このページの改善にご協力ください
本ユーザーガイドの改善にご協力いただけませんか? このページの下部までスクロールし、[GitHub でこのページの編集] を選択します。皆さまにご協力いただくことで、あらゆる人々に使いやすいユーザーガイドになります。
Mountpoint for Amazon S3 CSI ドライバーを使用して Amazon S3 オブジェクトにアクセスする
Mountpoint for Amazon S3 Container Storage Interface (CSI) ドライバーを使用すると、Kubernetes アプリケーションはファイルシステムインターフェイスを介して Amazon S3 オブジェクトにアクセスできるため、アプリケーションコードを変更せずに高い総スループットを実現できます。Amazon S3 Mountpoint 向けに構築された CSI ドライバーは、Amazon S3 バケットを Amazon EKS Kubernetes 内のコンテナや自己管理型クラスターからアクセスできるボリュームとして提供します。このトピックでは、Mountpoint for Amazon S3 CSI ドライバーを、Amazon EKS クラスターにデプロイする方法を示します。
考慮事項
-
Mountpoint for Amazon S3 CSI ドライバーは、Windows ベースのコンテナイメージと互換性がありません。
-
Mountpoint for Amazon S3 CSI ドライバーは、AWS Fargate をサポートしていません。ただし、Amazon EC2 で実行されているコンテナ (Amazon EKS またはカスタム Kubernetes インストール) はサポートされています。
-
Mountpoint for Amazon S3 CSI ドライバーは、静的プロビジョニングのみをサポートします。動的プロビジョニング、つまり新しいバケットの作成はサポートされていません。
静的プロビジョニングとは、PersistentVolume オブジェクトの volumeAttributes で bucketName として指定されている既存の Amazon S3 バケットを使用することです。ユーザーのプロビジョニングの詳細については、「GitHub」を参照してください。
-
Mountpoint for Amazon S3 CSI ドライバーでマウントされたボリュームは、すべての POSIX ファイルシステム機能をサポートしているわけではありません。ファイルシステムの動作の詳細については、GitHub の「Amazon S3 ファイルシステム用 Mountpoint の動作について」を参照してください。
前提条件
-
クラスター用の既存 AWS Identity and Access Management IAM OpenID Connect (OIDC) プロバイダー。既に存在しているかどうかを確認する、または作成するには「クラスターの IAM OIDC プロバイダーを作成する」を参照してください。
-
ご使用のデバイスまたは AWS CloudShell で、AWS CLI のバージョン 2.12.3 以降がインストールおよび設定されていること。
-
デバイスまたは AWS CloudShell に、kubectl コマンドラインツールがインストールされていること。バージョンは、ご使用のクラスターの Kubernetes バージョンと同じか、1 つ前のマイナーバージョン以前、あるいはそれより新しいバージョンが使用できます。例えば、クラスターのバージョンが 1.30 である場合、kubectl のバージョン 1.29、1.30、または 1.31 が使用できます。kubectl をインストールまたはアップグレードする方法については、「kubectl および eksctl のセットアップ」を参照してください。
IAM ポリシーを作成する
Mountpoint for Amazon S3 CSI ドライバーには、ファイルシステムと対話するための Amazon S3 アクセス許可が必要です。このセクションでは、必要な権限を付与する IAM ポリシーを作成する方法を説明します。
以下のポリシー例は、Mountpoint の IAM アクセス許可に関する推奨事項に従っています。別の方法として、AWS 管理ポリシー AmazonS3FullAccess を使用することもできますが、この管理ポリシーでは Mountpoint に必要以上のアクセス権限が付与されます。
Mountpoint の推奨アクセス許可の詳細については、「GitHub」 の「Mountpoint IAM アクセス許可」を参照のこと。
IAM コンソールを使用して IAM ポリシーを作成するには
IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
-
左のナビゲーションペインの [ポリシー] を選択します。
-
[ポリシー] ページで、[ポリシーの作成] を選択します。
-
[ポリシーエディター] には [JSON] を選択します。
-
以下の [ポリシー] をコピーして、エディタに貼り付けます。
amzn-s3-demo-bucket1 を Amazon S3 バケットの名前に置き換えます。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "MountpointFullBucketAccess",
"Effect": "Allow",
"Action": [
"s3:ListBucket"
],
"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket1"
]
},
{
"Sid": "MountpointFullObjectAccess",
"Effect": "Allow",
"Action": [
"s3:GetObject",
"s3:PutObject",
"s3:AbortMultipartUpload",
"s3:DeleteObject"
],
"Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket1/*"
]
}
]
}
