ストレージ

手順

1. 以下の内容を含む IAM ポリシー JSON ファイルを作成します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:DescribeAccessPoints",
           "elasticfilesystem:DescribeFileSystems",
           "elasticfilesystem:DescribeMountTargets",
           "ec2:DescribeAvailabilityZones",
           "elasticfilesystem:TagResource"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:CreateAccessPoint"
         ],
         "Resource": "*",
         "Condition": {
           "StringLike": {
             "aws:RequestTag/efs.csi.aws.com/cluster": "true"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": "elasticfilesystem:DeleteAccessPoint",
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/efs.csi.aws.com/cluster": "true"
           }
         }
       }
     ]
   }

2. 以下の内容で IAM 信頼 JSON ファイルを作成します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::<your_aws_account_ID>:oidc-provider/<openshift_oidc_provider>"  1
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "<openshift_oidc_provider>:sub": [  2
               "system:serviceaccount:openshift-cluster-csi-drivers:aws-efs-csi-driver-operator",
               "system:serviceaccount:openshift-cluster-csi-drivers:aws-efs-csi-driver-controller-sa"
             ]
           }
         }
       }
     ]
   }

   1

   AWS アカウント ID および OpenShift OIDC プロバイダーエンドポイントを指定します。

   次のコマンドを実行して AWS アカウント ID を取得します。

   $ aws sts get-caller-identity --query Account --output text

   次のコマンドを実行して、OpenShift OIDC エンドポイントを取得します。

   $ openshift_oidc_provider=`oc get authentication.config.openshift.io cluster \
     -o json | jq -r .spec.serviceAccountIssuer | sed -e "s/^https:\/\///"`; \
     echo $openshift_oidc_provider

   2

   OpenShift OIDC エンドポイントを再度指定します。

3. IAM ロールを作成します。

   ROLE_ARN=$(aws iam create-role \
     --role-name "<your_cluster_name>-aws-efs-csi-operator" \
     --assume-role-policy-document file://<your_trust_file_name>.json \
     --query "Role.Arn" --output text); echo $ROLE_ARN

   ロール ARN をコピーします。AWS EFS CSI ドライバー Operator をインストールするときに必要になります。

4. IAM ポリシーを作成します。

   POLICY_ARN=$(aws iam create-policy \
     --policy-name "<your_cluster_name>-aws-efs-csi" \
     --policy-document file://<your_policy_file_name>.json \
     --query 'Policy.Arn' --output text); echo $POLICY_ARN

5. IAM ポリシーを IAM ロールに割り当てます。

   $ aws iam attach-role-policy \
     --role-name "<your_cluster_name>-aws-efs-csi-operator" \
     --policy-arn $POLICY_ARN

1. Web コンソールにログインします。

2. AWS EFS CSI Operator をインストールします。

   1. Operators → OperatorHub をクリックします。
   2. フィルターボックスに AWS EFS CSI と入力して、AWS EFS CSI Operator を探します。
   3. AWS EFS CSI Driver Operator ボタンをクリックします。
   重要

   AWS EFS Operator ではなく AWS EFS CSI Driver Operator を必ず選択してください。AWS EFS Operator はコミュニティー Operator であり、Red Hat ではサポートしていません。

   1. AWS EFS CSI Driver Operator ページで Install をクリックします。

   2. Install Operator のページで、以下のことを確認してください。

      • AWS EFS と AWS Secure Token Service (STS) を使用している場合は、role ARN フィールドに、セキュリティートークンサービスの Amazon リソース名ロールの取得 に記載されている最後の手順からコピーした ARN ロールを入力します。
      • All namespaces on the cluster (default) が選択されている。
      • Installed Namespace が openshift-cluster-csi-drivers に設定されている。

   3. Install をクリックします。

      インストールが終了すると、AWS EFS CSI Operator が Web コンソールの Installed Operators に表示されます。

手順

1. Administration → CustomResourceDefinitions → ClusterCSIDriver をクリックします。
2. Instances タブで Create ClusterCSIDriver をクリックします。

3. 以下の YAML ファイルを使用します。

   apiVersion: operator.openshift.io/v1
   kind: ClusterCSIDriver
   metadata:
       name: efs.csi.aws.com
   spec:
     managementState: Managed

4. Create をクリックします。

5. 以下の条件が "True" に変わるのを待ちます。

   • AWSEFSDriverNodeServiceControllerAvailable
   • AWSEFSDriverControllerServiceControllerAvailable

