先决条件

• 确保您具有集群的 管理者 服务访问角色。
• 设置 KMS 提供程序。
• 检索 apikey，或 access_key_id 以及 secret_access_keyIBM Cloud Object Storage 服务凭据 中的。 请注意，服务凭证必须足以用于应用程序需要执行的存储区操作。 例如，如果应用程序从存储区读取数据，那么您在私钥中看到的服务凭证必须至少具有 读者 许可权。

在集群中创建对象存储器私钥

完成以下步骤以在集群中为 IBM Cloud Object Storage创建私钥。

如果要在从集群中的 PVC 创建新存储区时集成 Key Protect 加密，那么必须在创建 IBM Cloud Object Storage 密钥 时包含根密钥 CRN。 请注意，无法将 Key Protect 加密添加到现有存储区。 仅当您创建新存储区时，才能使用加密。 如果删除用于加密的根密钥，那么关联存储区中的所有文件都不可访问。

• 请登录您的账户。 如果适用，请将相应的资源组设定为目标。 设置集群的上下文。

1. 获取 IBM Cloud Object Storage 服务实例的 GUID。

   ibmcloud resource service-instance <service_name> | grep GUID
   

2. 创建 Kubernetes 私钥以用于存储服务凭证。 从下列其中一个示例中选择以创建私钥。

   • 使用 API 密钥的示例 create secret 命令。

       kubectl create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=api-key=<api_key> --from-literal=service-instance-id=<service_instance_guid>
       ```
   * 使用 HMAC 认证的示例 `create secret` 命令。
   ```sh {: pre}
       kubectl create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=access-key=<access_key_ID> --from-literal=secret-key=<secret_access_key>    
       ```
   * 用于对 KMS 提供程序启用加密的示例密钥配置文件。
       1. 将以下 YAML 保存到文件中。
           ```yaml {: codeblock}
           apiVersion: v1
           data:
               access-key: xxx
               secret-key: xxx
               kp-root-key-crn: <CRN> # Key Protect or HPCS root key crn in base64 encoded format
           kind: Secret
           metadata:
               name: cos-write-access
           type: ibm/ibmc-s3fs
           ```
           `api-key`
           :   输入先前从 IBM Cloud Object Storage 服务凭证中检索到的 API 密钥。 如果要使用 HMAC 身份验证，请改用 `access-key` 和 `secret-key`。
   
           `access-key`
           :   输入先前从 IBM Cloud Object Storage 服务凭证中检索到的访问密钥标识。 如果要使用 OAuth2 身份验证，请改用 `api-key`。
   
           `secret-key`
           :   输入先前从 IBM Cloud Object Storage 服务凭证中检索到的访问密钥。 如果要使用 OAuth2 身份验证，请改用 `api-key`。
   
           `service-instance-id`
           :   输入先前检索到的 IBM Cloud Object Storage 服务实例的 GUID。
   
           `kp-root-key-crn`
           :   输入 base64 编码的 Key Protect 根密钥 CRN 以使用 Key Protect 加密。
   
       1. 将该密钥应用到您的集群中。
           ```sh {: pre}
           kubectl apply -f <secret_name>
           ```
   
   

3. 获取集群中的私钥并验证输出。

   kubectl get secret
   

   示例输出

   NAME                  TYPE                                  DATA   AGE
   cos-write-access      ibm/ibmc-s3fs                         2      7d19h
   default-au-icr-io     kubernetes.io/dockerconfigjson        1      55d
   default-de-icr-io     kubernetes.io/dockerconfigjson        1      55d
   ...
   

4. 安装 IBM Cloud Object Storage 插件，或者如果已安装插件，请 决定 IBM Cloud Object Storage 存储区的配置。

5. 可选: 将私钥添加到缺省存储类。 存储类参考