Aprovisionamiento de PVC en el servicio File Storage

Al utilizar el servicio File Storage para aprovisionar PVC, debe especificar el cifrado en tránsito independientemente del cifrado estático.

El servicio de almacenamiento de archivos siempre cifra los datos estáticos mediante claves de cifrado gestionadas por Oracle por defecto. Sin embargo, tiene la opción de especificar el cifrado estático mediante sus propias claves de cifrado maestras que se gestionan en el servicio Vault. La forma de especificar el cifrado estático depende de si está aprovisionando una PVC de:

• un nuevo sistema de archivos creado dinámicamente por el plugin de volumen CSI (consulte Cifrado de datos estáticos en un nuevo sistema de archivos)
• un sistema de archivos existente que ha creado manualmente (consulte Cifrado de datos estáticos en un sistema de archivos existente)

Si desea gestionar sus propias claves de cifrado maestras para cifrar datos estáticos, debe:

• Cree una clave de cifrado maestra adecuada en el almacén (u obtenga el OCID de dicha clave). Consulte Gestión de claves.
• Cree una política que otorgue acceso a la clave de cifrado maestra. Consulte Create Policy to Access User-Managed Encryption Keys for Encrypting Boot Volumes, Block Volumes, and/o File Systems.

El servicio de almacenamiento de archivos puede cifrar los datos en tránsito. Si especifica el cifrado en tránsito, los datos en tránsito se cifran mediante un certificado TLS (seguridad de capa de transporte) que siempre está gestionado por Oracle, independientemente de si los datos estáticos se cifran mediante claves gestionadas por Oracle o mediante claves gestionadas por el usuario. El cifrado en tránsito protege los datos que se transfieren entre instancias y sistemas de archivos montados mediante el cifrado TLS v. 1.2. Para obtener más información sobre el cifrado en tránsito y el servicio File Storage, consulte Uso del cifrado TLS en tránsito. La forma de especificar el cifrado en tránsito depende de si está aprovisionando una PVC en:

• un nuevo sistema de archivos creado dinámicamente por el plugin de volumen CSI (consulte Cifrado de datos en tránsito en un nuevo sistema de archivos)
• un sistema de archivos existente que ha creado manualmente (consulte Cifrado de datos en tránsito en un sistema de archivos existente)

Tenga en cuenta que, al utilizar el servicio File Storage para aprovisionar PVC, el cifrado en tránsito solo está soportado cuando las instancias informáticas que alojan nodos de trabajador ejecutan Oracle Linux 7 y Oracle Linux 8.

Para aprovisionar dinámicamente una PVC en un nuevo sistema de archivos creado dinámicamente por el plugin de volumen CSI en el servicio File Storage:

1. (Opcional) Cree un destino de montaje en el servicio File Storage. Consulte Creating a Mount Target.

   El plugin de volumen CSI requiere un destino de montaje activo (es decir, un destino de montaje con una dirección IP asignada) para crear un nuevo sistema de archivos. Si no crea un destino de montaje por adelantado, especifique la subred en la que el plugin de volumen CSI creará un nuevo destino de montaje al definir la clase de almacenamiento.

2. Defina una nueva clase de almacenamiento que utilice el aprovisionador fss.csi.oraclecloud.com:
   1. Cree un archivo de manifiesto (por ejemplo, en un archivo denominado fss-dyn-st-class.yaml), especifique un nombre para la nueva clase de almacenamiento y especifique valores para los parámetros necesarios y opcionales:

      kind: StorageClass
      apiVersion: storage.k8s.io/v1
      metadata:
        name: <storage-class-name>
      provisioner: fss.csi.oraclecloud.com
      parameters:
        availabilityDomain: <ad-name>
        mountTargetOcid: <mt-ocid> | mountTargetSubnetOcid: <mt-subnet-ocid>
        compartmentOcid: <compartment-ocid>
        kmsKeyOcid: <key-ocid>
        exportPath: <path>
        exportOptions: "[{<options-in-json-format>}]"
        encryptInTransit: "true"|"false"
        oci.oraclecloud.com/initial-defined-tags-override: '{"<tag-namespace>": {"<tag-key>": "<tag-value>"}}'
        oci.oraclecloud.com/initial-freeform-tags-override: '{"<tag-key>": "<tag-value>"}'

      donde:

      • name: <storage-class-name>: necesario. Nombre que elija para la clase de almacenamiento.
      • availabilityDomain: <ad-name>: necesario. Nombre del dominio de disponibilidad en el que se va a crear el nuevo sistema de archivos (y en el que se va a crear el nuevo destino de montaje, si no se especifica un OCID de destino de montaje existente). Por ejemplo, US-ASHBURN-AD-1. Para averiguar el nombre de dominio de disponibilidad que se va a utilizar, ejecute el comando de la CLI oci iam availability-domain list (o utilice la operación ListAvailabilityDomains). Para obtener más información, consulte Nombres de dominio de disponibilidad de su arrendamiento.
      • mountTargetOcid: <mt-ocid> | mountTargetSubnetOcid: <mt-subnet-ocid>: necesario. El OCID de un destino de montaje activo existente (mountTargetOcid: <mt-ocid>) o el OCID de una subred en la que crear un nuevo destino de montaje (mountTargetSubnetOcid: <mt-subnet-ocid>). Especifique mountTargetOcid o mountTargetSubnetOcid. Si especifica mountTargetOcid y mountTargetSubnetOcid en la definición de clase de almacenamiento, se utiliza el destino de montaje existente especificado por mountTargetOcid y se ignora mountTargetSubnetOcid. Por ejemplo:
        • mountTargetSubnetOcid: ocid1.subnet.oc1.iad.aaaaaaaa2xpk______zva
        • mountTargetOcid: ocid1.mounttarget.oc1.iad.aaaaaaaa4np______fuy
      • compartmentOcid: <compartment-ocid>: opcional. OCID del compartimento al que va a pertenecer el nuevo sistema de archivos (y el nuevo destino de montaje, si no se especifica un OCID de destino de montaje existente). Si no se especifica, el valor por defecto es el mismo compartimento que el cluster. Por ejemplo, compartmentOcid: ocid1.compartment.oc1..aaaaaaaay______t6q
      • kmsKeyOcid: <key-ocid>: opcional. OCID de una clave de cifrado maestra que gestione, con la que cifrar los datos estáticos. Si no se especifica, los datos se cifran en reposo mediante claves de cifrado gestionadas por Oracle. Consulte Cifrado de datos estáticos en un nuevo sistema de archivos. Por ejemplo, kmsKeyOcid: ocid1.key.oc1.iad.anntl______usjh
      • exportPath: <path>: opcional. La ruta de una exportación que identifica de forma única el sistema de archivos dentro del destino de montaje. La ruta de exportación debe comenzar por una barra (/) seguida de una secuencia de cero o más elementos separados por barras. Por ejemplo, /FileSystem1. Para obtener más información, consulte Rutas en sistemas de archivos.

        Si incluye exportPath: <path> en una definición de clase de almacenamiento, no especifique una ruta (ya sea como ruta de acceso o como subruta de acceso de una ruta de acceso existente) que ya exista. Si especifica una ruta que ya existe, se devuelve un error porque varios sistemas de archivos con el mismo destino de montaje no pueden tener la misma ruta de exportación. Por lo tanto, si incluye exportPath: <path> en la definición de clase de almacenamiento, utilice solo esta definición de clase de almacenamiento para crear un sistema de archivos.

        Si no incluye exportPath: <path> en la definición de clase de almacenamiento, la ruta de acceso se define por defecto en el nombre mostrado del sistema de archivos creado por el plugin de volumen CSI (empezando por /csi-fss-).