1. Administration > CustomResourceDefinitions をクリックします。
2. CustomResourceDefinitions ページの Name ドロップダウンボックスの横に、clustercsidriver と入力します。
3. CRD ClusterCSIDriver をクリックします。
4. YAML タブをクリックします。

5. spec.aws.efsVolumeMetrics.state の下で、値を RecursiveWalk に設定します。

   RecursiveWalk は、AWS EFS CSI ドライバーのボリュームメトリクス収集が、ボリューム内のファイルを再帰的にウォークスルーすることによって実行されることを示します。

   ClusterCSIDriver efs.csi.aws.com YAML ファイルの例

   spec:
       driverConfig:
           driverType: AWS
           aws:
               efsVolumeMetrics:
                 state: RecursiveWalk
                 recursiveWalk:
                   refreshPeriodMinutes: 100
                   fsRateLimit: 10

6. オプション: 再帰ウォークの動作を定義するために、次のフィールドを設定することもできます。

   • refreshPeriodMinutes: ボリュームメトリクスの更新頻度を分単位で指定します。このフィールドを空白のままにすると、適切なデフォルトが選択されますが、これは時間の経過とともに変更される可能性があります。現在のデフォルトは 240 分です。有効な範囲は 1 - 43,200 分です。
   • fsRateLimit: ファイルシステムごとに、goroutine でボリュームメトリクスを処理するためのレート制限を定義します。このフィールドを空白のままにすると、適切なデフォルトが選択されますが、これは時間の経過とともに変更される可能性があります。現在のデフォルトは 5 つの goroutine です。有効な範囲は 1 - 100 の goroutine です。
7. Save をクリックします。

1. 次のコマンドを実行して ClusterCSIDriver を編集します。

   $ oc edit clustercsidriver efs.csi.aws.com

2. spec.aws.efsVolumeMetrics.state の下で、値を RecursiveWalk に設定します。

   RecursiveWalk は、AWS EFS CSI ドライバーのボリュームメトリクス収集が、ボリューム内のファイルを再帰的にウォークスルーすることによって実行されることを示します。

   ClusterCSIDriver efs.csi.aws.com YAML ファイルの例

   spec:
       driverConfig:
           driverType: AWS
           aws:
               efsVolumeMetrics:
                 state: RecursiveWalk
                 recursiveWalk:
                   refreshPeriodMinutes: 100
                   fsRateLimit: 10

3. オプション: 再帰ウォークの動作を定義するために、次のフィールドを設定することもできます。

   • refreshPeriodMinutes: ボリュームメトリクスの更新頻度を分単位で指定します。このフィールドを空白のままにすると、適切なデフォルトが選択されますが、これは時間の経過とともに変更される可能性があります。現在のデフォルトは 240 分です。有効な範囲は 1 - 43,200 分です。
   • fsRateLimit: ファイルシステムごとに、goroutine でボリュームメトリクスを処理するためのレート制限を定義します。このフィールドを空白のままにすると、適切なデフォルトが選択されますが、これは時間の経過とともに変更される可能性があります。現在のデフォルトは 5 つの goroutine です。有効な範囲は 1 - 100 の goroutine です。
4. efs.csi.aws.com オブジェクトへの変更を保存します。

1. 次のサンプル YAML ファイルを使用して、ハイパーディスク固有のストレージクラスを使用する永続ボリューム要求 (PVC) を作成します。

   PVC YAML ファイルの例

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: my-pvc
   spec:
     storageClassName: hyperdisk-sc 1
     accessModes:
     - ReadWriteOnce
     resources:
       requests:
         storage: 2048Gi 2

   1

   PVC はストレージプール固有のストレージクラスを参照します。この例では、hyperdisk-sc です。

   2

   hyperdisk-balanced ボリュームのターゲットストレージ容量。この例では 2048Gi です。

2. 作成した PVC を使用するデプロイメントを作成します。デプロイメントを使用すると、Pod が再起動して再スケジュールされた後でも、アプリケーションが永続ストレージにアクセスできるようになります。

   1. デプロイメントを作成する前に、指定されたマシンシリーズのノードプールが稼働していることを確認します。稼働していない場合は、Pod はスケジュールに失敗します。

