Container Registry：使用免密組件託管版拉取容器鏡像

情境一：配置同帳號拉取鏡像

1. 登入Container Service管理主控台，在左側導覽列單擊叢集。

2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇叢集資訊。

3. 在左側導覽列，選擇營運管理 > 組件管理。

4. 在組件管理頁面，選擇安全頁簽，找到aliyun-acr-credential-helper託管，單擊卡片中的配置。

5. 在aliyun-acr-credential-helper託管參數配置對話方塊，單擊右側的添加，在instanceId中輸入ACR企業版執行個體ID。單擊確定。

情境二：配置跨地區拉取鏡像

1. 登入Container Service管理主控台，在左側導覽列單擊叢集。

2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇叢集資訊。

3. 在左側導覽列，選擇營運管理 > 組件管理。

4. 在組件管理頁面，選擇安全頁簽，找到aliyun-acr-credential-helper託管，單擊卡片中的配置。

5. 在aliyun-acr-credential-helper 參數配置對話方塊，單擊右側的添加，在instanceId中輸入ACR企業版執行個體ID，regionId中輸入ACR企業版執行個體的RegionID。單擊確定。

情境三：配置跨帳號拉取鏡像

使用RRSA進行跨帳號拉取

基於適用於服務賬戶的RAM角色（RAM Roles for Service Accounts，簡稱RRSA）功能，可以在叢集內為組件實現Pod維度許可權隔離。

1. 啟用叢集的RRSA功能。具體操作，請參見啟用RRSA功能。

   叢集中RRSA功能開啟後，在基本資料頁簽的安全與審計地區，將滑鼠懸浮至RRSA OIDC右側已開啟上面，即可查看供應商的URL連結和ARN資訊。

2. 配置跨帳號RAM使用者的Container Registry資源存取權限。

   叢集開啟RRSA功能後，需要按照以下步驟進行配置。假設A使用者為叢集所有者，B使用者為Container Registry執行個體所有者，現在需要授權A使用者的叢集具備訪問B使用者Container Registry資源的許可權。

   1. 配置A使用者的RAM角色

      在A使用者中建立一個角色，添加AliyunSTSAssumeRoleAccess權限原則，授予這個角色具有角色扮演的許可權。按照如下修改其信任策略。

      • • 將樣本中的<oidc_issuer_url>替換為上一步擷取的當前叢集中OIDC供應商的URL。

        • 將樣本中的<oidc_provider_arn>替換為上一步擷取的當前叢集OIDC供應商的ARN。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B使用者的RAM角色

      在B使用者中建立一個擁有ACR相關許可權的角色，單擊RAM角色名稱。選擇信任策略，添加A使用者角色ARN。對B使用者的角色添加如下權限原則，授予這個角色擷取執行個體資訊及拉取鏡像許可權。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      該RAM角色可以為其設定RAM角色最大會話時間，設定時間範圍為3600秒到43200秒，而角色會話時間在下文的配置項中步驟7的expireDuration也需要設定。推薦此處取值的設定和配置項的expireDuration的值一致。允許expireDuration小於等於角色最大會話時間。

3. 登入Container Service管理主控台，在左側導覽列單擊叢集。

4. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇叢集資訊。

5. 在左側導覽列，選擇營運管理 > 組件管理。

6. 在組件管理頁面，選擇安全頁簽，找到aliyun-acr-credential-helper託管，單擊卡片中的配置。

7. 在aliyun-acr-credential-helper參數配置對話方塊，單擊右側的添加，輸入assumeRoleARN，expireDuration，rrsaRoleARN，rrsaOIDCProviderRoleARN。單擊確定。