Container Registry:パスワード不要コンポーネントを使用して、同一アカウント内の ACR Enterprise Edition インスタンスからイメージをプルする

ステップ 1：コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、クラスター をクリックします。

2. クラスター ページで、目的のクラスターを見つけ、その名前をクリックします。左側のナビゲーションウィンドウで、アドオン をクリックします。

3. アドオン ページで、セキュリティ タブを選択します。aliyun-acr-credential-helper（マネージド） カードを見つけ、インストール をクリックします。

4. aliyun-acr-credential-helper のインストール ページでは、AcrInstanceInfo 構成およびその他のオプションを確認できます。AcrInstanceInfo には、コンポーネントに関連付けられた各 ACR インスタンスの構成が含まれます。その他のオプションは、コンポーネントの一般的な設定です。監視対象の名前空間またはサービスアカウントを変更する必要がない場合は、デフォルト設定のままにしてください。

   インストール後、コンポーネントの構成を更新できます。アドオン ページで、構成 を aliyun-acr-credential-helper（マネージド） カードからクリックします。

   

   関連付けられた ACR インスタンスの構成：

   AcrInstanceInfo		説明
   InstanceId		ACR インスタンスの ID です。ID は Container Registry コンソール で確認できます。 重要 Personal Edition の ACR インスタンスの場合は、このパラメーターを空欄のままにしてください。Enterprise Edition の ACR インスタンスの場合は、このパラメーターを指定する必要があります。
   regionId		ACR インスタンスのリージョン ID です。リージョン ID は Container Registry コンソール で確認できます。 重要 他リージョンからのイメージプルを行う場合に、このパラメーターを指定する必要があります。
   domains		パスワード不要プラグインが ACR インスタンスにアクセスするために使用するドメイン名です。デフォルトでは、指定された ACR インスタンスのすべてのドメイン名（パブリックおよび VPC）が使用されます。個別のドメイン名を指定する場合は、カンマ（,）で区切ります。
   他アカウント間のイメージプルの構成 これは、他アカウント間でイメージをプルするシナリオに適用されます。この要件がない場合は、フィールドを空欄のままにしてください。	assumeRoleARN	同一アカウント内でのイメージプルには不要です。他アカウント間でのイメージプルについては、「他アカウント間でのイメージプル」をご参照ください。
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   コンポーネント構成

   構成項目	説明
   RRSA の有効化	RRSA を有効化するには、この項目を選択します。同一アカウント内でのイメージプルには不要です。他アカウント間でのイメージプルについては、「他アカウント間でのイメージプル」をご参照ください。
   watchNamespace	パスワード不要でイメージをプルする名前空間です。デフォルト値は default です。all を指定すると、すべての名前空間が対象になります。複数の名前空間を指定する場合は、カンマ（,）で区切ります。ビジネス用の名前空間を構成することを推奨します。システムコンポーネントに関連する名前空間や all を構成すると、システムコンポーネントのイメージプルに問題が発生する可能性があるため、避けてください。
   serviceAccount	マネージドパスワード不要コンポーネントが適用されるサービスアカウントです。デフォルト値は Default です。Default を指定すると、指定されたすべての名前空間のデフォルトサービスアカウントに適用されます。アスタリスク（*）を指定すると、指定された名前空間のすべてのサービスアカウントに適用されます。複数のサービスアカウントを構成する場合は、カンマ（,）で区切ります。
   expiringThreshold	コンポーネントの認証情報の有効期限切れしきい値です。デフォルト値は 15m です。
   notifyEmail	構成は不要です。

ステップ 2：イメージのプル

パスワード不要コンポーネントをインストールおよび構成した後、パスワード不要でイメージをプルするには、ワークロードを作成する際にコンポーネントに関連付けられたサービスアカウントを指定します。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # パスワード不要コンポーネントに関連付けられたサービスアカウントを指定します。
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # ACR イメージのアドレスを指定します。
        ports:
        - containerPort: 80

