第 1 章 共享资源 CSI Driver Operator

流程

1. 创建 Role 和 RoleBinding 对象，为 Shared Resource CSI 驱动程序授予使用以下示例配置访问 SharedSecret 对象的权限：

   Role 对象示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   rules:
     - apiGroups:
         - ""
       resources:
         - secrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - get
         - list
         - watch

   Copy to Clipboard Toggle word wrap

   1

   Role CR 的名称。

   RoleBinding 对象示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: share-etc-pki-entitlement 

   2

   
   subjects:
     - kind: ServiceAccount
       name: csi-driver-shared-resource 

   3

   
       namespace: openshift-builds

   Copy to Clipboard Toggle word wrap

   1

   RoleBinding CR 的名称。

   2

   Role CR 的名称。

   3

   ServiceAccount CR 的名称。

2. 使用以下示例配置创建 SharedSecret CR：

   apiVersion: sharedresource.openshift.io/v1alpha1
   kind: SharedSecret
   metadata:
     name: shared-test-secret 

   1

   
   spec:
     secretRef:
       name: test-secret
       namespace: <name_of_the_source_namespace>

   Copy to Clipboard Toggle word wrap

   1

   将 <name_of_the_source_namespace > 替换为 SharedSecret CR 的名称。

3. 使用以下示例配置，创建一个 ClusterRole 对象来授予 RBAC 权限以使用引用的共享资源：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: use-shared-test-secret 

   1

   
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - shared-test-secret
       verbs:
         - use

   Copy to Clipboard Toggle word wrap

   1

   ClusterRole CR 的名称。

流程

1. 在与角色关联的集群中创建 RoleBinding 对象，并为服务帐户授予使用共享资源的权限。请参见以下示例配置：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: use-shared-secret 

   1

   
     namespace: app-namespace
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: use-shared-secret
   subjects:
     - kind: ServiceAccount
       name: <service_account_name> 

   2

   Copy to Clipboard Toggle word wrap

   1

   RoleBinding CR 的名称。

   2

   将 <service_account_name > 替换为应用程序的服务帐户名称。

2. 将共享资源 csi 驱动程序挂载到 pod 或接受 csi 卷的任何其他资源中。请参见以下示例配置：

   apiVersion: v1
   kind: Pod
   metadata:
     name: example-shared-secret
     namespace: <app_namespace> 

   1

   
   spec:
     ...
     serviceAccountName: default
     volumes:
       - name: shared-secret
         csi:
           readOnly: true
           driver: csi.sharedresource.openshift.io
           volumeAttributes:
             sharedSecret: shared-test-secret 

   2

   Copy to Clipboard Toggle word wrap

   1

   将 <app_namespace> 替换为应用程序的命名空间名称。

   2

   sharedSecret 属性的值，它必须与 SharedSecret CR 的名称相同。

   重要

   如果 sharedSecret 属性的值与 SharedSecret 实例的名称不匹配，则 pod 无法启动。