💡
原文中文，约500字，阅读约需2分钟。
📝
内容提要
EBS适用于大多数Agent沙箱，但仅支持单AZ挂载。Amazon EFS作为替代方案，通过Access Point机制实现沙箱隔离，为每个Pod分配独立的Access Point，确保数据隔离。结合IAM Policy可进一步限制Pod的访问权限。
🎯
关键要点
- EBS适用于多数Agent沙箱场景，但仅支持单AZ挂载。
- EBS卷的单节点挂载数量存在上限。
- 当沙箱密度高或需要跨AZ调度时，Amazon EFS是替代方案。
- EFS的Access Point机制适合Agent沙箱的隔离需求。
- 每个沙箱Pod分配一个独立的Access Point，配置独立的root directory、UID/GID和目录权限。
- EFS强制将文件操作的用户身份替换为Access Point上配置的UID/GID。
- Access Point的root directory对挂载方而言是文件系统的根目录，确保沙箱间数据隔离。
- 结合IAM Policy可以限制特定Pod只能使用其对应的Access Point，从身份、路径、权限三个维度确保数据隔离。
➡️