ステップ 1：コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、クラスター をクリックします。

2. クラスター ページで、目的のクラスターを見つけ、その名前をクリックします。左側のナビゲーションウィンドウで、アドオン をクリックします。

3. アドオン ページで、セキュリティ タブをクリックします。aliyun-acr-credential-helper を見つけ、インストール をクリックします。

4. パラメーター設定 ページで、tokenMode ドロップダウンリストからコンポーネントの権限モードを選択し、OK をクリックします。インストール後に、イメージをプルする前にコンポーネントを構成してください。詳細については、「ステップ 2：コンポーネント構成の変更（ACR インスタンスの追加）」をご参照ください。

   tokenMode	説明
   auto	（推奨）コンポーネントはクラスターの作成日時を検出し、自動的に権限モードを決定します。2023 年 4 月 3 日より前に作成されたクラスターでは workerRole モードが使用され、2023 年 4 月 3 日以降に作成されたクラスターでは managedRole モードが使用されます。 重要 2023 年 4 月 3 日以降にリリースされた aliyun-acr-credential-helper のバージョンでは、コンポーネントが依存する RAM ロールをカスタマイズするための構成項目が提供されています。「[製品変更] aliyun-acr-credential-helper が依存する権限の変更に関するお知らせ」をご参照ください。
   managedRole	コンポーネントは、前提条件 セクションで権限付与済みの AliyunCSManagedAcrRole ロールを使用して権限を取得します。
   workerRole	コンポーネントは、クラスターのワーカー RAM ロールを使用して権限を取得します。ワーカー RAM ロールに特定の権限を付与する必要があります。 コンポーネントモードとして workerRole を選択する workerRole を権限モードとして選択する場合、クラスターのワーカー RAM ロールには以下の権限が必要です。権限付与方法の詳細については、「RAM ロールの権限管理」をご参照ください。 { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } 重要 ロール偽装を使用した他アカウント間のイメージプルを行う場合に、このモードを選択します。

ステップ 2：コンポーネント構成の変更（ACR インスタンスの追加）

パスワード不要コンポーネントをインストールした後、イメージをプルする前に、acr-configuration ConfigMap を構成して ACR インスタンスを追加する必要があります。これはコンソールまたは kubectl を使用して行えます。

ステップ 3：イメージのプル

パスワード不要コンポーネントをインストールおよび構成した後、パスワード不要でイメージをプルするには、ワークロードを作成する際にコンポーネントに関連付けられたサービスアカウントを指定します。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # パスワード不要コンポーネントに関連付けられたサービスアカウントを指定します。
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # ACR イメージのアドレスを指定します。
        ports:
        - containerPort: 80

パスワード不要コンポーネントを構成した後も、イメージのプルが失敗するのはなぜですか？

考えられる原因として、パスワード不要コンポーネントの構成ミスが挙げられます。例えば：

• パスワード不要コンポーネント内のインスタンス情報が ACR インスタンスと一致していない。

• プルに使用するイメージアドレスがコンポーネントのインスタンス情報内のドメイン名と一致していない。

本トピックの手順に従ってトラブルシューティングを行ってください。

コンポーネントの構成が正しいにもかかわらずプルが失敗する場合、ワークロード YAML で手動で指定された imagePullSecrets フィールドとパスワード不要コンポーネントとの間で競合が発生している可能性があります。これを解決するには、imagePullSecrets フィールドを手動で削除し、Pod を削除して再作成してください。

imagePullSecrets の使用方法を教えてください。

2024 年 9 月 9 日以降に作成された ACR Personal Edition インスタンスでは、パスワード不要コンポーネントはサポートされていません。新しい ACR Personal Edition インスタンスでは、ユーザー名およびログインパスワードをシークレットに保存し、imagePullSecrets フィールドで参照することを推奨します。

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # 前述の手順で作成したシークレットを使用します。
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # ACR のリンクに置き換えます。