5.4. AWS Elastic File Service CSI ドライバー Operator の設定

1. Web コンソールにログインします。

2. AWS EFS CSI Operator をインストールします。

   1. Operators → OperatorHub をクリックします。
   2. フィルターボックスにAWS EFS CSIと入力して、AWS EFS CSI Operator を探します。

   3. AWS EFS CSI Driver Operatorボタンをクリックします。

      重要

      AWS EFS OperatorではなくAWS EFS CSI Driver Operatorを必ず選択してください。AWS EFS Operatorはコミュニティー Operator であり、Red Hat ではサポートしていません。

   4. AWS EFS CSI Driver OperatorページでInstallをクリックします。

   5. Install Operatorのページで、以下のことを確認してください。

      • All namespaces on the cluster (default)が選択されている。
      • Installed Namespaceがopenshift-cluster-csi-driversに設定されている。

   6. Install をクリックします。

      インストールが終了すると、AWS EFS CSI Operator が Web コンソールのInstalled Operatorsに表示されます。

手順

1. AWS アカウントを準備します。

   1. 以下の内容を含む IAM ポリシー JSON ファイルを作成します。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "elasticfilesystem:DescribeAccessPoints",
              "elasticfilesystem:DescribeFileSystems",
              "elasticfilesystem:DescribeMountTargets",
              "ec2:DescribeAvailabilityZones"
            ],
            "Resource": "*"
          },
          {
            "Effect": "Allow",
            "Action": [
              "elasticfilesystem:CreateAccessPoint"
            ],
            "Resource": "*",
            "Condition": {
              "StringLike": {
                "aws:RequestTag/efs.csi.aws.com/cluster": "true"
              }
            }
          },
          {
            "Effect": "Allow",
            "Action": "elasticfilesystem:DeleteAccessPoint",
            "Resource": "*",
            "Condition": {
              "StringEquals": {
                "aws:ResourceTag/efs.csi.aws.com/cluster": "true"
              }
            }
          }
        ]
      }

   2. 以下の内容で IAM 信頼 JSON ファイルを作成します。

      {
        "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Principal": {
              "Federated": "arn:aws:iam::<your_aws_account_ID>:oidc-provider/<openshift_oidc_provider>"  1
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
              "StringEquals": {
                "<openshift_oidc_provider>:sub": [  2
                  "system:serviceaccount:openshift-cluster-csi-drivers:aws-efs-csi-driver-operator",
                  "system:serviceaccount:openshift-cluster-csi-drivers:aws-efs-csi-driver-controller-sa"
                ]
              }
            }
          }
        ]
      }

      1

      AWS アカウント ID および OpenShift OIDC プロバイダーエンドポイントを指定します。次のコマンドを実行して、エンドポイントを取得します。

      $ rosa describe cluster \
        -c $(oc get clusterversion -o jsonpath='{.items[].spec.clusterID}{"\n"}') \
        -o yaml | awk '/oidc_endpoint_url/ {print $2}' | cut -d '/' -f 3,4

      2

      OpenShift OIDC エンドポイントを再度指定します。

   3. IAM ロールを作成します。

      $ aws iam create-role \
        --role-name "<your_cluster_name>-aws-efs-csi-operator" \
        --assume-role-policy-document file://<your_trust_file_name>.json \
        --query "Role.Arn" --output text

      出力を保存します。これは次のステップで使用します。

   4. IAM ポリシーを作成します。

      $ aws iam create-policy \
        --policy-name "<your_rosa_cluster_name>-rosa-efs-csi" \
        --policy-document file://<your_policy_file_name>.json \
        --query 'Policy.Arn' --output text) || \
        POLICY=$(aws iam list-policies \
        --query 'Policies[?PolicyName==`rosa-efs-csi`].Arn' \
        --output text

      出力を保存します。これは次のステップで使用します。

   5. IAM ポリシーを IAM ロールに割り当てます。

      $ aws iam attach-role-policy \
           --role-name "<your_rosa_cluster_name>-aws-efs-csi-operator" \
           --policy-arn <policy_ARN> 1

      1

      policy_ARN を、ポリシーの作成時に保存した出力に置き換えます。

2. ドライバー Operator の Secret YAML ファイルを作成します。

   apiVersion: v1
   kind: Secret
   metadata:
    name: aws-efs-cloud-credentials
    namespace: openshift-cluster-csi-drivers
   stringData:
     credentials: |-
       [default]
       sts_regional_endpoints = regional
       role_arn = <role_ARN> 1
       web_identity_token_file = /var/run/secrets/openshift/serviceaccount/token

   1

   role_ARN を、ロールの作成時に保存した出力に置き換えます。

3. シークレットを作成します。

   $ oc apply -f aws-efs-cloud-credentials.yaml

   AWS EFS CSI ドライバーをインストールする準備が整いました。

手順

1. Administration → CustomResourceDefinitions → ClusterCSIDriver をクリックします。
2. InstancesタブでCreate ClusterCSIDriverをクリックします。

3. 以下の YAML ファイルを使用します。

   apiVersion: operator.openshift.io/v1
   kind: ClusterCSIDriver
   metadata:
       name: efs.csi.aws.com
   spec:
     managementState: Managed

4. Create をクリックします。

5. 以下の条件が "true" に変わるのを待ちます。

   • AWSEFSDriverNodeServiceControllerAvailable
   • AWSEFSDriverControllerServiceControllerAvailable