Container Service for Kubernetes:シークレットを使用せずにContainer Registryインスタンスからイメージをプルする

エラスティックコンテナインスタンスとcontainer Registryインスタンスなどの作成するリソースが同じAlibaba Cloudアカウントに属し、Container Registryインスタンスがデフォルトのドメイン名を使用するEnterprise EditionインスタンスまたはPersonal Editionインスタンスである場合、Container Registryインスタンスではデフォルトで秘密のないイメージプルが有効になります。 この場合、ビジネス要件に基づいてRAMロールを構成し、シークレットのないイメージのプルをサポートするContainer Registryインスタンスの範囲を制限できます。 たとえば、シークレットのないイメージのプルをサポートするContainer Registryインスタンスを1つだけ指定できます。

手順：

手順1: RAMロールの作成とRAMロールへの権限付与

1. 信頼できるAlibaba CloudサービスのRAMロールを作成します。 詳細については、「信頼できるAlibaba CloudサービスのRAMロールの作成」をご参照ください。

   次のパラメータに注意してください。

   • 信頼できるエンティティ: Alibaba Cloudサービスを選択します。

   • ロールタイプ: 通常のサービスロール。

   • RAMロール名: 例: acr-test.

   • 信頼できるサービス: ECIを選択します。

2. カスタム権限ポリシーを作成します。 詳細については、「カスタムポリシーの作成」をご参照ください。

   次の例は、指定されたContainer Registryインスタンス内のイメージのみをプルできることを示すポリシーの内容を示しています。 ポリシーの記述方法の詳細については、「ポリシー要素」をご参照ください。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. カスタムポリシーをRAMロールにアタッチします。 詳細については、「RAMロールへの権限の付与」をご参照ください。

4. 作成したacr-testロールを見つけます。 ロール名をクリックして詳細ページに移動します。 権限を確認し、RAMロールのAlibaba Cloudリソース名 (ARN) を取得します。

   

ステップ2: ステップ1で作成したRAMロールを指定してリソースを作成する

Elastic Container Instanceポッドまたはイメージキャッシュを作成するときに、k8s.aliyun.com/acr-service-arnsアノテーションを追加して、リソースの作成に使用するRAMロールを指定できます。

次のYAMLファイルは、アノテーションを追加してポッドを作成する方法を示しています。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: test
  labels:
    app: test
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      name: nginx-test
      labels:
        app: nginx
        alibabacloud.com/eci: "true" 
      annotations:                  
        k8s.aliyun.com/acr-service-arns: "acs:ram::1609982529******:role/acr-test" # Specifies the RAM role that is used to create the resource.
    spec:
      containers:
      - name: nginx
        image: test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0   # Specifies an image in a Container Registry instance from which the RAM role is allowed to pull images.
        ports:
        - containerPort: 80

手順1: RAMロールの作成とRAMロールへの権限付与

1. エラスティックコンテナインスタンスなど、作成するリソースが属するアカウントaにRAMロールを作成し、そのRAMロールに権限を付与します。

   1. 信頼できるAlibaba CloudサービスのRAMロールを作成します。 詳細については、「信頼できるAlibaba CloudサービスのRAMロールの作成」をご参照ください。

      次のパラメータに注意してください。

      • 信頼できるエンティティ: Alibaba Cloudサービスを選択します。

      • ロールタイプ: 通常のサービスロール。

      • RAMロール名: example: Role-assume.

      • 信頼できるサービス: ECIを選択します。

   2. role-assumeロールに、Security Token Service (STS) のAssumeRole APIを呼び出す権限を付与します。 詳細については、RAMロールへの権限の付与トピックの「方法2: ロールページの入力とアタッチをクリックしてRAMロールに権限を付与する」セクションを参照してください。

      ポリシータイプをシステムポリシーに設定し、ポリシー名をAliyunSTSAssumeRoleAccessに設定します。

   3. 作成したrole-assumeロールを見つけます。 ロール名をクリックして詳細ページに移動します。 権限と信頼ポリシーを確認し、role-assumeのARNを取得します。

      • 権限とARN

        

      • 信頼ポリシー

        

2. Container Registryインスタンスが属するアカウントBにRAMロールを作成し、RAMロールに権限を付与します。

   1. 信頼できるAlibaba CloudアカウントのRAMロールを作成します。 詳細については、「信頼できるAlibaba CloudアカウントのRAMロールの作成」をご参照ください。

      次のパラメータに注意してください。

      • 信頼できるエンティティ: Alibaba Cloudアカウントを選択します。

      • RAMロール名: 例: Role-acr.

