本文介绍挂载存储桶的注意事项、操作步骤等内容。 ## 前提条件已安装 FSX 客户端。具体操作，请参见[下载与安装 FSX](/docs/6349/1404014)。 ## 权限说明 ### 挂载存储桶所需要的权限使用 IAM 用户挂载存储桶，并执行相应操作时，需要拥有对应的权限，否则挂载会失败，具体权限说明如下： * 挂载存储桶时，需要拥有 ListBucket 和 HeadBucket 权限。 * 读取挂载的存储桶内对象时，需要拥有 GetObject 权限。 * 在挂载的存储桶写入文件时，需要拥有 PutObject 和 AbortMultipartUpload 权限。 * 在挂载的存储桶删除文件时，需要拥有 DeleteObject 权限。对于开启服务器端加密 (SSE\-KMS)的存储桶，则在读取或写入对象时需要额外的 KMS 操作权限。使用 SSE\-KMS 上传加密对象，您需要具备该密钥的 `kms:GenerateDataKey` 权限；若要下载 SSE\-KMS 加密对象，您需要具备该密钥的 `kms:Decrypt` 权限。关于服务端加密的更多信息，请参见[服务端加密概述](https://www.volcengine.com/docs/6349/105525)。以下是一个最小权限策略举例： ```Bash { "Statement": [{ "Effect": "Allow", "Action": [ "tos:GetObject", "tos:PutObject", "tos:DeleteObject", "tos:AbortMultipartUpload", "tos:ListBucket", "tos:HeadBucket" ], "Resource": [ "*" ] }] } ``` 您还可以根据实际情况在以上权限策略的基础上增加更多动作，使得 IAM 用户拥有更多权限。关于 IAM 策略支持动作，请参见 [IAM 策略概述](https://www.volcengine.com/docs/6349/102132)。确认需要授予的权限策略后，您需要在 [IAM 控制台](https://console.volcengine.com/iam/)使用权限策略创建自定义策略，然后授予 IAM 用户该策略，具体操作，请参见[配置 IAM 策略](https://www.volcengine.com/docs/6349/102132)和[添加授权](https://www.volcengine.com/docs/6257/65058#%E6%8E%88%E6%9D%83%E6%93%8D%E4%BD%9C%E6%96%B9%E6%B3%95)。 ### FSX 访问权限默认情况，FSX 客户端进程的 UID 和 GID 拥有挂载的系统内所有的文件和目录权限，文件默认权限为 644，目录默认权限为 755，这些信息支持通过 `chown` 和 `chmod` 命令修改，您可以在挂载存储桶时通过 `uid`、`gid`、`file_mode` 和 `dir_mode` 参数来修改默认值。参数说明： |**参数** |**是否必选** |**说明** | |---|---|---| |uid |否 |设置文件或目录属于某个用户时，需要填写的用户 uid。 | |gid |否 |设置文件或目录属于某个用户组时，需要填写的用户 gid。 | |file_mode |否 |用于设置文件的权限，默认取值为 644。 | |dir_mode |否 |用于设置目录的权限，默认取值为 755。 | 配置示例：允许所有用户访问，即权限为 777。 ```Bash mount -t fsx /tos/<挂载的存储桶名>:/<桶内目录> <挂载点> -o region="<地域>",endpoint="<访问域名>",credential_filepath="<鉴权凭证文件的绝对路径>",no_writeback_cache,file_mode=777,dir_mode=777 ``` ## 密钥挂载密钥挂载指使用 Access Key ID 和 Secret Access Key 作为身份凭证，通过 FSX 将存储桶挂载到 Linux 系统。密钥挂载不依赖特定的云基础设施环境，支持将存储桶挂载到各种 Linux 系统，详细介绍，请参见[运行环境](/docs/6349/1404012#e82382a8)。 1. 进入 Linux 操作系统，执行以下命令，创建挂载点。 ```Bash mkdir /mnt/point ``` 2. 执行以下命令，挂载存储桶或指定目录。 ```mixin-react return ( <挂载点> -o region="<地域>",endpoint="<访问域名>",credential_filepath="<鉴权凭证文件的绝对路径>",no_writeback_cache \`\`\` 示例如下： \`\`\`Bash mount -t fsx /tos/bucketname /mnt/point -o region="cn-beijing",endpoint="https://tos-cn-beijing.volces.com",credential_filepath="/root/credential.json",no_writeback_cache \`\`\` `}> :/<桶内目录> <挂载点> -o region="<地域>",endpoint="<访问域名>",credential_filepath="<鉴权凭证文件的绝对路径>",no_writeback_cache \`\`\` 示例如下： \`\`\`Bash mount -t fsx /tos/bucketname:/dir /mnt/point -o region="cn-beijing",endpoint="https://tos-cn-beijing.volces.com",credential_filepath="/root/credential.json",credential_timeout_sec=100,no_writeback_cache \`\`\` `}>); ``` 参数说明如下： :::tip 以下介绍使用 FSX 客户端挂载存储桶的基本参数，您还可以在挂载存储桶时设置预热、读缓存等参数，详细介绍，请参见 [FSX 挂载参数说明](/docs/6349/1404640)。 ::: |**参数** |**是否必选** |**说明** | |---|---|---| |region |是 |存储桶所在地域。 | |no_writeback_cache |是 |不开启内核 page cache 回写功能，保证 write 请求是顺序写。 | |endpoint |是 |TOS 的访问域名，仅支持 TOS 域名，暂不支持 S3 域名。如果没有指定协议，则默认使用 HTTPS 协议，完整格式为 `https://{host}:{port}`。 | |credential_filepath |否 |指定鉴权凭证文件的绝对路径，以加载访问所需的认证信息。您需要自行创建鉴权凭证文件，且该文件扩展名必须为 `json`，包含内容如下：|\ | | |```JSON|\ | | |{|\ | | | "VOLC_ACCESSKEY": "",|\ | | | "VOLC_SECRETKEY": "",|\ | | | "VOLC_SECURITY_TOKEN": ""|\ | | |}|\ | | |```|\ | | | | |credential_timeout_sec |否 |FSX 客户端动态配置鉴权文件的时间，单位：秒。|\ | | |:::tip|\ | | |`credential_timeout_sec` 和 `credential_filepath` 参数需要搭配使用。|\ | | ||\ | | |:::| |part_size |否 |多片上传时的段大小，单位为 MB，默认为 8MB，取值范围为 [4，5120]。TOS 约束最多上传 10000 个段，可以通过调整段大小来调整上传的对象大小。具体使用方式，请参见[上传大文件](/docs/6349/1756985)。|\ | | |:::tip|\ | | |`part_size` 的值必须为正整数。|\ | | ||\ | | |:::| 3. 执行以下命令，查看存储桶挂载情况。 ```Bash df -h ``` 在返回内容中看到挂载点、挂载存储桶名，说明挂载成功。 ```Bash Filesystem Size Used Avail Use% Mounted on BFA281845F:tos-fuse-test 8.0E 0 8.0E 0% /mnt/fuse_shm ``` ## 免密挂载免密挂载指通过 FSX 挂载存储桶时，无需指定密钥，而是通过安全令牌服务（STS）提供的临时安全凭证验证身份，完成挂载。该方式无需透露长期 AccessKey，可以保证账号下的密钥安全。 ### FSX 将存储桶挂载到 ECS 1. 为 ECS 实例绑定 IAM 角色，并获取角色 TRN。具体操作，请参见[基于实例IAM角色授权ECS访问其它云资源](https://www.volcengine.com/docs/6396/1278083)。 2. 进入 Linux 操作系统，执行以下命令，创建挂载点。 ```Bash mkdir /mnt/point ``` 3. 执行以下命令，挂载存储桶或指定目录。 ```mixin-react return ( <挂载点> -o region="<地域>",endpoint="<访问域名>",tos_auth_role_trn=<角色 TRN>,tos_auth_type=IMDS,no_writeback_cache \`\`\` 示例如下： \`\`\`Bash mount -t fsx /tos/bucketname /mnt/point -o region="cn-beijing",endpoint="https://tos-cn-beijing.volces.com",tos_auth_role_trn=trn:iam::210671****:role/fsx_role2,tos_auth_type=IMDS,no_writeback_cache \`\`\` `}> :/<桶内目录> <挂载点> -o region="<地域>",endpoint="<访问域名>",tos_auth_role_trn=<角色 TRN>,tos_auth_type=IMDS,no_writeback_cache \`\`\` 示例如下： \`\`\`Bash mount -t fsx /tos/bucketname:/dir /mnt/point -o region="cn-beijing",endpoint="https://tos-cn-beijing.volces.com",tos_auth_role_trn=trn:iam::210671****:role/fsx_role2,tos_auth_type=IMDS,no_writeback_cache \`\`\` `}>); ``` 参数说明如下： :::tip 以下介绍使用 FSX 客户端挂载存储桶的基本参数，您还可以在挂载存储桶时设置预热、读缓存等参数，详细介绍，请参见 [FSX 挂载参数说明](/docs/6349/1404640)。 ::: |**参数** |**是否必选** |**说明** | |---|---|---| |region |是 |存储桶所在地域。 | |endpoint |是 |TOS 的访问域名，仅支持 TOS 域名，暂不支持 S3 域名。如果没有指定协议，则默认使用 HTTPS 协议，完整格式为 `https://{host}:{port}`。 | |tos_auth_role_trn |是 |临时访问凭证，即步骤一中获取的角色 TRN。 | |tos_auth_type |是 |免密类型，在 ECS 场景下，取值仅为 `IMDS`。 | |no_writeback_cache |是 |不开启内核 page cache 回写功能，保证 write 请求是顺序写。 | |part_size |否 |多片上传时的段大小，单位为 MB，默认为 8MB，取值范围为 [4, 5120]。TOS 约束最多上传 10000 个段，可以通过调整段大小来调整上传的对象大小。具体使用方式，请参见[上传大文件](/docs/6349/1756985)。|\ | | |:::tip|\ | | |`part_size` 的值必须为正整数。|\ | | ||\ | | |:::| 4. 执行以下命令，查看存储桶挂载情况。 ```Bash df -h ``` 在返回内容中看到挂载点、挂载存储桶名，说明挂载成功。 ```Bash Filesystem Size Used Avail Use% Mounted on BFAACBA3B3:bucketname 8.0E 0 8.0E 0% /mnt/point ``` ### FSX 将存储桶挂载到 VKE :::warning * 集群创建完成后才支持开启 IRSA 鉴权。如需要使用 csi\-fsx 组件的 IRSA 鉴权能力，创建集群时请不要安装该组件。 * csi\-fsx 组件的 IRSA 鉴权开启后不支持修改，如果存量组件想要修改鉴权方式，需要卸载重装。 * IRSA OIDC 未开启的时候不允许使用 IRSA 鉴权。 * IAM 角色仅支持选择 OIDC 身份提供商类型，且已绑定本组件服务账号的信任关系的角色。 * csi\-fsx 组件安装完成后，暂不支持修改鉴权方式，仅可修改 IAM 角色，且仅对新增的存储卷生效（已有存量储卷不受影响）。同时，修改 IAM 角色会触发组件短暂重启，请在业务低峰期操作。 ::: 1. 登录[容器服务控制台](https://console.volcengine.com/vke)并创建集群。具体操作请参见[创建集群](https://www.volcengine.com/docs/6460/100936?lang=zh)。 2. 开启 IRSA 能力并创建 OIDC 身份提供商类型的 IAM 角色。具体操作请参见[集群中使用 IRSA 能力](https://www.volcengine.com/docs/6460/1324613?lang=zh)。 3. [使用 IRSA 实现存储挂载鉴权](https://www.volcengine.com/docs/6460/1861517?lang=zh)。 4. 完成 IAM 角色信任并安装 csi\-fsx 组件后，集群中的存储卷即可根据实际情况配置访问密钥鉴权。如您无需独立的访问密钥鉴权，需要免密挂载，则使用 IRSA 鉴权。 5. 存储卷创建完成后，您可以在创建工作负载时添加对应的卷，在 Pod 中挂载存储使用。 ## 查看日志默认日志打印在`/var/log/fsx` 路径下： * 进入到 `/var/log/fsx/fusedaemon/tos/fusedaemon` ，可以查看 FSX 客户端日志。 * 进入到 `/var/log/fsx/fusedaemon/tos/tos-fuse` ，可以查看 TOS 服务端交互日志。为了查看服务运行过程中的详细信息，定位问题，您可能需要开启调试日志，此时可以使用以下命令： * 调整 FSX 客户端日志级别为调试级别。 ```Bash cd /opt/fsx/bin && ./fusetool flags set --instance tos --flag v --value 20 --force ``` * 调整 TOS 服务端交互日志级别为调试级别。 ```Bash cd /opt/fsx/bin && ./fusetool flags set --instance tos --flag tosfuse_log_level --value 1 --force ``` ## 卸载挂载点执行 `umount <挂载目录>` 命令，可以在 Linux 系统中卸载挂载点。 ## 异常处理如果您在使用 FSX 过程中出现异常情况，建议您先运行 `/opt/fsx/tools/sysinfo_collector.sh` 脚本。该脚本会自动收集系统基本信息、挂载点信息、系统日志等内容，并默认会在脚本所在目录生成一个 `system_info_****_****.tar.gz` 压缩文件。您可以[提交工单](https://console.volcengine.com/workorder/create?step=2&SubProductID=P00000245)将该压缩文件发送给我们，我们将协助您解决问题。

对象存储