Amazon S3 Express One Zone ストレージクラスで導入されたディレクトリバケットは、汎用バケットとは異なる認証メカニズムを使用します。s3:* アクションではなく、s3express:CreateSession アクションを使用する必要があります。ディレクトリバケットの詳細については、Amazon S3 ユーザーガイドの「ディレクトリバケット」を参照してください。
以下は、ディレクトリバケットに使用する最小特権ポリシーの例です。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "s3express:CreateSession",
"Resource": "arn:aws:s3express:aws-region:111122223333:bucket/amzn-s3-demo-bucket1--usw2-az1--x-s3"
}
]
}
-
[Next] を選択します。
-
[確認と作成] ページで、ポリシーに名前を付けます。このウォークスルーでは、名前に AmazonS3CSIDriverPolicy を使用します。
-
[Create policy] を選択します。
IAM ロールを作成する
Mountpoint for Amazon S3 CSI ドライバーには、ファイルシステムと対話するための IAM アクセス許可が必要です。このセクションでは、IAM ロールを作成して、これらの権限を委任する方法を示します。このロールは、eksctl、IAM コンソール、または AWS CLI を使用して作成できます。
IAM ポリシー AmazonS3CSIDriverPolicy は、前のセクションで作成しました。
- eksctl
-
eksctl を使用して Mountpoint for Amazon S3 CSI ドライバーの IAM ロールを作成するには
以下のコマンドを実行して、IAM ロールと Kubernetes サービスアカウントを作成します。これらのコマンドはまた、AmazonS3CSIDriverPolicy IAM ポリシーをロールにアタッチし、Kubernetes サービスアカウント (s3-csi-controller-sa) に IAM ロールの Amazon リソース名 (ARN) をアノテーションし、Kubernetes サービスアカウント名を IAMロールの信頼ポリシーに追加します。
CLUSTER_NAME=my-cluster
REGION=region-codeAmazonEKS_S3_CSI_DriverRole
POLICY_ARN=AmazonEKS_S3_CSI_DriverRole_ARN
eksctl create iamserviceaccount \
--name s3-csi-driver-sa \
--namespace kube-system \
--cluster $CLUSTER_NAME \
--attach-policy-arn $POLICY_ARN \
--approve \
--role-name $ROLE_NAME \
--region $REGION \
--role-only
- IAM console
-
AWS Management Console を使用して Mountpoint for Amazon S3 CSIドライバー の IAM ロールを作成するには
IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
-
左のナビゲーションペインで、[ロール] を選択します。
-
[ロール] ページで、[ロールの作成] を選択します。
-
[信頼されたエンティティを選択] ページで、以下の操作を実行します。
[信頼されたエンティティの種類] セクションで、[ウェブ アイデンティティ] を選択します。
-
[アイデンティティプロバイダー] で、(Amazon EKS の [概要] に示されているように) クラスターに [OpenID Connect プロバイダーの URL] を選択します。
URL が表示されない場合は、前提条件 を確認します。
-
[対象者] で [sts.amazonaws.com] を選択します。
[Next] を選択します。
-
[アクセス許可を追加] ページで、以下を実行します。
-
[フィルタポリシー] ボックスに AmazonS3CSIDriverPolicy と入力します。
-
検索で返された AmazonS3CSIDriverPolicy 結果の左にあるチェックボックスを選択します。
[Next] を選択します。
-
[名前を付けて、レビューし、作成する] ページで、以下の操作を実行します。
-
[ロール名] に、AmazonEKS_S3_CSI_DriverRole などのロールの一意の名前を入力します。
[タグの追加 (オプション)] で、タグをキーバリューのペアとして添付して、メタデータをロールに追加します。IAM でのタグの使用に関する詳細については、『IAM ユーザーガイド』の「IAM リソースにタグを付ける」を参照してください。
-
[ロールの作成] を選択します。
ロールが作成されたら、コンソールでロールを選択して編集用に開きます。
[信頼関係] タブを選択し、続いて [信頼ポリシーの編集] を選択します。
-
次のように表示されます。
"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
前の行の末尾にカンマを追加し、前の行の後に次の行を追加します。region-codeEXAMPLED539D4633E53DE1B71EXAMPLE
"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:s3-csi-*"
-
Condition オペレーターを "StringEquals" から "StringLike" に修正します。
[ポリシーの更新] を選択して終了します。
- AWS CLI
-
AWS CLI を使用して Mountpoint for Amazon S3 CSI ドライバー の IAM ロールを作成するには
-
クラスターの OIDC プロバイダーの URL を表示します。my-clusterNone の場合は、前提条件 を確認してください。
aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text
出力例は次のとおりです。
https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE
-
IAM ロールを作成し、Kubernetes サービスアカウントに AssumeRoleWithWebIdentity アクションを許可します。
-
次の内容を aws-s3-csi-driver-trust-policy.json111122223333EXAMPLED539D4633E53DE1B71EXAMPLEregion-code
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
},
"Action": "sts:AssumeRoleWithWebIdentity",
"Condition": {
"StringLike": {
"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:s3-csi-*",
"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
}
}
}
]
}
-
ロールを作成する。AmazonEKS_S3_CSI_DriverRole
aws iam create-role \
--role-name AmazonEKS_S3_CSI_DriverRole \
--assume-role-policy-document file://"aws-s3-csi-driver-trust-policy.json"
-
次のコマンドを使用して IAM ロールを作成し、そのロールに IAM ポリシーをアタッチします。
aws iam attach-role-policy \
--policy-arn arn:aws:iam::aws:policy/AmazonS3CSIDriverPolicy \
--role-name AmazonEKS_S3_CSI_DriverRole
IAM ポリシー AmazonS3CSIDriverPolicy は、前のセクションで作成しました。
-
ドライバーを Amazon EKS アドオンとしてインストールする場合は、この手順をスキップしてください。ドライバーのセルフマネージド型インストールでは、作成した IAM ロールの ARN で注釈が付けられた Kubernetes サービスアカウントを作成します。
-
次の内容を mountpoint-s3-service-account.yaml111122223333
---
apiVersion: v1
kind: ServiceAccount
metadata:
labels:
app.kubernetes.io/name: aws-mountpoint-s3-csi-driver
name: mountpoint-s3-csi-controller-sa
namespace: kube-system
annotations:
eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKS_S3_CSI_DriverRole
-
クラスター上で Kubernetes サービスアカウントを作成します。mountpoint-s3-csi-controller-sa という名前の Kubernetes サービスアカウントは、AmazonEKS_S3_CSI_DriverRole
kubectl apply -f mountpoint-s3-service-account.yaml
その手順でプラグインがデプロイされると、s3-csi-driver-sa という名前のサービスアカウントを作成して使用するように設定されます。
Mountpoint for Amazon S3 CSI ドライバーをインストールする
Mountpoint for Amazon S3 CSI ドライバーは、Amazon EKS アドオンを使用してインストールできます。eksctl、AWS Management Console、または AWS CLI を使用して、アドオンをクラスターに追加できます。必要に応じて、セルフマネージドインストールとして Mountpoint for Amazon S3 CSI ドライバーをインストールできます。セルフマネージド型インストールとして追加する方法については、「GitHub」の「インストール」を参照してください。
v1.8.0 以降、CSI ドライバーの Pods を許容するようにテイントを設定できます。これを行うには、node.tolerations を使用して許容するカスタムのテイントセットを指定するか、node.tolerateAllTaints を使用してすべてのテイントを許容します。詳細については、Kubernetes ドキュメントの「テイントと容認」を参照してください。
- eksctl
-
eksctl を使用して Amazon S3 CSI アドオンを追加するには
以下のコマンドを実行します。my-cluster111122223333AmazonEKS_S3_CSI_DriverRole
eksctl create addon --name aws-mountpoint-s3-csi-driver --cluster my-cluster \
--service-account-role-arn arn:aws:iam::111122223333:role/AmazonEKS_S3_CSI_DriverRole --force
--forceeksctl ドキュメントの「アドオン」を参照してください。Amazon EKS Kubernetes フィールド管理の詳細については、「Amazon EKS アドオンのためにカスタマイズできるフィールドを決定する」を参照してください。
設定ファイルをによって eksctl をカスタマイズできます。詳細については、eksctl ドキュメントの「Working with configuration values」を参照してください。次の例は、すべてのテイントを許容する方法を示しています。
# config.yaml
...
