Container Registry:aliyun-acr-credential-helperコンポーネントを使用して、シークレットを使用せずにイメージをプルする

シナリオ1: 同じアカウント内の画像をプルする

1. カスタムポリシーを作成し、次の内容をポリシーに追加します。 詳細については、[製品の変更] ACK管理クラスターのワーカーRAMロールの権限が取り消されるトピックの「ステップ1: カスタムポリシーの作成」セクションをご参照ください。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

2. クラスターのワーカーRAMロールにカスタムポリシーをアタッチします。 詳細については、「 [製品の変更] ACK管理クラスターのワーカーRAMロールの権限が取り消される」の「ステップ2: カスタムポリシーをワーカーRAMロールにアタッチする」をご参照ください。

3. Container Registry Enterprise Editionインスタンスからプライベートイメージをプルするには、次のサンプルコードに基づいてacr-configuration ConfigMapを変更します。

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email:"c*@aliyuncs.com"
       acr-registry-info:|
         - instanceId: "cri-instanceId"
           regionId: "cn-hangzhou"
           domains: "instance.default.domain.com,instance.custom.domain.com"

シナリオ2: リージョン間で画像をプルする

ACKクラスターとは異なるリージョンにあるContainer Registryインスタンスからイメージをプルする場合は、acr-configuration ConfigMapを変更する必要があります。

data:
    service-account: "default"
    watch-namespace: "all"
    expiring-threshold: "15m"
    notify-email:"c*@aliyuncs.com"
    acr-registry-info: |
      - instanceId: "cri-instanceId"
        regionId: "cn-beijing"
      - instanceId: "cri-instanceId"
        regionId: "cn-hangzhou"            

シナリオ3: アカウント間で画像をプルする

RRSAを設定してアカウント間でイメージをプル

RRSA機能を使用して、クラスター内のポッドでアクセス制御を実行できます。

1. クラスターのRRSA機能を有効にします。 詳細については、「RRSAを使用して異なるポッドに異なるクラウドサービスへのアクセスを許可する」トピックの「RRSAの有効化」セクションをご参照ください。

2. アカウント間でContainer Registryリソースにアクセスするために必要な権限を付与します。

   クラスターでRRSA機能を有効にした後、次の手順を実行して、RRSA for aliyun-acr-credential-helperを有効にする必要があります。 たとえば、現在のクラスターはアカウントAにあり、Container RegistryインスタンスはアカウントBにあります。Container Registryインスタンスからイメージを取得する場合は、アカウントAのクラスターにアカウントBのContainer Registryリソースにアクセスする権限を付与する必要があります。

   1. アカウントaのRAMロールの設定

      アカウントaでRAMロールを作成し、AliyunSTSAssumeRoleAccessポリシーをRAMロールに関連付けます。 このポリシーは、アカウントAのロールを引き受ける権限をRAMロールに付与します。RAMロールの信頼ポリシーを変更します。

      • 例の <oidc_issuer_url> を、クラスターのOpenID Connect (OIDC) プロバイダーのURLに置き換えます。 URLは、ACKコンソールの [クラスター情報] ページの [基本情報] タブで取得できます。

      • 例の <oidc_provider_arn> を、クラスターのOIDCプロバイダーのAlibaba Cloud Resource Name (ARN) に置き換えます。 ARNは、ACKコンソールの [クラスター情報] ページの [基本情報] タブで取得できます。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. アカウントBのRAMロールの設定

      アカウントBにContainer Registry関連の権限を持つRAMロールを作成します。[信頼ポリシー管理] タブで、信頼ポリシーの [プリンシパル] フィールドにアカウントaのRAMロールのARNを入力します。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                <ARN of the RAM role that you created for Account A>
              ]
            }
          }
        ],
        "Version": "1"
      }

      ユーザーがContainer Registryインスタンスの情報を取得し、インスタンスからアカウントBのRAMロールにイメージをプルできるようにするポリシーをアタッチします。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      RAMロールのMaxSessionDurationパラメーターを設定できます。 このパラメーターの有効値は3600〜43200秒です。 手順3でacr-configuration ConfigMapを設定するときは、expireDurationパラメーターを設定する必要があります。 MaxSessionDurationとexpireDurationに同じ値を指定することを推奨します。 expireDurationの値は、MaxSessionDurationの値以下とすることができる。

3. acr-configuration ConfigMapの設定

   次の情報に基づいて、acr-configuration ConfigMapを変更します。

   data:
     service-account: "default"
     watch-namespace: "all"
     expiring-threshold: "15m"
     notify-email: "c*@aliyuncs.com"
     acr-registry-info:
       - instanceId: "cri-xxx"
         regionId: "cn-hangzhou"
         domains: "instance.default.domain.com,instance.custom.domain.com"
         rrsaRoleARN: aUserRoleARN
         rrsaOIDCProviderRoleARN: aUserClusterOIDCProviderRoleARN
         assumeRoleARN: bUserRoleARN
         expireDuration: 3600
     rrsa:
       enable: true

   キー	説明	値
   rrsaRoleARN	アカウントA用に作成したRAMロールのARN。	acs:ram::aaa
   rrsaOIDCProviderRoleARN	ACKコンソールの [クラスター情報] ページの [基本情報] タブで取得したOIDCプロバイダーのARN。	acs:ram::bbb
   assumeRoleARN	アカウントB用に作成したRAMロールのARN。	acs:ram::ccc
   expireDuration	アカウントB用に作成したRAMロールのセッション期間。セッション期間は、aliyun-acr-credential-helperによって生成されたシークレットの有効期間と同じです。 重要 expireDuration値は、アカウントBのRAMロールのMaxSessionDuration値より大きくすることはできません。	デフォルト値は 3600 です。 有効な値は 3600～43200 です。 単位は秒です。 アカウントBのRAMロールのMaxSessionDurationを43200に設定します。

RAMロールを引き受けてアカウント間でイメージをプル

RAMユーザーのAccessKeyペアを使用してアカウント間でイメージをプルする