无法将静态配置的EBS卷挂载到EKS节点的问题排查

核心问题定位 #

从ebs-csi-controller日志中的UnauthorizedOperation错误可确定：EBS CSI驱动使用的IAM角色无权限操作手动创建的静态EBS卷，这是挂载失败的直接原因。动态卷正常是因为驱动对自身创建的卷默认拥有权限，但静态卷属于手动预创建资源，需额外配置权限。

具体排查与修复步骤 #

1. 解码AWS授权失败消息，明确缺失权限 #

执行以下AWS CLI命令解码日志中的授权失败编码字符串，精准定位缺少的权限：

aws sts decode-authorization-message --encoded-message 86wH2-qNGBPhlKSt0fyV9CfjiZCvdgoQmTX7EmWlB9Dwmj8VjAWo7VaLEobbh4lNuLM0bmCnWOPgntBaRP2jwqap6koIsjikjt4Takcv49FZZ0SmO4GLhqpzBx88k1YAUE3n0DJp_ip6gW-oVvb2FD16tOfU5iJn6dyCUUzGlguhPn20WbzZuYitvpfXlK4m2RSiQDZPDHOesmsDWREN5d-p086kAQAUdLauoNaTd-qDWf497Yh5pwR4WXYM3hWi8SxSSs7y6sQ8idTjj8GHUjJOrsZC_hRCMO-NhOMy-agBwT4gYziOzaZ-AVxlhv7YW27Yd-azNrumAuA4JykN8YtE76h1RFJ16SuIFBrhx4mEsMR-pjuLLnuTbk6hdkXqeoPE9xoIx6pL12HwiblTDOQo8nM2utNK_p0ZYefb1IlJuIjm8CrgbmxyXu5wZWcsZKOnufdTh6G2Hj46kT0OHDI7-NJbyu4d8NkQ5LvQvX_wHVc2JAonNsRj5VuQZZr6G5C1FJrNiu44-LnhWB92LMR9ho7maHegKKrQ-DLy9UHuVS9fq5xNdyEgYAaNFGn8MkJxsSplFUQm25HByt39hCbeuwoYkUHtpite9ufqoMvTElYJBDFkasVec2RxhnYcPuyQ7pPj26IcUquW5wKD

返回结果会明确指出驱动角色缺少的具体操作（如ec2:AttachVolume）。

2. 补充EBS CSI驱动IAM角色权限 #

更新EBS CSI驱动关联的IAM角色策略，添加对静态卷的操作权限。至少需要包含以下权限：

{
    "Effect": "Allow",
    "Action": [
        "ec2:AttachVolume",
        "ec2:DescribeVolumes",
        "ec2:DescribeInstances"
    ],
    "Resource": [
        "arn:aws:ec2:us-west-2:你的AWS账号ID:volume/vol-0a493db74622155d0",
        "arn:aws:ec2:us-west-2:你的AWS账号ID:instance/*"
    ]
}

若需兼容所有静态卷，可暂时用"Resource": "*"测试，后续再根据实际需求收紧权限。

3. 验证静态PV配置正确性 #

确认静态PV的关键配置项：

• csi.volumeHandle必须严格匹配静态卷ID（vol-0a493db74622155d0）
• 配置nodeAffinity确保卷仅调度到对应AZ的节点：

apiVersion: v1
kind: PersistentVolume
metadata:
  name: firehose-mainnet-reader-test-volume
spec:
  capacity:
    storage: 1000Gi
  accessModes:
    - ReadWriteOnce
  csi:
    driver: ebs.csi.aws.com
    volumeHandle: vol-0a493db74622155d0
  storageClassName: io2
  nodeAffinity:
    required:
      nodeSelectorTerms:
      - matchExpressions:
        - key: topology.ebs.csi.aws.com/zone
          operator: In
          values:
          - us-west-2c

4. 检查静态卷的状态 #

• 确认AWS控制台中该卷状态为可用，未被其他EC2实例挂载
• 再次核对卷的AZ与Pod调度节点的AZ完全一致

5. 验证EBS CSI驱动版本 #

确保使用官方最新版本的EBS CSI驱动，旧版本可能存在静态卷挂载的兼容性问题。

内容的提问来源于stack exchange，提问作者Paymahn Moghadasian