文档中心

容器服务

请输入

FSX 客户端

使用 IRSA 实现存储挂载鉴权

csi-fsx 组件支持 IRSA 鉴权方式，使用 IRSA 鉴权可以基于云端存储实现按 IAM 角色的权限隔离，降低安全风险，本文介绍使用 IRSA 实现存储挂载鉴权的配置步骤。

背景信息

IRSA 是一种安全机制，允许 VKE 集群中的应用通过 Kubernetes Service Accounts (服务账号) 来使用火山引擎 IAM 角色。IRSA 机制将特定的 IAM 角色与服务账号关联，从而使得运行在 VKE 集群中的 Pod 能够通过该服务账号继承 IAM 角色的权限，访问各类云产品资源。更多详情，请参见 IRSA 概述。

使用限制

当前仅对象存储（TOS）支持使用 IRSA 实现存储挂载鉴权。

前提条件

已创建集群，并开启 IRSA 鉴权。详情请参见集群中使用 IRSA 能力。

已创建 OIDC 身份提供商类型的 IAM 角色。详情请参见集群中使用 IRSA 能力。

注意

集群创建完成后才支持开启 IRSA 鉴权。如果需要使用 csi-fsx 组件的 IRSA 鉴权能力，创建集群时请不要安装该组件。

csi-fsx 组件的 IRSA 鉴权开启后不支持修改，如果存量组件想要修改鉴权方式，需要卸载重装。

操作步骤

注意

请务必按照此文档操作，否则将导致 csi-fsx 组件开启 IRSA 鉴权时无法选择所需角色，或因角色配置错误导致的挂载失败。

步骤一：配置自定义权限策略

在左侧导航栏中选择选择权限策略，单击新建自定义策略。

选择 JSON 编辑器，配置云存储的最小权限策略。本文以 TOS 对象存储为例。

说明

权限策略中的Action字段定义了权限的操作范围，配置时需要注意遵循最小权限原则。详情请参见 TOS 配置与挂载。

步骤二：配置角色信任关系

配置 csi-fsx 组件的 IRSA 鉴权并选择 IAM 角色前，需要先完成角色信任关系的配置。

在左侧导航栏中选择选择角色管理，在角色列表中选择已创建的 OIDC 身份提供商类型的 IAM 角色名称。

单击角色名称，进入角色详情页面。配置该角色的权限和信任关系。

配置角色权限：选择权限页签，单击添加权限，并选择已配置好的权限策略。

配置信任关系：选择信任关系页签，单击编辑信任策略，在Statement字段下添加如下代码块。

完整代码示例，如下所示。

说明

集群开启 IRSA 能力后，您可以在集群总览页面中获取提供商 URL。详情请参见集群中使用 IRSA 能力。

csi-fsx 组件在集群内的{serviceaccount}和 {namespace}，可以在安装 csi-fsx 组件时获取。详情请参见步骤三。

步骤三：安装 csi-fsx 组件

在目标集群的管理页面左侧导航栏单击组件管理。

在组件管理页面的存储页签，找到 csi-fsx 组件卡片并单击部署。

勾选服务账号的 IAM 角色（IRSA）开启 IRSA 鉴权，并选择 IAM 角色。

注意

IRSA OIDC 未开启的时候不允许使用 IRSA 鉴权。

IAM 角色仅支持选择 OIDC 身份提供商类型，且已绑定本组件服务账号的信任关系的角色。

csi-fsx 组件安装完成后，暂不支持修改鉴权方式，仅可修改 IAM 角色，且仅对新增的存储卷生效（已有存量储卷不受影响）。同时，修改 IAM 角色会触发组件短暂重启，请在业务低峰期操作。

步骤四：创建存储卷

完成 IAM 角色信任并安装 csi-fsx 组件后，集群中的存储卷即可使用 IRSA 进行鉴权。

在目标集群的管理页面左侧导航栏中，选择存储管理 > 存储卷。

单击存储卷列表左上角创建存储卷。

在弹出的创建存储卷页面中，存储类型选择对象存储，访问类型选择 FSX。系统会自动识别到 csi-fsx 组件中的 IRSA 鉴权配置。

根据实际情况配置访问密钥鉴权。如无需独立的访问密钥鉴权，则使用 IRSA 鉴权。

后续操作

存储卷创建完成后，您可以在创建工作负载时添加对应的卷，在 Pod 中挂载存储使用。更多配置详情，请参见具体存储的 FSX 操作指南。

最近更新时间：2025.11.03 17:24:25

这个页面对您有帮助吗？

有用

无用