:コンポーネントを使用したパスワードなしのコンテナイメージプル

onectl を使用する

1. オンプレミスマシンに onectl をインストールします。詳細については、「onectl を使用して登録済みクラスターを管理する」をご参照ください。

2. 次のコマンドを実行して、aliyun-acr-credential-helper に RAM 権限を付与します。

   onectl ram-user grant --addon aliyun-acr-credential-helper

   予期される出力:

   Ram policy ack-one-registered-cluster-policy-aliyun-acr-credential-helper granted to ram user ack-one-user-ce313528c3 successfully.

コンソールを使用する

外部クラスターにコンポーネントをインストールする前に、AccessKey ペアを設定して、外部クラスターに Alibaba Cloud リソースにアクセスするための権限を付与する必要があります。 AccessKey ペアを設定する前に、RAM ユーザーを作成し、Alibaba Cloud リソースにアクセスするための権限を RAM ユーザーに付与します。

1. RAM ユーザーを作成する。

2. カスタムポリシーを作成する。例:

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": [
                   "*"
               ],
               "Effect": "Allow"
           }
       ]
   }

3. カスタムポリシーを RAM ユーザーにアタッチする。

4. RAM ユーザーの AccessKey ペアを作成する。

   警告

   AccessKey のセキュリティを強化するために、ネットワークアクセス制御用の AccessKey ペアベースのポリシーを構成し、AccessKey の呼び出し元を信頼できるネットワーク環境に制限することをお勧めします。

5. AccessKey ペアを使用して、登録済みクラスターに alibaba-addon-secret という名前の Secret を作成します。

   aliyun-acr-credential-helper コンポーネントをインストールすると、システムは AccessKey ペアを自動的に使用してクラウドリソースにアクセスします。

   kubectl -n kube-system create secret generic alibaba-addon-secret --from-literal='access-key-id=<your access key id>' --from-literal='access-key-secret=<your access key secret>'

   説明

   <your access key id> と <your access key secret> は、前の手順で取得した AccessKey ペアに置き換えます。

onectl を使用する

次のコマンドを実行して、aliyun-acr-credential-helper をインストールします。

onectl addon install aliyun-acr-credential-helper

予期される出力:

Addon aliyun-acr-credential-helper, version **** installed.

aliyun-acr-credential-helper がすでにインストールされている場合は、aliyun-acr-credential-helper が最新バージョンであることを確認してください。次のコマンドを実行して、aliyun-acr-credential-helper を最新バージョンに更新できます。

onectl addon upgrade aliyun-acr-credential-helper

予期される出力:

Addon aliyun-acr-credential-helper upgraded to version ****.

コンソールを使用する

aliyun-acr-credential-helper コンポーネントをインストールした場合は、コンポーネントが最新バージョンであることを確認してください。そうでない場合は、コンポーネントを更新します。コンポーネントの更新はビジネスに影響しません。詳細については、「コンポーネントを管理する」をご参照ください。 aliyun-acr-credential-helper コンポーネントの詳細については、「aliyun-acr-credential-helper」をご参照ください。

aliyun-acr-credential-helper コンポーネントが最新バージョンに更新されると、コンポーネントが依存する RAM ロールが変更されます。コンポーネントは、コンポーネントが依存する RAM ロールを指定できるように tokenMode パラメーターを提供します。コンポーネントが依存する RAM ロールの変更による影響の詳細については、「[製品の変更] aliyun-acr-credential-helper が依存する権限を取り消す」をご参照ください。

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターを見つけ、その名前をクリックします。左側のウィンドウで、[操作] > [アドオン] を選択します。

3. [アドオン] ページで、[セキュリティ] タブをクリックし、aliyun-acr-credential-helper を見つけて、[インストール] をクリックします。

4. [パラメーター] ページで、tokenMode パラメーターにデフォルト値 auto を使用し、[OK] をクリックします。

   ACK マネージドクラスターを最新バージョンに更新した後、aliyun-acr-credential-helper コンポーネントは tokenMode パラメーターを提供します。コンポーネントのインストール後にパラメーターを変更できます。コンポーネントが変更されると、システムはコンポーネントのポッドを再作成します。表に記載されている古いクラスターは、2023 年 4 月 3 日より前に作成されたクラスターを指し、新しいクラスターは、2023 年 4 月 3 日以降に作成されたクラスターを指します。次の表に、tokenMode パラメーターの有効な値を示します。

   tokenMode	説明
   auto	managedRole モードを使用するかどうかを自動的に決定します。これがデフォルト値です。システムは、新しいクラスターには managedRole モードを、古いクラスターには workerRole モードを使用します。
   managedRole	managedRole モードを使用します。
   workerRole	workerRole モードを使用します。

コンソールを使用する

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターの名前をクリックし、左側のナビゲーションウィンドウで [構成] [>] ConfigMap を選択します。

3. [ConfigMap] ページの上部にある [名前空間] ドロップダウンリストから kube-system を選択します。次に、acr-configuration ConfigMap を見つけて、パラメーターを構成します。

   acr-configuration ConfigMap が存在しない場合は、ConfigMap を作成します。詳細については、「ConfigMap を作成する」をご参照ください。 ConfigMap の更新方法については、「ConfigMap を管理する」をご参照ください。

   • [操作] 列の [編集] をクリックして、ConfigMap のキーと値を構成します。

   • [操作] 列の [YAML を編集] をクリックして、ConfigMap のキーと値を構成します。

kubectl を使用する

1. 次のコマンドを実行して、acr-configuration ConfigMap の編集ページに移動します。

   kubectl edit cm acr-configuration -n kube-system

2. 要件に基づいて、acr-configuration ConfigMap のパラメーターを構成します。