      • exportOptions: "[{<options-in-json-format>}]" Opcional. Juego de parámetros (en formato JSON válido) dentro de la exportación que especifica el nivel de acceso otorgado a los clientes NFS cuando se conectan a un destino de montaje. Una entrada de opciones de exportación NFS en una exportación define el acceso para una única dirección IP o rango de bloques de CIDR. Para obtener más información, consulte Trabajar con opciones de exportación y exportación NFS. Si no se especifica, se utiliza el siguiente valor por defecto:

        exportOptions: "[{\"source\":\"0.0.0.0/0\",\"requirePrivilegedSourcePort\":false,\"access\":\"READ_WRITE\",\"identitySquash\":\"NONE\"}]"

      • encryptInTransit: "true"|"false": opcional. Indica si se deben cifrar los datos en tránsito. Si especifica "true", asegúrese de completar los pasos de configuración descritos en Cifrado de datos en tránsito en un nuevo sistema de archivos. Si no se especifica, el valor por defecto es "false". Por ejemplo, encryptInTransit: "true".
      • oci.oraclecloud.com/initial-defined-tags-override: '{"<tag-namespace>": {"<tag-key>": "<tag-value>"}}' Opcional. Especifica una etiqueta definida para el nuevo sistema de archivos. Por ejemplo, oci.oraclecloud.com/initial-defined-tags-override: '{"Operations": {"CostCenter": "42"}}'

        Tenga en cuenta que para aplicar etiquetas definidas de un espacio de nombres de etiqueta que pertenece a un compartimento a un recurso del sistema de archivos que pertenece a un compartimento diferente, debe incluir una sentencia de política para permitir que el cluster utilice el espacio de nombres de etiqueta. Consulte Política de IAM adicional cuando un cluster y un espacio de nombres de etiqueta están en diferentes compartimentos.

      • oci.oraclecloud.com/initial-freeform-tags-override: '{"<tag-key>": "<tag-value>"}' Opcional. Especifica una etiqueta de formato libre para el nuevo sistema de archivos. Por ejemplo, oci.oraclecloud.com/initial-freeform-tags-override: '{"Department": "Finance"}'

      Por ejemplo:

      kind: StorageClass
      apiVersion: storage.k8s.io/v1
      metadata:
        name: fss-dyn-storage
      provisioner: fss.csi.oraclecloud.com
      parameters:
        availabilityDomain: US-ASHBURN-AD-1
        mountTargetSubnetOcid: ocid1.subnet.oc1.iad.aaaaaaaa2xpk______zva
        compartmentOcid: ocid1.compartment.oc1..aaaaaaaay______t6q
        kmsKeyOcid: ocid1.key.oc1.iad.anntl______usjh
        exportPath: /FileSystem1
        exportOptions: "[{\"source\":\"0.0.0.0/0\",\"requirePrivilegedSourcePort\":false,\"access\":\"READ_WRITE\",\"identitySquash\":\"NONE\"}]"
        encryptInTransit: "true"

   2. Cree la clase de almacenamiento a partir del archivo de manifiesto introduciendo:

      kubectl create -f <filename>

      Por ejemplo:

      kubectl create -f fss-dyn-st-class.yaml

3. Cree reglas de seguridad en un grupo de seguridad de red (recomendado) o en una lista de seguridad para el destino de montaje al que se hace referencia en la definición de clase de almacenamiento (o creado por ella) y para los nodos de trabajador del cluster.

   Las reglas de seguridad que se van a crear dependen de las ubicaciones de red relativas del destino de montaje y los nodos de trabajador, según los siguientes escenarios:

   • Escenario B: Montar el destino y la instancia en la misma subred
   • Escenario A: Montar el destino y la instancia en distintas subredes (recomendado)

   Estos escenarios, las reglas de seguridad que se van a crear y dónde crearlas, se describen por completo en la documentación del servicio File Storage (consulte Configuración de reglas de seguridad de VCN para File Storage).

