6.11. Azure File CSI Driver Operator

1. 运行以下适用的命令，记录 Azure 身份（服务主体或受管身份）。在后续步骤中需要 Azure 身份：

   • 如果在安装集群时使用服务主体作为 Azure 身份：

     $ sp_id=$(oc -n openshift-cluster-csi-drivers get secret azure-file-credentials -o jsonpath='{.data.azure_client_id}' | base64 --decode)
     
     $ az ad sp show --id ${sp_id} --query displayName --output tsv

     Copy to Clipboard Toggle word wrap

   • 如果在安装集群时使用受管身份作为 Azure 身份：

     $ mi_id=$(oc -n openshift-cluster-csi-drivers get secret azure-file-credentials -o jsonpath='{.data.azure_client_id}' | base64 --decode)
     
     $ az identity list --query "[?clientId=='${mi_id}'].{Name:name}" --output tsv

     Copy to Clipboard Toggle word wrap

2. 通过执行以下操作之一，授予 Azure 身份（服务主体或受管身份）权限访问另一个订阅 B 中的资源组，其中您要置备 Azure File 共享：

   • 运行以下 Azure CLI 命令：

     az role assignment create \
       --assignee <object-id-or-app-id> \
       --role <role-name> \
       --scope /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>

     Copy to Clipboard Toggle word wrap

     其中：

     <object-id-or-app-id> : 从上一步中获取的服务主体或受管身份，如 sp_id 或 mi_id。

     <role-name>: 角色名称。具有所需权限的贡献者或您自己的角色。

     <subscription-id>: 订阅 B ID。

     <resource-group-name>: Subscription B 资源组名称。

     或者

   • 登录到 Azure 门户和左侧菜单，点 Resource groups ：

     1. 选择您要为其分配角色的 Subscription B 中的资源组，方法是点 resource group Access control (IAM) Role assignments 选项卡查看当前分配，然后点 Add > Add role assignment。
     2. 在 Role 选项卡上，选择要分配的 Issuer 角色，然后点 Next。您还可以创建并选择您自己的角色，并具有所需权限。

     3. 在 Members 选项卡中：

        1. 通过选择分配者类型来选择分配者：用户、组或服务主体（或受管身份）。
        2. 点 Select members。
        3. 搜索，然后选择上一步中记录的所需服务主体或受管身份。
        4. 点 Select 确认。
     4. 在 Review + assign 选项卡中，查看设置。

     5. 要完成角色分配，请点 Review + assign。

        注意

        如果您只想使用特定的存储帐户来置备 Azure File 共享，您也可以通过类似步骤获取 Azure 身份（服务主体或受管身份）权限来访问存储帐户。

3. 使用类似如下的配置创建 Azure File 存储类：

   Azure File 存储类 YAML 文件示例

   allowVolumeExpansion: true
   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
     name: <sc-name> 

   1

   
   mount options:
     - mfsymlinks
     - cache=strict
     - nosharesock
     - actimeo=30
   parameters:
     subscriptionID: <xxxx-xxxx-xxxx-xxxx-xxxx> 

   2

   
     resourceGroup: <resource group name> 

   3

   
     storageAccount: <storage account> 

   4

   
     skuName: <skuName> 

   5

   
   provisioner: file.csi.azure.com
   reclaimPolicy: Delete
   volumeBindingMode: Immediate

   Copy to Clipboard Toggle word wrap

   1

   存储类的名称

   2

   订阅 B ID

   3

   Subscription B 资源组名称

   4

   存储帐户名称（如果要需要指定您自己的）

   5

   SKU 类型的名称

4. 使用类似如下的配置，创建一个持久性卷声明(PVC)来指定您在上一步中创建的 Azure File 存储类：

   PVC YAML 文件示例

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: <pvc-name> 

   1

   
   spec:
     storageClassName: <sc-name-cross-sub> 

   2

   
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 5Gi

   Copy to Clipboard Toggle word wrap

   1

   PVC 的名称。

   2

   上一步中创建的存储类的名称。

流程

1. 对于 Azure File 共享，记录资源组、存储帐户、存储帐户密钥和 Azure File 名称。这些值用于后续步骤。

2. 运行以下命令，为持久性卷参数 spec.csi.nodeStageSecretRef.name 创建 secret：

   $ oc create secret generic azure-storage-account-<storageaccount-name>-secret --from-literal=azurestorageaccountname="<azure-storage-account-name>" --from-literal azurestorageaccountkey="<azure-storage-account-key>" --type=Opaque

   Copy to Clipboard Toggle word wrap

   其中：<azure-storage-account-name> 和 <azure-storage-account-key> 是您在第 1 步中记录的 Azure 存储帐户名称和密钥。

3. 使用类似以下示例文件创建持久性卷 (PV)：

   PV YAML 文件示例

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     annotations:
       pv.kubernetes.io/provisioned-by: file.csi.azure.com
     name: <pv-name> 

   1

   
   spec:
     capacity:
       storage: 10Gi 

   2

   
     accessModes:
       - ReadWriteMany
     persistentVolumeReclaimPolicy: Retain
     storageClassName: <sc-name> 

   3

   
     mountOptions:
       - cache=strict
       - nosharesock
       - actimeo=30
       - nobrl
     csi:
       driver: file.csi.azure.com
       volumeHandle: "{resource-group-name}#{storage-account-name}#{file-share-name}" 

   4

   
       volumeAttributes:
         shareName: <existing-file-share-name> 

   5

   
       nodeStageSecretRef:
         name: <secret-name>  

   6

   
         namespace: <secret-namespace>  

   7

   Copy to Clipboard Toggle word wrap

   1

   PV 的名称。

   2

   PV 的大小。

   3

   存储类名称。

   4

   确保 volumeHandle 对集群中的每个相同共享都是唯一的。

   5

   对于 '<existing-file-share-name>，只使用文件共享名称而不是完整路径。

   6

   上一步中创建的 secret 名称。

   7

   secret 所在的命名空间。

4. 使用类似以下内容的配置，创建一个持久性卷声明(PVC)指定第 1 步中引用的现有 Azure File 共享：

   PVC YAML 文件示例

   apiVersion: v1
   kind: PersistentVolumeClaim
   metadata:
     name: <pvc-name> 

   1

   
   spec:
     storageClassName: <sc-name> 

   2

   
     accessModes:
       - ReadWriteMany
     resources:
       requests:
         storage: 5Gi

   Copy to Clipboard Toggle word wrap

   1

   PVC 的名称。

   2

   上一步中为 PV 指定的存储类的名称。