必要條件

• 確保您具有叢集的 管理員 服務存取角色。
• 設定 KMS 提供者。
• 檢索 apikey，或是 access_key_id 以及 secret_access_keyIBM Cloud Object Storage 服務憑證 的相關資訊。 請注意，服務認證必須足以滿足應用程式需要執行的儲存區作業。 例如，如果您的應用程式從儲存區讀取資料，則您在密鑰中看到的服務認證必須至少具有 讀者 許可權。

在叢集裡建立物件儲存空間密碼

完成下列步驟，以在叢集裡為 IBM Cloud Object Storage建立密鑰。

如果您想要在從叢集裡的 PVC 建立新儲存區時整合 Key Protect 加密，則必須在建立 IBM Cloud Object Storage 密鑰 時包括根金鑰 CRN。 請注意，Key Protect 加密無法新增至現有儲存區。 只有在您建立新的儲存區時，才能使用加密。 如果刪除用於加密的根金鑰，則無法存取相關聯儲存區中的所有檔案。

• 請登入您的帳戶。 適用的話，請將適當的資源群組設為目標。 設定叢集的環境定義。

1. 取得 IBM Cloud Object Storage 服務實例的 GUID。

   ibmcloud resource service-instance <service_name> | grep GUID
   

2. 建立用來儲存服務認證的 Kubernetes 密碼。 請從下列其中一個範例中選擇，以建立您的密鑰。

   • 使用 API 金鑰的 create secret 指令範例。

       kubectl create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=api-key=<api_key> --from-literal=service-instance-id=<service_instance_guid>
       ```
   * 使用 HMAC 鑑別的 `create secret` 指令範例。
   ```sh {: pre}
       kubectl create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=access-key=<access_key_ID> --from-literal=secret-key=<secret_access_key>    
       ```
   * 使用 KMS 提供者啟用加密的密鑰配置檔範例。
       1. 將下列 YAML 儲存至檔案。
           ```yaml {: codeblock}
           apiVersion: v1
           data:
               access-key: xxx
               secret-key: xxx
               kp-root-key-crn: <CRN> # Key Protect or HPCS root key crn in base64 encoded format
           kind: Secret
           metadata:
               name: cos-write-access
           type: ibm/ibmc-s3fs
           ```
           `api-key`
           :   輸入您稍早從 IBM Cloud Object Storage 服務認證中擷取的 API 金鑰。 若要使用 HMAC 驗證，請改為指定 ` `access-key` ` 和 ` `secret-key` `。
   
           `access-key`
           :   輸入您稍早從 IBM Cloud Object Storage 服務認證中擷取的存取金鑰 ID。 若要使用「OAuth2」驗證，請改為指定 `api-key`。
   
           `secret-key`
           :   輸入您稍早從 IBM Cloud Object Storage 服務認證中擷取的秘密存取金鑰。 若要使用「OAuth2」驗證，請改為指定 `api-key`。
   
           `service-instance-id`
           :   輸入您稍早擷取的 IBM Cloud Object Storage 服務實例 GUID。
   
           `kp-root-key-crn`
           :   輸入 base64 編碼 Key Protect 根金鑰 CRN，以使用 Key Protect 加密。
   
       1. 將此秘訣應用於您的叢集。
           ```sh {: pre}
           kubectl apply -f <secret_name>
           ```
   
   

3. 取得叢集裡的密碼並驗證輸出。

   kubectl get secret
   

   輸出範例

   NAME                  TYPE                                  DATA   AGE
   cos-write-access      ibm/ibmc-s3fs                         2      7d19h
   default-au-icr-io     kubernetes.io/dockerconfigjson        1      55d
   default-de-icr-io     kubernetes.io/dockerconfigjson        1      55d
   ...
   

4. 安裝 IBM Cloud Object Storage 外掛程式，或者如果您已安裝外掛程式，請 決定 IBM Cloud Object Storage 儲存區的配置。

5. 選用: 將密碼新增至預設儲存空間類別。 儲存空間類別參照