当我试图将运行在Kubernetes中的Elasticsearch 7.8.0实例连接到S3 bucket作为备份存储时，我遇到了一个问题。安装如下。
有一个Elasticsearch部署为自定义资源(ECK(。然后，用于执行此资源部署的pod的ServiceAccount和具有访问备份目标存储桶权限的IAM角色之间存在信任关系。然后，我创建了一个AWS S3类型的快照存储库，并将该bucket作为目标。但是，当我尝试验证存储库时，我收到了一个拒绝访问的错误。
据我所见，根据ECK原始文档创建自动快照，假设访问bucket的凭据是通过Keystore存储的。但我也看到，我的Elasticsearch版本使用的AWS SDK应该支持从ServiceAccount获取凭据：https://github.com/elastic/elasticsearch/blob/v7.8.0/plugins/repository-s3/build.gradle#L31(使用支持的AWS SDK(
因此，我想知道为什么这些组件没有按预期工作。有人试图建立类似的配置吗？Elasticsearch中是否存在任何根本问题，使其无法从ServiceAccount获取凭据？
由于涉及的实体数量相对较多，我试图笼统地描述这一案件。请告诉我，如果这种情况需要有关实体配置的额外详细信息。
---UPD-
以下是吊舱规格的示例：
kind: Pod
apiVersion: v1
metadata:
name: logging-elasticsearch-es-default-0
generateName: logging-elasticsearch-es-default-
namespace: elastic-logging
selfLink: /api/v1/namespaces/elastic-logging/pods/logging-elasticsearch-es-default-0
uid: 29ff69cc-9c01-448d-821e-d0da26cd2ba6
resourceVersion: '1950203'
creationTimestamp: '2020-07-15T15:38:40Z'
labels:
common.k8s.elastic.co/type: elasticsearch
controller-revision-hash: logging-elasticsearch-es-default-78fd9d9d45
elasticsearch.k8s.elastic.co/cluster-name: logging-elasticsearch
elasticsearch.k8s.elastic.co/config-hash: '2541120219'
elasticsearch.k8s.elastic.co/http-scheme: https
elasticsearch.k8s.elastic.co/node-data: 'true'
elasticsearch.k8s.elastic.co/node-ingest: 'true'
elasticsearch.k8s.elastic.co/node-master: 'true'
elasticsearch.k8s.elastic.co/node-ml: 'true'
elasticsearch.k8s.elastic.co/statefulset-name: logging-elasticsearch-es-default
elasticsearch.k8s.elastic.co/version: 7.8.0
statefulset.kubernetes.io/pod-name: logging-elasticsearch-es-default-0
annotations:
co.elastic.logs/module: elasticsearch
kubernetes.io/psp: eks.privileged
update.k8s.elastic.co/timestamp: '2020-07-15T15:42:46.115776158Z'
ownerReferences:
- apiVersion: apps/v1
kind: StatefulSet
name: logging-elasticsearch-es-default
uid: 34a0109c-708b-402c-96b9-89c3e292a6a6
controller: true
blockOwnerDeletion: true
spec:
volumes:
- name: aws-iam-token
projected:
sources:
- serviceAccountToken:
audience: sts.amazonaws.com
expirationSeconds: 86400
path: token
defaultMode: 420
containers:
- name: elasticsearch
image: 'docker.elastic.co/elasticsearch/elasticsearch:7.8.0'
env:
- name: AWS_ROLE_ARN
value: 'arn:aws:iam::<account_id>:role/AWSS3ElkSnapshotBucket'
- name: AWS_WEB_IDENTITY_TOKEN_FILE
value: /var/run/secrets/eks.amazonaws.com/serviceaccount/token
volumeMounts:
- name: aws-iam-token
readOnly: true
mountPath: /var/run/secrets/eks.amazonaws.com/serviceaccount
---UPD 2
以下是用于执行pod的ServiceAccount示例。
kind: ServiceAccount
apiVersion: v1
metadata:
name: default
namespace: elastic-logging
selfLink: /api/v1/namespaces/elastic-logging/serviceaccounts/default
uid: 7e97ac47-d893-4425-9da7-ef87848714e8
resourceVersion: '1894373'
creationTimestamp: '2020-07-07T13:08:01Z'
annotations:
eks.amazonaws.com/role-arn: 'arn:aws:iam::<account_id>:role/AWSS3ElkSnapshotBucket'
secrets:
- name: default-token-q5qft
因此，看起来官方文档显示了如何使用GCS将其与服务帐户联系起来，这是有意义的，因为GCP也有服务帐户的概念。
因为AWS有点不同，你通常会关联一个角色或承担一个拥有正确权限的角色。这是一个很好的指南，说明如何在Kubernetes中使用它，以及它现在是如何得到官方支持的。我相信ECK运营商还不支持它，因为文档说S3存储插件要么使用EC2，要么使用ECS IAM角色。这很奇怪，因为您希望使用S3类型的角色来访问S3。
文档中介绍了如何使用AWS用户而不是角色来访问S3:
- 客户端设置
- 使用AWS秘密访问密钥和AWS用户密钥ID的密钥库
- 存储库设置
如果您以这种方式配置插件，那么您应该能够访问S3，前提是用户对您想要存储快照的S3存储桶具有写访问权限。