文档中心

容器服务

请输入

FSX 客户端

FSX 鉴权方式

FSX 是用于挂载云端存储的客户端，通过该客户端，您可以把 TOS、NAS 等云端存储挂载到容器中，使得云端存储可以作为容器的本地文件系统，实现数据的存储和管理。本文介绍 FSX 在容器服务集群中使用时，支持的鉴权方式。

鉴权方式

在容器服务中使用 FSX 挂载存储时，支持如下两种鉴权方式：

鉴权方式	说明	配置方式
密钥鉴权	使用 IAM 账号的 Access Key ID 和 Secret Access Key 作为身份凭证，通过 FSX 将云端存储挂载到容器。	配置 PV 时，使用 Secret 指定账号的 Access Key ID 和 Secret Access Key。
IRSA 鉴权	支持启用 IRSA (IAM Role for Service Account) 能力。基于 IRSA 功能，您可以在集群内实现 Pod 维度的 OpenAPI 权限隔离，从而实现云资源访问权限的细粒度隔离，降低安全风险。	组件级别配置，开启该鉴权方式，请参见使用 IRSA 实现存储挂载鉴权。

IRSA 鉴权为组件级别配置，当在 csi-fsx 组件中开启 IRSA 鉴权后，即可使用密钥鉴权或 IRSA 鉴权进行存储挂载。鉴权生效的逻辑如下：

说明

集群中存量 PV 不支持调整鉴权方式。因此，当您修改 csi-fsx 组件 IRSA 鉴权中的 IAM 角色后，对于存量 PV 不会生效。

配置方式

使用 IRSA 鉴权方式挂载云存储时，权限生效逻辑遵循最小权限策略，相关配置，请参见使用 IRSA 实现存储挂载鉴权。

密钥更新逻辑

当您使用密钥鉴权并更新 Secret 时，新的 Access Key ID 和 Secret Access Key 生效，需满足以下条件之一：

说明

系统暂时不提供基于 watch/informer 的“秒级实时”生效机制。

常见问题

问题 1：更新了 Secret，为什么没有立刻生效？

系统暂不支持基于 watch/informer 订阅的 Secret 变更。更新后的生效仅依赖 2 种触发方式。如上文密钥更新逻辑所述。

问题 2：刷新失败时系统如何处理？

问题 3：如果 Secret 缺少字段会怎样？

如果 Access Key ID 或 Secret Access Key 缺失，系统会把空字符串写入凭据文件，但不会在读取阶段显式报错；是否最终可用取决于后续挂载组件对空凭据的处理。

最近更新时间：2026.04.07 11:33:22

这个页面对您有帮助吗？

有用

无用