addons:
- name: aws-mountpoint-s3-csi-driver
serviceAccountRoleARN: arn:aws:iam::111122223333:role/AmazonEKS_S3_CSI_DriverRole
configurationValues: |-
node:
tolerateAllTaints: true
- AWS Management Console
-
AWS Management Consoleを使用して Amazon S3 CSI アドオンの Mountpoint を追加するには
Amazon EKS コンソール (https://console.aws.amazon.com/eks/home#/clusters) を開きます。
-
左のナビゲーションペインで [クラスター] を選択します。
-
Amazon S3 CSI アドオンの Mountpoint を設定するクラスターの名前を選択します。
-
[アドオン] タブを選択します。
-
[その他のアドオンを入手] を選択します。
-
[アドオンを選択] ページで、次の操作を行います。
-
[Amazon EKS アドオン] セクションで、[Mountpoint for Amazon S3 CSI ドライバー] チェックボックスを選択します。
-
[Next] を選択します。
-
[選択したアドオンセッティングの設定] ページで、次の操作を行います。
-
使用する [バージョン] を選択します。
-
[IAM ロールを選択] で、Mountpoint for Amazon S3 CSI ドライバーの IAM ポリシー を アタッチした IAM ロールの名前を選択します。
-
（オプション) [オプション設定] を展開した後、[競合解決方法] を更新します。[上書きする] を選択すると、既存のアドオンでの 1 つ以上の設定が、Amazon EKS アドオンの設定で上書きされます。このオプションが有効でない状態で既存の設定との競合が発生する場合は、オペレーションが失敗します。表示されたエラーメッセージを使用して、競合をトラブルシューティングできます。このオプションを選択する前に、自分で管理する必要のある設定が、Amazon EKS アドオンにより管理されていないことを確認してください。
-
（オプション) [オプション設定] を展開した後、[設定値] フィールドで許容値を設定します。
-
[Next] を選択します。
-
[確認と追加] ページで、[作成] を選択します。アドオンのインストールが完了した後、インストールしたアドオンが表示されます。
- AWS CLI
-
AWS CLI を使用して Amazon S3 CSI アドオンの Mountpoint を追加するには
以下のコマンドを実行します。my-cluster111122223333AmazonEKS_S3_CSI_DriverRole
aws eks create-addon --cluster-name my-cluster --addon-name aws-mountpoint-s3-csi-driver \
--service-account-role-arn arn:aws:iam::111122223333:role/AmazonEKS_S3_CSI_DriverRole
--configuration-values フラグを使用してコマンドをカスタマイズできます。次の代替例は、すべてのテイントを許容する方法を示しています。
aws eks create-addon --cluster-name my-cluster --addon-name aws-mountpoint-s3-csi-driver \
--service-account-role-arn arn:aws:iam::111122223333:role/AmazonEKS_S3_CSI_DriverRole \
--configuration-values '{"node":{"tolerateAllTaints":true}}'
ほとんどの場合、Mountpoint for Amazon S3 はバケット名のみを設定できます。Mountpoint for Amazon S3 に設定する手順については、「GitHub」で「Mountpoint for Amazon S3 の設定」を参照してください。
サンプルアプリケーションをデプロイする
既存の Amazon S3 バケットのドライバーにデプロイできます。詳細については、「GitHub」の「静的プロビジョニング」を参照してください。
Mountpoint for Amazon S3 CSI ドライバーを削除する
Amazon EKS アドオンを削除するには、次の 2 つのオプションがあります。
-
クラスター上のアドオンソフトウェアを保持する — このオプションでは、すべての設定の Amazon EKS 管理が削除されます。また、Amazon EKS による更新の通知機能や、更新の開始後の Amazon EKS アドオンの自動更新機能も削除されます。ただし、クラスター上のアドオンソフトウェアは保持されます。このオプションを選択すると、アドオンは Amazon EKS アドオンではなく、セルフマネージド型インストールになります。このオプションを使用すると、アドオンのダウンタイムは発生しません。この手順のコマンドには、このオプションを使用します。
-
クラスターからアドオンソフトウェアを完全に削除する — クラスターから Amazon EKS アドオンを削除するのは、アドオンに依存するリソースがクラスター上にない場合のみとすることをお勧めします。このオプションを実行するには、この手順で使用するコマンドから --preserve を削除します。
アドオンに IAM アカウントが関連付けられている場合、その IAM アカウントは削除されません。
eksctl、AWS Management Console、または AWS CLI を使用して、Amazon S3 CSI アドオンを削除できます。
- eksctl
-
eksctl を使用して Amazon S3 CSIアドオンを削除するには
my-cluster
eksctl delete addon --cluster my-cluster --name aws-mountpoint-s3-csi-driver --preserve
- AWS Management Console
-
AWS Management Consoleを使用して Amazon S3 CSI アドオンを削除するには
Amazon EKS コンソール (https://console.aws.amazon.com/eks/home#/clusters) を開きます。
-
左のナビゲーションペインで [クラスター] を選択します。
-
Amazon EBS CSI アドオンを削除するクラスターの名前を選択します。
-
[アドオン] タブを選択します。
-
[Mountpoint for Amazon S3 CSI ドライバー]を選択します。
-
[削除] を選択します。
-
[削除: aws-mountpoint-s3-csi-driver] 確認ダイアログボックスで、以下の操作を行います。
-
Amazon EKS でのアドオンの設定の管理を停止する場合は、[クラスターで保持する] を選択します。クラスターでアドオンソフトウェアを保持する場合は、この操作を実行します。これは、アドオンのすべての設定を自分で管理できるようにするためです。
-
aws-mountpoint-s3-csi-driver
-
[削除] を選択します。
- AWS CLI
-
AWS CLI を使用して Amazon S3 CSI アドオンを削除するには
my-cluster
aws eks delete-addon --cluster-name my-cluster --addon-name aws-mountpoint-s3-csi-driver --preserve
