Какие предварительные условия мне нужны для Kubernetes для монтирования тома EBS?

Question

Документация не идет в деталях. Я полагаю, что по крайней мере мне нужна была бы роль.

Answer 1

Это тот, который используется kubespray, и очень вероятно, указывает на рациональное значение по умолчанию:

https://github.com/kubernetes-incubator/kubespray/blob/v2.5.0/contrib/aws_iam/kubernetes-minion-policy.json

с тл; др этой ссылки, чтобы создать Allow для следующих действий:

• s3:*
• ec2:Describe*
• ec2:AttachVolume
• ec2:DetachVolume
• route53:*

(хотя я бы поспорил, что s3:* слишком широка, у меня нет информации, чтобы предоставить более ограниченную версию; аналогичное наблюдение на route53:*)

Все Resource ключи для тех, кто * кроме s3: тот, который ограничивает ресурс ведрами, начинающимися с kubernetes-* - неизвестно, является ли это просто примером, или в контейнерах с префиксом kubernetes есть что-то особенное. Очевидно, у вас может быть лучший список предметов для заполнения Resource ключи для подлинного ограничения подключаемых томов (просто будьте осторожны с динамически подготовленными томами, которые будут созданы PersistentVolume Ресурсы)

Answer 2

Это то, что мы сделали, и это сработало хорошо.

Я был на kubernetes 1.7.2 и пытался выделить хранилище (динамическое / статическое) для модулей kubernetes на AWS. Некоторые из упомянутых ниже вещей могут не понадобиться, если вы не ищете динамические классы хранения.

Убедитесь, что контроллер доступа DefaultStorageClass включен на сервере API. (DefaultStorageClass входит в упорядоченный список значений, разделенных запятыми, для флага --enable-admission-plugins серверного компонента API.)

Я дал опции --cloud-provider=aws и --cloud-config=/etc/aws/aws.config (при запуске apiserver, controller-manager, kubelet) (файл /etc/aws/aws.conf присутствует например, с содержанием ниже)

$ cat /etc/aws/aws.conf
[Global]
Zone = us-west-2a

Созданная политика IAM добавлена ​​к роли (как в ссылке ниже), создана для нее профиль экземпляра и прикреплена к экземплярам. (ПРИМЕЧАНИЕ: я пропустил прикрепление профиля экземпляра, и он не работал). https://medium.com/@samnco/using-aws-elbs-with-the-canonical-distribution-of-kubernetes-9b4d198e2101

Для динамического обеспечения: Создан класс хранения и установлен по умолчанию.

Дайте мне знать, что это не сработало.

С уважением, Судхакар