   2. 以下の YAML ファイルの例を使用してデプロイメントを作成します。

      デプロイメント YAML ファイルの例

      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: postgres
      spec:
        selector:
          matchLabels:
            app: postgres
        template:
          metadata:
            labels:
              app: postgres
          spec:
            nodeSelector:
              cloud.google.com/machine-family: n4 1
            containers:
            - name: postgres
              image: postgres:14-alpine
              args: [ "sleep", "3600" ]
              volumeMounts:
              - name: sdk-volume
                mountPath: /usr/share/data/
            volumes:
            - name: sdk-volume
              persistentVolumeClaim:
                claimName: my-pvc 2

      1

      マシンファミリーを指定します。この例では n4 です。

      2

      前述の手順で作成された PVC の名前を指定します。この例では my-pfc です。

   3. 以下のコマンドを実行して、デプロイメントが正常に作成されたことを確認します。

      $ oc get deployment

      出力例

      NAME       READY   UP-TO-DATE   AVAILABLE   AGE
      postgres   0/1     1            0           42s

      ハイパーディスクインスタンスがプロビジョニングを完了し、READY ステータスが表示されるまで数分かかる場合があります。

   4. 次のコマンドを実行して、PVC my-pvc が永続ボリューム (PV) に正常にバインドされていることを確認します。

      $ oc get pvc my-pvc

      出力例

      NAME          STATUS   VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS       VOLUMEATTRIBUTESCLASS  AGE
      my-pvc        Bound    pvc-1ff52479-4c81-4481-aa1d-b21c8f8860c6   2Ti        RWO            hyperdisk-sc       <unset>                2m24s

   5. hyperdisk-balanced ディスクの想定の設定を確認します。

      $ gcloud compute disks list

      出力例

      NAME                                        LOCATION        LOCATION_SCOPE  SIZE_GB  TYPE                STATUS
      instance-20240914-173145-boot               us-central1-a   zone            150      pd-standard         READY
      instance-20240914-173145-data-workspace     us-central1-a   zone            100      pd-balanced         READY
      c4a-rhel-vm                                 us-central1-a   zone            50       hyperdisk-balanced  READY 1

      1

      Hyperdisk-balanced ディスク。

   6. ストレージプールを使用している場合は、次のコマンドを実行して、ボリュームがストレージクラスと PVC で指定されたとおりにプロビジョニングされていることを確認します。

      $ gcloud compute storage-pools list-disks pool-us-east4-c --zone=us-east4-c

      出力例

      NAME                                      STATUS  PROVISIONED_IOPS  PROVISIONED_THROUGHPUT  SIZE_GB
      pvc-1ff52479-4c81-4481-aa1d-b21c8f8860c6  READY   3000              140                     2048

1. プロジェクト番号を取得します。

   1. 以下のコマンドを実行してプロジェクト ID を取得します。

      $ export PROJECT_ID=$(oc get infrastructure/cluster -o jsonpath='{.status.platformStatus.gcp.projectID}')

   2. 以下のコマンドを実行し、プロジェクト ID を使用してプロジェクト番号を取得します。

      $ gcloud projects describe $PROJECT_ID --format="value(projectNumber)"

2. ID プール ID とプロバイダー ID を検索します。

   クラスターのインストール中に、これらのリソースの名前は、--name parameter を使用して Cloud Credential Operator ユーティリティー (ccoctl) に渡されます。「Cloud Credential Operator ユーティリティーを使用した GCP リソースの作成」を参照してください。

3. GCP Filestore Operator の Workload Identity リソースを作成します。

   1. 次のサンプルファイルを使用して CredentialsRequest ファイルを作成します。

      Credentials Request YAML ファイルの例

      apiVersion: cloudcredential.openshift.io/v1
      kind: CredentialsRequest
      metadata:
        name: openshift-gcp-filestore-csi-driver-operator
        namespace: openshift-cloud-credential-operator
        annotations:
          include.release.openshift.io/self-managed-high-availability: "true"
          include.release.openshift.io/single-node-developer: "true"
      spec:
        serviceAccountNames:
        - gcp-filestore-csi-driver-operator
        - gcp-filestore-csi-driver-controller-sa
        secretRef:
          name: gcp-filestore-cloud-credentials
          namespace: openshift-cluster-csi-drivers
        providerSpec:
          apiVersion: cloudcredential.openshift.io/v1
      	kind: GCPProviderSpec
          predefinedRoles:
          - roles/file.editor
          - roles/resourcemanager.tagUser
          skipServiceCheck: true