4. Cree una PVC para que la aprovisione el nuevo sistema de archivos en el servicio File Storage, de la siguiente manera:
   1. Cree un archivo de manifiesto para definir la PVC:

      apiVersion: v1
      kind: PersistentVolumeClaim
      metadata:
        name: <pvc-name>
      spec:
        accessModes:
          - ReadWriteMany
        storageClassName: "<storage-class-name>"
        resources:
          requests:
            storage: 50Gi

      donde:

      • name: <pvc-name>: necesario. Por ejemplo, fss-dynamic-claim
      • storageClassName: "<storage-class-name>": necesario. Nombre de la clase de almacenamiento definida anteriormente. Por ejemplo, fss-dyn-storage.
      • accessModes: - ReadWriteMany: necesario. Tenga en cuenta que accessModes: debe especificar ReadWriteMany.
      • storage: 50Gi: necesario. Tenga en cuenta que Kubernetes requiere que especifique un valor para storage: en el manifiesto de PVC. Sin embargo, el servicio File Storage no soporta la especificación de un tamaño de sistema de archivos y crea un nuevo sistema de archivos con un tamaño por defecto, independientemente del valor que especifique para storage:.

      Por ejemplo, el siguiente archivo de manifiesto (denominado fss-dyn-claim.yaml) define una PVC denominada fss-dynamic-claim que aprovisiona el sistema de archivos definido en la clase de almacenamiento fss-dyn-storage:

      apiVersion: v1
      kind: PersistentVolumeClaim
      metadata:
        name: fss-dynamic-claim
      spec:
        accessModes:
          - ReadWriteMany
        storageClassName: "fss-dyn-storage"
        resources:
          requests:
            storage: 50Gi

   2. Cree la PVC a partir del archivo de manifiesto introduciendo:

      kubectl create -f <filename>

      Por ejemplo:

      kubectl create -f fss-dyn-claim.yaml

   Se crea un nuevo PVC. El plugin de volumen CSI crea un nuevo volumen persistente (PV) y un nuevo sistema de archivos en el servicio File Storage (junto con un nuevo destino de montaje si no ha especificado un destino de montaje existente).

   El nuevo PVC está vinculado al nuevo PV. Los datos se cifran de forma estática mediante claves de cifrado gestionadas por Oracle o por usted.

5. Verifique que la PVC se ha enlazado al nuevo volumen persistente introduciendo:

   kubectl get pvc

   La salida del comando anterior confirma que la PVC se ha enlazado correctamente:

   			
   NAME                STATUS    VOLUME                 CAPACITY   ACCESSMODES   STORAGECLASS      AGE
   fss-dynamic-claim   Bound     csi-fss-<unique_ID>    50Gi       RWX           fss-dyn-storage   4m

6. Utilice la nueva PVC al crear otros objetos, como pods. Por ejemplo, puede crear un nuevo pod a partir de la siguiente definición de pod:

   apiVersion: v1
   kind: Pod
   metadata:
     name: fss-dynamic-app
   spec:
     containers:
       - name: nginx
         image: nginx:latest
         ports:
           - name: http
             containerPort: 80
         volumeMounts:
           - name: persistent-storage
             mountPath: /usr/share/nginx/html
     volumes:
     - name: persistent-storage
       persistentVolumeClaim:
         claimName: fss-dynamic-claim

7. Después de crear un nuevo pod como se describe en el ejemplo del paso anterior, puede verificar que el pod está utilizando el nuevo PVC introduciendo:

   kubectl describe pod nginx

Para crear una PVC en un sistema de archivos existente en el servicio File Storage (mediante claves de cifrado gestionadas por Oracle para cifrar datos estáticos):

1. Cree un sistema de archivos con un destino de montaje en el servicio File Storage y seleccione la opción de cifrado Cifrar mediante claves gestionadas por Oracle. Consulte Creating a File System.
2. Cree reglas de seguridad en un grupo de seguridad de red (recomendado) o en una lista de seguridad tanto para el destino de montaje que exporta el sistema de archivos como para los nodos de trabajador del cluster.
   Las reglas de seguridad que se van a crear dependen de las ubicaciones de red relativas del destino de montaje y los nodos de trabajador, según los siguientes escenarios:

