6.11. Azure File CSI Driver Operator

1. 以下から該当するコマンドを実行して、Azure アイデンティティー (サービスプリンシパルまたはマネージドアイデンティティー) を記録します。Azure アイデンティティーは後の手順で必要になります。

   • クラスターのインストール時に サービスプリンシパル を Azure アイデンティティーとして使用する場合は、以下を実行します。

     $ sp_id=$(oc -n openshift-cluster-csi-drivers get secret azure-file-credentials -o jsonpath='{.data.azure_client_id}' | base64 --decode)
     
     $ az ad sp show --id ${sp_id} --query displayName --output tsv

     Copy to Clipboard Toggle word wrap

   • クラスターのインストール時に マネージドアイデンティティー を Azure アイデンティティーとして使用する場合は、以下を実行します。

     $ mi_id=$(oc -n openshift-cluster-csi-drivers get secret azure-file-credentials -o jsonpath='{.data.azure_client_id}' | base64 --decode)
     
     $ az identity list --query "[?clientId=='${mi_id}'].{Name:name}" --output tsv

     Copy to Clipboard Toggle word wrap

2. 次のいずれかの方法で、Azure File 共有のプロビジョニング先である Subscription B 内のリソースグループにアクセスするためのアクセスパーミッションを Azure アイデンティティー (サービスプリンシパルまたはマネージドアイデンティティー) に付与します。

   • 次の Azure CLI コマンドを実行します。

     az role assignment create \
       --assignee <object-id-or-app-id> \
       --role <role-name> \
       --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>

     Copy to Clipboard Toggle word wrap

     ここでは、以下のようになります。

     <object-id-or-app-id>: 前の手順で取得したサービスプリンシパルまたはマネージドアイデンティティー (sp_id または mi_id)。

     <role-name>: ロール名。コントリビューター、または必要なパーミッションを持つ独自のロール。

     <subscription-id>: Subscription B の ID。

     <resource-group-name>: Subscription B のリソースグループ名。

     または、以下を実行します。

   • Azure ポータルにログインし、左側のメニューで Resource groups をクリックします。

     1. Subscription B で、ロールを割り当てるリソースグループを選択します。そのためには、resource group Access control (IAM) Role assignments タブをクリックして現在の割り当てを表示し、Add > Add role assignment をクリックします。
     2. Role タブで、割り当てるコントリビューターロールを選択し、Next をクリックします。必要なパーミッションを持つ独自のロールを作成し、それを選択することもできます。

     3. Members タブで次の操作を行います。

        1. 割り当て先のタイプ (ユーザー、グループ、サービスプリンシパル (またはマネージドアイデンティティー)) を選択して、割り当て先を選択します。
        2. Select members をクリックします。
        3. 前の手順で記録したサービスプリンシパルまたはマネージドアイデンティティーを検索して選択します。
        4. Select をクリックして確定します。
     4. Review + assign タブで設定を確認します。

     5. Review + assign をクリックしてロールの割り当てを完了します。

        注記

        特定のストレージアカウントのみを使用して Azure File 共有をプロビジョニングする場合は、同様の手順で、ストレージアカウントにアクセスするための Azure アイデンティティー (サービスプリンシパルまたはマネージドアイデンティティー) のアクセス権を取得することもできます。

3. 次のような設定を使用して、Azure File ストレージクラスを作成します。

   Azure File ストレージクラスの YAML ファイルの例

   allowVolumeExpansion: true
   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: <sc-name> 

   1

   
   mount options:
     - mfsymlinks
     - cache=strict
     - nosharesock
     - actimeo=30
   parameters:
     subscriptionID: <xxxx-xxxx-xxxx-xxxx-xxxx> 

   2

   
     resourceGroup: <resource group name> 

   3

   
     storageAccount: <storage account> 

   4

   
     skuName: <skuName> 

   5

   
   provisioner: file.csi.azure.com
   reclaimPolicy: Delete
   volumeBindingMode: Immediate

   Copy to Clipboard Toggle word wrap

   1

   ストレージクラス名

   2

   Subscription B の ID

   3

   Subscription B のリソースグループ名

   4

   ストレージアカウント名 (独自の名前を指定する場合)

   5

   SKU タイプの名前

4. 次のような設定を使用して、前の手順で作成した Azure File ストレージクラスを指定する永続ボリューム要求 (PVC) を作成します。

   PVC YAML ファイルの例

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: <pvc-name> 

   1

   
   spec:
     storageClassName: <sc-name-cross-sub> 

   2

   
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 5Gi

   Copy to Clipboard Toggle word wrap

   1

   PVC の名前。

   2

   前の手順で作成したストレージクラスの名前。

手順

1. Azure File 共有のリソースグループ、ストレージアカウント、ストレージアカウントキー、Azure File 名を記録します。これらの値は次のステップで使用されます。

2. 次のコマンドを実行して、永続ボリュームパラメーター spec.csi.nodeStageSecretRef.name のシークレットを作成します。

   $ oc create secret generic azure-storage-account-<storageaccount-name>-secret --from-literal=azurestorageaccountname="<azure-storage-account-name>" --from-literal azurestorageaccountkey="<azure-storage-account-key>" --type=Opaque

   Copy to Clipboard Toggle word wrap

   この場合の <azure-storage-account-name> と <azure-storage-account-key> は、ステップ 1 でそれぞれ記録した Azure ストレージアカウントの名前とキーです。

3. 次のサンプルファイルと同様の設定を使用して、永続ボリューム (PV) を作成します。

   PV YAML ファイルの例

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     annotations:
       pv.kubernetes.io/provisioned-by: file.csi.azure.com
     name: <pv-name> 

   1

   
   spec:
     capacity:
       storage: 10Gi 

   2

   
     accessModes:
       - ReadWriteMany
     persistentVolumeReclaimPolicy: Retain
     storageClassName: <sc-name> 

   3

   
     mountOptions:
       - cache=strict
       - nosharesock
       - actimeo=30
       - nobrl
     csi:
       driver: file.csi.azure.com
       volumeHandle: "{resource-group-name}#{storage-account-name}#{file-share-name}" 

   4

   
       volumeAttributes:
         shareName: <existing-file-share-name> 

   5

   
       nodeStageSecretRef:
         name: <secret-name>  

   6

   
         namespace: <secret-namespace>  

   7

   Copy to Clipboard Toggle word wrap

   1

   PV の名前。

   2

   PV のサイズ。

   3

   ストレージクラスの名前。

   4

   クラスター内の同一の共有で、それぞれの volumeHandle が一意であることを確認します。

   5

   `<existing-file-share-name> には、完全なパスではなく、ファイル共有名のみを使用します。

   6

   前のステップで作成されたシークレットの名前。

   7

   シークレットが存在する namespace。

4. 次のような設定を使用して、ステップ 1 で参照された既存の Azure File 共有を指定する永続値要求 (PVC) を作成します。

   PVC YAML ファイルの例

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: <pvc-name> 

   1

   
   spec:
     storageClassName: <sc-name> 

   2

   
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 5Gi

   Copy to Clipboard Toggle word wrap

   1

   PVC の名前。

   2

   前のステップで PV に指定したストレージクラスの名前。