   2. 次のコマンドを実行し、CredentialsRequest ファイルを使用して GCP サービスアカウントを作成します。

      $ ./ccoctl gcp create-service-accounts --name=<filestore-service-account> \1
        --workload-identity-pool=<workload-identity-pool> \2
        --workload-identity-provider=<workload-identity-provider> \3
        --project=<project-id> \4
        --credentials-requests-dir=/tmp/credreq 5

      1

      <FileStore-service-account> は、ユーザーが選択した名前です。

      2

      <workload-identity-pool> は、上記のステップ 2 から取得されます。

      3

      <workload-identity-provider> は、上記のステップ 2 から取得されます。

      4

      <project-id> は上記のステップ 1.a から取得されます。

      5

      CredentialsRequest ファイルが存在するディレクトリーの名前。

      出力例

      2025/02/10 17:47:39 Credentials loaded from gcloud CLI defaults
      2025/02/10 17:47:42 IAM service account filestore-service-account-openshift-gcp-filestore-csi-driver-operator created
      2025/02/10 17:47:44 Unable to add predefined roles to IAM service account, retrying...
      2025/02/10 17:47:59 Updated policy bindings for IAM service account filestore-service-account-openshift-gcp-filestore-csi-driver-operator
      2025/02/10 17:47:59 Saved credentials configuration to: /tmp/install-dir/ 1
      openshift-cluster-csi-drivers-gcp-filestore-cloud-credentials-credentials.yaml

      1

      現在のディレクトリー。

   3. 次のコマンドを実行して、新しく作成されたサービスアカウントのサービスアカウントメールを見つけます。

      $ cat /tmp/install-dir/manifests/openshift-cluster-csi-drivers-gcp-filestore-cloud-credentials-credentials.yaml | yq '.data["service_account.json"]' | base64 -d | jq '.service_account_impersonation_url'

      出力例

      https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/filestore-se-openshift-g-ch8cm@openshift-gce-devel.iam.gserviceaccount.com:generateAccessToken

      この出力例では、サービスアカウントのメールは filestore-se-openshift-g-ch8cm@openshift-gce-devel.iam.gserviceaccount.com です。

1. OpenShift Cluster Manager にログインします。
2. クラスターを選択します。
3. Open console をクリックし、認証情報を使用してログインします。

4. 次のコマンドを実行して、GCE プロジェクトで Filestore API を有効にします。

   $ gcloud services enable file.googleapis.com  --project <my_gce_project> 1

   1

   <my_gce_project> を Google Cloud プロジェクトに置き換えます。

   これは、Google Cloud Web コンソールを使用して行うこともできます。

5. GCP Filestore CSI Operator をインストールします。

   1. Operators → OperatorHub をクリックします。
   2. フィルターボックスに GCP Filestore と入力して、GCP Filestore CSI Operator を見つけます。
   3. GCP Filestore CSI Driver Operator ボタンをクリックします。
   4. GCP Filestore CSI Driver Operator ページで、Install をクリックします。

   5. Install Operator のページで、以下のことを確認してください。

      • All namespaces on the cluster (default) が選択されている。

      • Installed Namespace が openshift-cluster-csi-drivers に設定されている。

        GCP Workload Identity を使用する場合は、セクション ワークロードアイデンティティーを使用した GCP Filestore CSI ドライバー Operator のインストールの準備 の手順で取得した次のフィールドの値を入力します。

      • GCP Project Number
      • GCP Pool ID
      • GCP Provider ID
      • GCP Service Account Email

   6. Install をクリックします。

      インストールが終了すると、GCP Filestore CSI Operator が Web コンソールのInstalled Operatorsに表示されます。

6. GCP Filestore CSI ドライバーをインストールします。

   1. administration → CustomResourceDefinitions → ClusterCSIDriverをクリックします。

   2. Instances タブで Create ClusterCSIDriver をクリックします。

      以下の YAML ファイルを使用します。

      apiVersion: operator.openshift.io/v1
      kind: ClusterCSIDriver
      metadata:
          name: filestore.csi.storage.gke.io
      spec:
        managementState: Managed

   3. Create をクリックします。

   4. 以下の条件が "true" に変わるのを待ちます。

      • GCPFilestoreDriverCredentialsRequestControllerAvailable
      • GCPFilestoreDriverNodeServiceControllerAvailable
      • GCPFilestoreDriverControllerServiceControllerAvailable