      • 信頼できるAlibaba Cloudアカウント: その他のAlibaba Cloudアカウントを選択します。 エラスティックコンテナインスタンスなど、作成するリソースが属するアカウントAを入力します。

   2. role-acrロールに、Container Registryインスタンスからイメージをプルする権限を付与します。 詳細については、RAMロールへの権限の付与トピックの「方法2: ロールページの入力とアタッチをクリックしてRAMロールに権限を付与する」セクションを参照してください。

      ポリシータイプをシステムポリシーに設定し、ポリシー名をAliyunContainerRegistryFullAccessに設定します。

   3. role-assumeによってrole-acrが信頼されるように、信頼ポリシーを編集します。 詳細については、「RAMロールの信頼ポリシーの編集」をご参照ください。

      デフォルトでは、role-acrロールはアカウントAのすべてのRAMユーザーとRAMロールが引き受けることができます。信頼ポリシーを編集して、アカウントAの必要なRAMユーザーとRAMロールにのみ権限を付与することを推奨します。

      Principal要素で、RAMフィールドの値をrole-assumeのARNに変更します。 これは、role-acrロールはrole-assumeによってのみ引き受けることができることを示しています。 例：

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. 権限と信頼ポリシーを確認し、role-acrのARNを取得します。

      • 権限とARN

        

      • 信頼ポリシー

        

ステップ2: ステップ1で作成したRAMロールを指定してリソースを作成する

ポッドまたはイメージキャッシュを作成するときに、アノテーションを追加して、イメージをプルするために作成するリソースのアカウントとは異なるAlibaba CloudアカウントにContainer Registryインスタンスを指定できます。 以下の点にご注意ください。

• Container Registryインスタンスと作成するリソースが異なるAlibaba Cloudアカウントに属している場合、権限設定のRAMロールを指定するために、k8s.aliyun.com/acr-service-arnsとk8s.aliyun.com/acr-user-arnsの注釈を追加する必要があります。

  • Elastic Container Instanceリソースが属するAlibaba CloudアカウントのRAMロールのAlibaba Cloudリソース名 (ARN) を指定します。

  • k8s.aliyun.com/acr-user-arns: Container Registryインスタンスが属するAlibaba CloudアカウントのRAMロールのARNを指定します。

• Container Registryインスタンスがカスタムドメイン名を使用するEnterprise Editionインスタンスの場合、Container Registryインスタンスを指定するためにk8s.aliyun.com/acr-instance-ids注釈を追加する必要があります。

  説明

  Container Registry Enterprise Editionインスタンスは、複数のリージョンで使用できます。 ポッドのリージョンとは異なるリージョンにあるEnterprise Editionインスタンスを指定できます。 この場合、リージョンIDのプレフィックスにEnterprise EditionインスタンスのIDを付ける必要があります。 例: cn-beijing:cri-j36zhodptmyq ****

annotations:
    k8s.aliyun.com/acr-instance-ids: "cri-j36zhodptmyq****" 
    k8s.aliyun.com/acr-service-arns: "acs:ram::1609982529******:role/role-assume"
    k8s.aliyun.com/acr-user-arns: "acs:ram::1298452580******:role/role-acr"

apiVersion: apps/v1
kind: Deployment
metadata:
  name: test
  labels:
    app: test
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      name: nginx-test
      labels:
        app: nginx
        alibabacloud.com/eci: "true" 
      annotations:
        k8s.aliyun.com/acr-instance-ids: "cri-j36zhodptmyq****"                        
        k8s.aliyun.com/acr-service-arns: "acs:ram::1609982529******:role/role-assume"
        k8s.aliyun.com/acr-user-arns: "acs:ram::1298452580******:role/role-acr"
    spec:
      containers:
      - name: nginx
        image: test****-registry.example.com/eci_test/nginx:1.0   # Specifies an image in a Container Registry Enterprise Edition instance that uses a custom domain name.
        ports:
        - containerPort: 80

注釈:
    k8s.aliyun.com/acr-instance-ids: 「cri-j36zhodptmyq **** 」
    k8s.aliyun.com/acr-service-arns: "acs:ram::1609982529 ******:role/role-assume"
    k8s.aliyun.com/acr-user-arns: "acs:ram::1298452580 ******:role/role-acr" 

apiVersion: eci.alibabacloud.com/v1
kind: ImageCache
メタデータ:
  名前: imagecache-sample
  アノテーション：
    k8s.aliyun.com/acr-instance-ids: 「cri-j36zhodptmyq **** 」
    k8s.aliyun.com/acr-service-arns: "acs:ram::1609982529 ******:role/role-assume"
    k8s.aliyun.com/acr-user-arns: "acs:ram::1298452580 ******:role/role-acr"
spec:
  画像: 
  -test **** -registry.example.com/eci_test/nginx:1.0# カスタムドメイン名を使用するContainer Registry Enterprise Editionインスタンスのイメージを指定します。
  imagePullSecrets:
  -デフォルト: secret1
  -default:secret2
  -kube-system:secret3
  imageCacheSize:
   25
  retentionDays:
   7