在ACK中通过ossfs 2.0挂载静态OSS存储卷

1. 修改以下YAML，保存为ossfs2-pv.yaml。

   以下PV将名为cnfs-oss-test 的 OSS Bucket挂载为一个 20GB 的只读文件系统，供集群内的 Pod 使用。

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: pv-ossfs2  # PV名称
   spec:
     capacity:
       storage: 20Gi  # 定义存储卷容量 (此值仅用于匹配PVC)
     accessModes:  # 访问模式
       - ReadOnlyMany
     persistentVolumeReclaimPolicy: Retain
     csi:
       driver: ossplugin.csi.alibabacloud.com
       volumeHandle: pv-ossfs2  # 与PV名称（metadata.name）保持一致
       volumeAttributes:
         fuseType: ossfs2
         bucket: cnfs-oss-test # OSS Bucket名称
         path: /subpath  # 待挂载的子目录，留空则挂载根目录
         url: oss-cn-hangzhou-internal.aliyuncs.com  # OSS Bucket所在地域的Endpoint
         otherOpts: "-o close_to_open=false"
         authType: "rrsa"
         roleName: "demo-role-for-rrsa"  # 此前创建的RAM角色

   • volumeAttributes参数说明

     参数	是否必选	说明
     fuseType	必选	使用ossfs 2.0客户端时，固定为ossfs2。
     bucket	必选	待挂载的OSS Bucket。
     path	可选	待挂载的OSS Bucket的子目录。不填写时默认挂载Bucket根目录。
     url	必选	待挂载OSS的访问域名（Endpoint）。 挂载节点和Bucket处于相同地域，或已打通VPC网络时，使用内网地址。 挂载节点和Bucket不同地域时，使用外网地址。 不同访问端口的常见填写格式如下： 内网格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 内网访问端口格式vpc100-oss-{{regionName}}.aliyuncs.com已废弃，请及时切换。 外网格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。
     otherOpts	可选	为OSS存储卷输入定制化参数，格式为-o *** -o ***，例如-o close_to_open=false。 close-to-open：默认为关闭。开启后，每次打开文件时，系统会主动向OSS发送GetObjectMeta请求，以获取文件在OSS中的最新元数据信息，从而确保元数据的实时性。但在需要大量读取小文件的场景下，频繁的元数据查询会显著增加访问延迟。 更多可选参数，请参见ossfs 2.0挂载选项说明。
     authType	必选	配置为rrsa，声明使用RRSA方式鉴权。
     roleName	必选	配置为此前创建或修改的RAM角色名称。 如需为不同PV配置不同权限，可创建不同的RAM角色，并在PV中配置不同的roleName。

     如需在RRSA鉴权方式中使用指定的ARNs或ServiceAccount，请参见如何在RRSA鉴权方式中使用指定的ARNs或ServiceAccount？。

2. 创建PV。

   kubectl create -f ossfs2-pv.yaml

3. 确认PV状态。

   kubectl get pv pv-ossfs2

   预期输出如下，确认PV的状态为Available。

   NAME        CAPACITY   ACCESS MODES   RECLAIM POLICY   STATUS      CLAIM   STORAGECLASS   VOLUMEATTRIBUTESCLASS   REASON   AGE
   pv-ossfs2   20Gi       ROX            Retain           Available                          <unset>                          15s

步骤四：创建PVC

创建PVC，为应用声明其所需的持久化存储容量。

PVC创建后，可将其绑定的 PV 挂载到应用中。

1. 使用以下YAML，创建ossfs2-test.yaml。

   以下YAML示例创建包含1个Pod的StatefulSet，Pod通过名为pvc-ossfs2的PVC申请存储资源，挂载路径为/data。

   展开查看YAML

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2  # 待引用的PVC

2. 创建StatefulSet并挂载存储卷。

   kubectl create -f ossfs2-test.yaml

3. 查看Pod部署情况。

   kubectl get pod -l app=ossfs2-test

   预期输出：

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          12m

4. 验证应用是否能正常访问OSS数据。

   kubectl exec -it ossfs2-test-0 -- ls /data

   预期输出中可以看到OSS挂载路径下的数据。

创建RAM用户并授权

1. 创建RAM用户，如已创建可跳过。具体操作，请参见创建RAM用户。

2. 创建如下OSS访问的自定义权限策略。具体操作，请参见创建自定义权限策略。

   以下只读和读写权限策略请根据使用需求选择，并替换mybucket为您实际创建的Bucket名称。

   • OSS只读权限策略

     展开查看OSS只读权限策略内容

     {
         "Statement": [
             {
                 "Action": [
                     "oss:Get*",
                     "oss:List*"
                 ],
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

   • OSS读写权限

     展开查看OSS读写权限策略内容

     {
         "Statement": [
             {
                 "Action": "oss:*",
                 "Effect": "Allow",
                 "Resource": [
                     "acs:oss:*:*:mybucket",
                     "acs:oss:*:*:mybucket/*"
                 ]
             }
         ],
         "Version": "1"
     }

