Container Service for Kubernetes：使用免密組件拉取容器鏡像

情境一：配置同帳號拉取鏡像

1. 建立自訂權限原則，策略內容如下。具體操作，請參見步驟一：建立自訂權限原則。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

2. 為叢集的Worker RAM角色授權。具體操作，請參見步驟二：為叢集的Worker RAM角色授權。

3. 設定acr-configuration配置項，即修改acr-configuration配置項中ConfigMap的配置，用於拉取企業版的私人鏡像。

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email:"c*@aliyuncs.com"
       acr-registry-info:|
         - instanceId: "cri-instanceId"
           regionId: "cn-hangzhou"
           domains: "instance.default.domain.com,instance.custom.domain.com"

情境二：配置跨地區拉取鏡像

如需拉取的鏡像與當前ACK叢集不屬於同一地區時，您需要修改配置項acr-configuration中的ConfigMap。

data:
    service-account: "default"
    watch-namespace: "all"
    expiring-threshold: "15m"
    notify-email:"c*@aliyuncs.com"
    acr-registry-info: |
      - instanceId: "cri-instanceId"
        regionId: "cn-beijing"
      - instanceId: "cri-instanceId"
        regionId: "cn-hangzhou"            

情境三：配置跨帳號拉取鏡像

使用RRSA進行跨帳號拉取

基於適用於服務賬戶的RAM角色（RAM Roles for Service Accounts，簡稱RRSA）功能，可以在叢集內為組件實現Pod維度許可權隔離。

1. 啟用叢集的RRSA功能。具體操作，請參見啟用RRSA功能。

   叢集中RRSA功能開啟後，在基本資料頁簽的安全與審計地區，將滑鼠懸浮至RRSA OIDC右側已開啟上面，即可查看供應商的URL連結和ARN資訊。

2. 配置跨帳號RAM使用者的Container Registry資源存取權限。

   叢集開啟RRSA功能後，需要按照以下步驟進行配置。假設A使用者為叢集所有者，B使用者為Container Registry執行個體所有者，現在需要授權A使用者的叢集具備訪問B使用者Container Registry資源的許可權。

   1. 配置A使用者的RAM角色

      在A使用者中建立一個角色，添加AliyunSTSAssumeRoleAccess權限原則，授予這個角色具有角色扮演的許可權。按照如下修改其信任策略。

      • 將樣本中的<oidc_issuer_url>替換為上一步擷取的當前叢集中OIDC供應商的URL。

      • 將樣本中的<oidc_provider_arn>替換為上一步擷取的當前叢集OIDC供應商的ARN。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B使用者的RAM角色

      在B使用者中建立一個擁有ACR相關許可權的角色，選擇信任策略管理，添加A使用者角色ARN。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                <A使用者建立角色的ARN>
              ]
            }
          }
        ],
        "Version": "1"
      }

      然後對B使用者的角色添加如下權限原則，授予這個角色擷取執行個體資訊及拉取鏡像許可權。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      該RAM角色可以設定角色最大會話時間，可設定時間範圍為3600秒到43200秒，而角色會話時間在下文的配置項中的expireDuration也需要設定。推薦此處取值的設定和配置項的expireDuration的值一致。允許expireDuration小於等於角色最大會話時間。

3. 設定acr-configuration配置項

   按照如下配置內容，修改acr-configuration配置項中ConfigMap的配置。

   data:
     service-account: "default"
     watch-namespace: "all"
     expiring-threshold: "15m"
     notify-email: "c*@aliyuncs.com"
     acr-registry-info:
       - instanceId: "cri-xxx"
         regionId: "cn-hangzhou"
         domains: "instance.default.domain.com,instance.custom.domain.com"
         rrsaRoleARN: aUserRoleARN
         rrsaOIDCProviderRoleARN: aUserClusterOIDCProviderRoleARN
         assumeRoleARN: bUserRoleARN
         expireDuration: 3600
     rrsa:
       enable: true

   配置項鍵	配置項說明	配置項值
   rrsaRoleARN	上文中A使用者建立的角色的ARN。	acs:ram::aaa
   rrsaOIDCProviderRoleARN	上文中A使用者ACK控制台叢集基本資料中的供應商ARN。	acs:ram::bbb
   assumeRoleARN	上文中B使用者建立的角色的ARN。	acs:ram::ccc
   expireDuration	上文中B使用者建立的角色的會話時間，等同於免密組件產生的臨時憑證的有效期間。 重要 expireDuration的值不應大於B使用者建立角色的最大會話時間。	預設為3600。取值範圍為[3600, 43200]，單位為秒。 同時需要將B使用者建立角色的最大會話時間調整為43200。

使用角色扮演化行跨帳號拉取

使用RAM使用者（子帳號）的AK及SK進行跨帳號拉取