5.10. AWS Elastic File Service CSI Driver Operator

AWS アカウント B に EFS ボリュームを作成します。

AWS アカウント B の AWS EFS ボリュームへのネットワークアクセスを設定します。

AWS アカウント A の OpenShift Container Platform クラスター VPC と AWS アカウント B の AWS EFS VPC の間に VPC ピアリングを作成します。

2 つの VPC が異なるネットワーク CIDR を使用していることを確認し、VPC ピアリングを作成した後、各 VPC にルートを追加して 2 つの VPC ネットワークを接続します。

AWS アカウント A と信頼関係がある AWS アカウント B に IAM ロール (たとえば、"my-efs-acrossaccount-role") を作成し、"my-efs-acrossaccount-role" を呼び出す権限を持つインライン AWS EFS ポリシーを追加します。ドライバーポリシー。

このロールは、AWS アカウント A の OpenShift Container Platform クラスター上で実行されている CSI ドライバーのコントローラーサービスによって使用され、AWS アカウント B のファイルシステムのマウントターゲットを決定します。

# Trust relationships trusted entity trusted account A configuration on my-efs-acrossaccount-role in account B

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::301721915996:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {}
        }
    ]
}

# my-cross-account-assume-policy policy attached to my-efs-acrossaccount-role in account B

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::589722580343:role/my-efs-acrossaccount-role"
    }
}

# my-efs-acrossaccount-driver-policy attached to my-efs-acrossaccount-role in account B

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeSubnets"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "elasticfilesystem:DescribeMountTargets",
                "elasticfilesystem:DeleteAccessPoint",
                "elasticfilesystem:ClientMount",
                "elasticfilesystem:DescribeAccessPoints",
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientRootAccess",
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:CreateAccessPoint"
            ],
            "Resource": [
                "arn:aws:elasticfilesystem:*:589722580343:access-point/*",
                "arn:aws:elasticfilesystem:*:589722580343:file-system/*"
            ]
        }
    ]
}

AWS アカウント A で、セキュリティートークンサービス (STS) を実行するために必要なアクセス許可を持つインラインポリシーを AWS EFS CSI ドライバーのコントローラーサービスアカウントの IAM ロールにアタッチし、前に作成した IAM ロールでロールを引き受けます。

# my-cross-account-assume-policy policy attached to Openshift cluster efs csi driver user in account A

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": "arn:aws:iam::589722580343:role/my-efs-acrossaccount-role"
    }
}

awsRoleArn をキーとして、前に作成したロールを値として使用して、Kubernetes シークレットを作成します。

$ oc -n openshift-cluster-csi-drivers create secret generic my-efs-cross-account --from-literal=awsRoleArn='arn:aws:iam::589722580343:role/my-efs-acrossaccount-role'

ドライバーコントローラーはシークレットからクロスアカウントロール情報を取得する必要があるため、シークレットロールバインディングを AWS EFS CSI ドライバーコントローラー ServiceAccount (SA) に追加する必要があります。

$ oc -n openshift-cluster-csi-drivers create role access-secrets --verb=get,list,watch --resource=secrets

$ oc -n openshift-cluster-csi-drivers create rolebinding --role=access-secrets default-to-secrets --serviceaccount=openshift-cluster-csi-drivers:aws-efs-csi-driver-controller-sa

アカウント B のファイルシステム (AWS EFS ボリューム) の filesystem ポリシーを作成します。これにより、AWS アカウント A がそのボリュームでマウントを実行できるようになります。

This step is not mandatory, but can be safer for AWS EFS volume usage.

# EFS volume filesystem policy in account B
{
    "Version": "2012-10-17",
    "Id": "efs-policy-wizard-8089bf4a-9787-40f0-958e-bc2363012ace",
    "Statement": [
        {
            "Sid": "efs-statement-bd285549-cfa2-4f8b-861e-c372399fd238",
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": [
                "elasticfilesystem:ClientRootAccess",
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientMount"
            ],
            "Resource": "arn:aws:elasticfilesystem:us-east-2:589722580343:file-system/fs-091066a9bf9becbd5",
            "Condition": {
                "Bool": {
                    "elasticfilesystem:AccessedViaMountTarget": "true"
                }
            }
        },
        {
            "Sid": "efs-statement-03646e39-d80f-4daf-b396-281be1e43bab",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::589722580343:role/my-efs-acrossaccount-role"
            },
            "Action": [
                "elasticfilesystem:ClientRootAccess",
                "elasticfilesystem:ClientWrite",
                "elasticfilesystem:ClientMount"
            ],
            "Resource": "arn:aws:elasticfilesystem:us-east-2:589722580343:file-system/fs-091066a9bf9becbd5"
        }
    ]
}

次と同様の設定を使用して、AWS EFS ボリュームストレージクラスを作成します。

# The cross account efs volume storageClass
kind: StorageClass
apiVersion: storage.k8s.io/v1
metadata:
  name: efs-cross-account-mount-sc
provisioner: efs.csi.aws.com
mountOptions:
  - tls
parameters:
  provisioningMode: efs-ap
  fileSystemId: fs-00f6c3ae6f06388bb
  directoryPerms: "700"
  gidRangeStart: "1000"
  gidRangeEnd: "2000"
  basePath: "/account-a-data"
  csi.storage.k8s.io/provisioner-secret-name: my-efs-cross-account
  csi.storage.k8s.io/provisioner-secret-namespace: openshift-cluster-csi-drivers
volumeBindingMode: Immediate

Create file system をクリックします。

ボリュームとマウントターゲットが完全に作成され終わるのを待ちます。

Inbound rulesタブでEdit inbound rules をクリックし、OpenShift Container Platform ノードが EFS ボリュームにアクセスできるようにするために、次の設定で新しいルールを追加します。

すべての AWS EFS PV を削除します。

AWS EFS CSI ドライバー をアンインストールします。

AWS EFS CSI Operator をアンインストールします。