3. （可选）若您使用KMS托管的指定CMK ID加密OSS Object，还需要为该RAM用户配置KMS权限。具体操作，请参见加密操作。

4. 为RAM用户添加OSS权限。具体操作，请参见为RAM用户授权。

5. 为RAM用户创建AccessKey。具体操作，请参见获取AccessKey。

使用 AccessKey 创建 Secret

使用以下命令创建用于 OSS 鉴权的 Secret。将 akId和akSecret 替换为真实凭证。

kubectl create -n default secret generic oss-secret --from-literal='akId=xxxxxx' --from-literal='akSecret=xxxxxx'

1. 修改以下YAML，保存为ossfs2-pv.yaml。

   以下PV将名为cnfs-oss-test 的 OSS Bucket挂载为一个 20GB 的只读文件系统，供集群内的 Pod 使用。

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: pv-ossfs2  # PV名称
   spec:
     capacity:
       storage: 20Gi  # 定义存储卷容量 (此值仅用于匹配PVC)
     accessModes:  # 访问模式
       - ReadOnlyMany
     persistentVolumeReclaimPolicy: Retain
     csi:
       driver: ossplugin.csi.alibabacloud.com
       volumeHandle: pv-ossfs2   # 与PV名称（metadata.name）保持一致
       # 使用此前创建的Secret
       nodePublishSecretRef:
         name: oss-secret  # 存储AK信息的Secret名称
         namespace: default  # 该Secret所在的命名空间
       volumeAttributes:
         fuseType: ossfs2
         bucket: cnfs-oss-test  # OSS Bucket名称
         path: /subpath  # 待挂载的子目录，留空则挂载根目录
         url: oss-cn-hangzhou-internal.aliyuncs.com  # OSS Bucket所在地域的Endpoint
         otherOpts: "-o close_to_open=false"

   • nodePublishSecretRef参数说明

     参数	是否必选	说明
     name	必选	存储AccessKey信息的Secret名称。
     namespace	必选	存储AccessKey信息的Secret所在的命名空间。

   • volumeAttributes参数说明

     参数	是否必选	说明
     fuseType	必选	使用ossfs 2.0客户端时，固定为ossfs2。
     bucket	必选	需要挂载的OSS Bucket。
     path	可选	OSS Bucket挂载路径，表示挂载时相对Bucket根文件的目录结构。
     url	必选	挂载OSS的Endpoint，Endpoint以OSS控制台Bucket概览页为准。 挂载节点和Bucket相同地域，或已打通VPC网络时，请使用内网地址。 挂载节点和Bucket不同地域时，请使用外网地址。 不同访问端口的常见填写格式如下： 内网格式：http://oss-{{regionName}}-internal.aliyuncs.com或https://oss-{{regionName}}-internal.aliyuncs.com。 外网格式：http://oss-{{regionName}}.aliyuncs.com或https://oss-{{regionName}}.aliyuncs.com。 重要 vpc100-oss-{{regionName}}.aliyuncs.com的内网访问端口格式已废弃，请及时切换。
     otherOpts	可选	为OSS存储卷输入定制化参数，格式为-o *** -o ***，例如-o close_to_open=false。 close-to-open：默认为关闭。开启后，每次打开文件时，系统会主动向OSS发送GetObjectMeta请求，以获取文件在OSS中的最新元数据信息，从而确保元数据的实时性。但在需要大量读取小文件的场景下，频繁的元数据查询会显著增加访问延迟。 更多可选参数，请参见ossfs 2.0挂载选项说明。

2. 创建PV。

   kubectl create -f ossfs2-pv.yaml

3. 确认PV状态。

   kubectl get pv pv-ossfs2

   预期输出如下，确认PV的状态为Available。

   NAME        CAPACITY   ACCESS MODES   RECLAIM POLICY   STATUS      CLAIM   STORAGECLASS   VOLUMEATTRIBUTESCLASS   REASON   AGE
   pv-ossfs2   20Gi       ROX            Retain           Available                          <unset>                          15s

PVC创建后，可将其绑定的 PV 挂载到应用中。

1. 使用以下YAML，创建ossfs2-test.yaml。

   以下YAML示例创建包含1个Pod的StatefulSet，Pod通过名为pvc-ossfs2的PVC申请存储资源，挂载路径为/data。

   展开查看YAML

   apiVersion: apps/v1
   kind: StatefulSet
   metadata:
     name: ossfs2-test
     namespace: default
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: ossfs2-test
     template:
       metadata:
         labels:
           app: ossfs2-test
       spec:
         containers:
         - name: nginx
           image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
           ports:
           - containerPort: 80
           volumeMounts:
           - name: pvc-ossfs2
             mountPath: /data
         volumes:
           - name: pvc-ossfs2
             persistentVolumeClaim:
               claimName: pvc-ossfs2  # 待引用的PVC

2. 创建StatefulSet并挂载存储卷。

   kubectl create -f ossfs2-test.yaml

3. 查看Pod部署情况。

   kubectl get pod -l app=ossfs2-test

   预期输出：

   NAME            READY   STATUS    RESTARTS   AGE
   ossfs2-test-0   1/1     Running   0          12m

4. 验证应用是否能正常访问OSS数据。

   kubectl exec -it ossfs2-test-0 -- ls /data

   预期输出中可以看到OSS挂载路径下的数据。