AWS Fargate非默认命名空间Pod启动失败：EFS CSI驱动未找到

核心原因 #

默认部署的EFS CSI驱动权限配置未覆盖非default命名空间，导致目标命名空间内的Pod无法找到注册的efs.csi.aws.com驱动，进而触发挂载失败。

解决方案步骤 #

1. 检查EFS CSI驱动的集群权限配置 #

先确认驱动的ClusterRole和ClusterRoleBinding是否允许跨命名空间访问：

• 查看ClusterRole权限：

  kubectl describe clusterrole efs-csi-node-role
  

  需确保包含csi.storage.k8s.io相关的节点访问权限（如nodes、nodes/status资源的操作权限）。
• 查看ClusterRoleBinding范围：

  kubectl describe clusterrolebinding efs-csi-node-binding
  

  确认绑定的ServiceAccount是否覆盖所有需要使用驱动的命名空间，若仅限制了特定命名空间，需调整绑定规则。

2. 调整EFS CSI驱动的Fargate兼容配置 #

若为自行部署的驱动，需确保节点插件的DaemonSet支持Fargate调度且无命名空间限制：

• 编辑kube-system命名空间下的DaemonSet：

  kubectl edit daemonset efs-csi-node -n kube-system
  

  检查并添加Fargate兼容的调度配置：

  tolerations:
  - key: eks.amazonaws.com/compute-type
    operator: Equal
    value: fargate
    effect: NoSchedule
  nodeSelector:
    eks.amazonaws.com/compute-type: fargate
  

3. 验证StorageClass的集群级属性 #

确认redis-sc.yaml中的StorageClass为集群级资源（无命名空间限制），且配置正确：

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: efs-sc
provisioner: efs.csi.aws.com
parameters:
  provisioningMode: efs-ap
  fileSystemId: <你的EFS文件系统ID>
  directoryPerms: "700"
reclaimPolicy: Delete
volumeBindingMode: Immediate

4. 为目标命名空间绑定驱动权限 #

在目标命名空间创建ServiceAccount并绑定EFS CSI的ClusterRole：

# 创建目标命名空间的ServiceAccount
apiVersion: v1
kind: ServiceAccount
metadata:
  name: efs-csi-node-sa
  namespace: <你的目标命名空间>

# 绑定ClusterRole到该ServiceAccount
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: efs-csi-node-binding
  namespace: <你的目标命名空间>
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: efs-csi-node-role
subjects:
- kind: ServiceAccount
  name: efs-csi-node-sa
  namespace: <你的目标命名空间>

5. 重新部署并验证Pod状态 #

删除失败的Pod后重新部署：

kubectl delete pod <redis-pod-name> -n <目标命名空间>
kubectl apply -f redis-csi.yaml -n <目标命名空间>

查看Pod事件确认挂载状态：

kubectl describe pod <redis-pod-name> -n <目标命名空间>

内容的提问来源于stack exchange，提问作者bneilz