編輯信任政策)。

查找與下列行相似的行：

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

在前一行上方加入下列行。region-code將 取代 AWS 區域 為您的叢集所在的 。EXAMPLED539D4633E53DE1B71EXAMPLE 以叢集的OIDC提供者 ID 取代 。

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",

將 Condition 運算子從 "StringEquals" 修改為 "StringLike"。

選擇 Update policy (更新政策) 以完成操作。

檢視叢集的OIDC提供者 URL。使用您的叢集名稱取代 my-cluster。如果來自命令的輸出是 None，則請檢閱先決條件。

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

範例輸出如下。

https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE

建立授予AssumeRoleWithWebIdentity動作IAM的角色。

1. 將下列內容複製到名為 aws-efs-csi-driver-trust-policy.json 的檔案。使用您的帳戶 ID 取代 111122223333。使用前一個步驟傳回的值取代 EXAMPLED539D4633E53DE1B71EXAMPLE 和 region-code。如果您的叢集位於 AWS GovCloud （美國東部） 或 AWS GovCloud （美國西部） AWS 區域，則arn:aws:以 取代 arn:aws-us-gov:。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringLike": {
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:efs-csi-*",
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
           }
         }
       }
     ]
   }

2. 建立角色。您可以變更 AmazonEKS_EFS_CSI_DriverRole 為不同的名稱，但如果這樣做，請務必在稍後的步驟中進行變更。

   aws iam create-role \
     --role-name AmazonEKS_EFS_CSI_DriverRole \
     --assume-role-policy-document file://"aws-efs-csi-driver-trust-policy.json"
   

使用下列命令，將所需的 AWS 受管政策連接至 角色。如果您的叢集位於 AWS GovCloud （美國東部） 或 AWS GovCloud （美國西部） AWS 區域，則arn:aws:以 取代 arn:aws-us-gov:。

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
  --role-name AmazonEKS_EFS_CSI_DriverRole