   • Escenario B: Montar el destino y la instancia en la misma subred
   • Escenario A: Montar el destino y la instancia en distintas subredes (recomendado)

   Estos escenarios, las reglas de seguridad que se van a crear y dónde crearlas, se describen por completo en la documentación del servicio File Storage (consulte Configuración de reglas de seguridad de VCN para File Storage).

3. Cree un PV respaldado por el sistema de archivos en el servicio File Storage de la siguiente manera:

   1. Cree un archivo de manifiesto para definir un PV y, en la sección csi:, defina:

      • De driver a fss.csi.oraclecloud.com
      • De volumeHandle a <FileSystemOCID>:<MountTargetIP>:<path>
        donde:

        • <FileSystemOCID> es el OCID del sistema de archivos definido en el servicio File Storage.
        • <MountTargetIP> es la dirección IP asignada al destino de montaje.
        • <path> es la ruta de montaje al sistema de archivos relativa a la dirección IP del destino de montaje, que comienza con una barra diagonal.

        Por ejemplo: ocid1.filesystem.oc1.iad.aaaa______j2xw:10.0.0.6:/FileSystem1

      Por ejemplo, el siguiente archivo de manifiesto (denominado fss-pv.yaml) define un PV denominado fss-pv respaldado por un sistema de archivos en el servicio File Storage:

      apiVersion: v1
      kind: PersistentVolume
      metadata:
        name: fss-pv
      spec:
        capacity:
          storage: 50Gi
        volumeMode: Filesystem
        accessModes:
          - ReadWriteMany
        persistentVolumeReclaimPolicy: Retain
        csi:
          driver: fss.csi.oraclecloud.com
          volumeHandle: ocid1.filesystem.oc1.iad.aaaa______j2xw:10.0.0.6:/FileSystem1

   2. Cree el PV desde el archivo de manifiesto introduciendo:

      kubectl create -f <filename>

      Por ejemplo:

      kubectl create -f fss-pv.yaml

4. Cree una PVC aprovisionada por el PV que ha creado, de la siguiente forma:
   1. Cree un archivo de manifiesto para definir la PVC y defina:
      • De storageClassName a "". Tenga en cuenta que debe especificar un valor vacío para storageClassName, aunque la clase de almacenamiento no sea aplicable en el caso del aprovisionamiento estático de almacenamiento persistente. Si no especifica un valor vacío para storageClassName, se utiliza la clase de almacenamiento por defecto (oci-bv), lo que provoca un error.
      • volumeName al nombre del PV que ha creado (por ejemplo, fss-pv)

      Por ejemplo, el siguiente archivo de manifiesto (denominado fss-pvc.yaml) define una PVC denominada fss-pvc aprovisionada por un PV denominado fss-pv:

      apiVersion: v1
      kind: PersistentVolumeClaim
      metadata:
        name: fss-pvc
      spec:
        accessModes:
          - ReadWriteMany
        storageClassName: ""
        resources:
          requests:
            storage: 50Gi
        volumeName: fss-pv

      Tenga en cuenta que el elemento requests: storage: debe estar presente en el archivo de manifiesto de PVC y su valor debe coincidir con el valor especificado para el elemento capacity: storage: en el archivo de manifiesto del PV. Aparte de eso, se ignora el valor del elemento requests: storage:.

   2. Cree la PVC a partir del archivo de manifiesto introduciendo:

      kubectl create -f <filename>

      Por ejemplo:

      kubectl create -f fss-pvc.yaml

La PVC está enlazada al PV respaldado por el sistema de archivos del servicio File Storage. Los datos se cifran de forma estática mediante claves de cifrado gestionadas por Oracle.