Configurar o acesso ao S3 por função de IAM

Este tópico apresenta como configurar o acesso ao s3 por função IAM quando você instala o Milvus com o helm. Para obter mais detalhes, consulte Funções IAM.

Antes de começar

• Ative o OIDC ao criar um cluster EKS usando o eksctl. Para obter mais detalhes, consulte OIDC do IAM.

• Este guia pressupõe que você já implantou um Cluster Milvus no AWS com o Kubernetes.

Associar uma função do IAM a uma conta de serviço do Kubernetes

• Crie um bucket do AWS S3.

  Leia Regras de nomenclatura de bucket e observe as regras de nomenclatura ao nomear seu bucket do AWS S3.

  milvus_bucket_name="milvus-bucket-$(openssl rand -hex 12)"
  
  aws s3api create-bucket --bucket "$milvus_bucket_name" --region 'us-east-2' --acl private  --object-ownership ObjectWriter --create-bucket-configuration LocationConstraint='us-east-2'
  
  
  # Output
  #
  # "Location": "http://milvus-bucket-039dd013c0712f085d60e21f.s3.amazonaws.com/"
  

• Crie uma política do IAM para ler e gravar objetos no bucket criado acima. Substitua o nome do bucket pelo seu próprio nome.

  echo '{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "s3:ListBucket"
        ],
        "Resource": [
          "arn:aws:s3:::<bucket-name>"
        ]
      },
      {
        "Effect": "Allow",
        "Action": [
          "s3:DeleteObject",
          "s3:GetObject",
          "s3:PutObject"
        ],
        "Resource": [
          "arn:aws:s3:::<bucket-name>/*"
        ]
      }
    ]
  }' > milvus-s3-policy.json
  
  aws iam create-policy --policy-name MilvusS3ReadWrite --policy-document file://milvus-s3-policy.json
  
  
  # Get the ARN from the command output as follows:
  # {
  #     "Policy": {
  #         "PolicyName": "MilvusS3ReadWrite",
  #         "PolicyId": "AN5QQVVPM1BVTFlBNkdZT",
  #         "Arn": "arn:aws:iam::12345678901:policy/MilvusS3ReadWrite",
  #         "Path": "/",
  #         "DefaultVersionId": "v1",
  #         "AttachmentCount": 0,
  #         "PermissionsBoundaryUsageCount": 0,
  #         "IsAttachable": true,
  #         "CreateDate": "2023-11-16T06:00:01+00:00",
  #        "UpdateDate": "2023-11-16T06:00:01+00:00"
  #     }
  # }    
  

• Crie uma função do IAM e associe-a a uma conta de serviço do Kubernetes. Substitua your-account-id pelo ID da sua conta.

eksctl create iamserviceaccount --name milvus-s3-access-sa --namespace milvus --cluster milvus-eks-cluster --role-name milvus-s3-access-sa \
    --attach-policy-arn arn:aws:iam::<your-account-id>:policy/MilvusS3ReadWrite --approve

Verifique a configuração da função e da conta de serviço

Consulte as funções do IAM.

• Confirme se a política de confiança da função do IAM está configurada corretamente.

aws iam get-role --role-name milvus-s3-access-sa --query Role.AssumeRolePolicyDocument
# An example output is as follows
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:default:my-service-account",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}

• Confirme se a política que você anexou à sua função em uma etapa anterior está anexada à função.

aws iam list-attached-role-policies --role-name milvus-s3-access-sa --query 'AttachedPolicies[].PolicyArn' --output text
# An example output is as follows
arn:aws:iam::12345678901:policy/MilvusS3ReadWrite

• Veja a versão padrão da política.

export policy_arn='arn:aws:iam::12345678901:policy/MilvusS3ReadWrite'
aws iam get-policy --policy-arn $policy_arn
# An example output is as follows
{
    "Policy": {
        "PolicyName": "MilvusS3ReadWrite",
        "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
        "Arn": "arn:aws:iam::12345678901:policy/MilvusS3ReadWrite",
        "Path": "/",
        "DefaultVersionId": "v2",
        [...]
    }
}

• Veja o conteúdo da política para se certificar de que a política inclui todas as permissões de que o seu POD necessita. Se necessário, substitua 1 no comando a seguir pela versão que é retornada na saída anterior.

aws iam get-policy-version --policy-arn $policy_arn --version-id v2
# An example output is as follows
{
    "PolicyVersion": {
        "Document": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Action": [
                        "s3:GetObject",
                        "s3:PutObject",
                        "s3:ListBucket",
                        "s3:DeleteObject"
                    ],
                    "Resource": [
                        "arn:aws:s3:::<bucket-name>",
                        "arn:aws:s3:::<bucket-name>/*"
                    ]
                }
            ]
        },
        [...]
    }
}

• Confirme que a conta de serviço Kubernetes está anotada com a função.

kubectl describe serviceaccount milvus-s3-access-sa -n milvus
# An example output is as follows
Name:                milvus-s3-access-sa
Namespace:           milvus
Labels:              app.kubernetes.io/managed-by=eksctl
Annotations:         eks.amazonaws.com/role-arn: arn:aws:iam::12345678901:role/milvus-s3-access-sa
[...]

Implantar o Milvus

Neste guia, usaremos os gráficos do Milvus Helm para implantar um cluster do Milvus. Você pode encontrar os gráficos aqui.

• Adicione o repositório do Milvus Helm Chart.

helm repo add milvus https://zilliztech.github.io/milvus-helm/
helm repo update

• Prepare o ficheiro de configuração do Milvus milvus.yaml, e substitua <bucket-name> pelo nome do bucket criado acima.

cluster:
  enabled: true

service:
  type: LoadBalancer
  port: 19530
  annotations: 
    service.beta.kubernetes.io/aws-load-balancer-type: external
    service.beta.kubernetes.io/aws-load-balancer-name: milvus-service
    service.beta.kubernetes.io/aws-load-balancer-scheme: internet-facing
    service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: ip

serviceAccount:
  create: false
  name: milvus-s3-access-sa

minio:
  enabled: false

externalS3:
  enabled: true
  host: "s3.us-east-2.amazonaws.com"
  port: "443"
  useSSL: true
  bucketName: "<bucket-name>"
  useIAM: true
  cloudProvider: "aws"
  iamEndpoint: ""

rootCoordinator:
  replicas: 2
  activeStandby:
    enabled: true
  resources: 
    limits:
      cpu: 1
      memory: 2Gi

indexCoordinator:
  replicas: 2
  activeStandby:
    enabled: true
  resources: 
    limits:
      cpu: "0.5"
      memory: 0.5Gi

queryCoordinator:
  replicas: 2
  activeStandby:
    enabled: true
  resources: 
    limits:
      cpu: "0.5"
      memory: 0.5Gi

dataCoordinator:
  replicas: 2
  activeStandby:
    enabled: true
  resources: 
    limits:
      cpu: "0.5"
      memory: 0.5Gi

proxy:
  replicas: 2
  resources: 
    limits:
      cpu: 1
      memory: 2Gi  

• Instalar o Milvus.

helm upgrade --install milvus-demo milvus/milvus -n milvus -f milvus.yaml

Verificar a instalação

Consulte Verificar a instalação.