Elastic Container Instance：免密拉取ACR鏡像

在ACR執行個體與待建立的ECI執行個體等資源屬於同一阿里雲帳號的前提下，如果ACR執行個體是個人版ACR，或者是使用預設網域名稱的企業版ACR，則預設自動免密。此時，您可以按需配置RAM角色來限制免密範圍，例如只允許某一ACR執行個體自動免密。

配置步驟包含以下兩步：

步驟一：建立RAM角色並授權

1. 建立一個可信實體為阿里雲服務的RAM角色。具體操作，請參見建立可信實體為阿里雲服務的RAM角色。

   需要注意的配置項如下：

   • 可信實體類型：阿里雲服務

   • 角色類型：普通服務角色

   • 角色名稱：樣本為acr-test

   • 受信服務：Elastic Container Instance

2. 建立自訂權限原則。具體操作，請參見建立自訂權限原則。

   權限原則的內容樣本如下，表示只允許拉取指定ACR執行個體的鏡像。關於如何編寫入權限策略，請參見權限原則基本元素。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. 為RAM角色綁定自訂權限原則。具體操作，請參見為RAM角色授權。

4. 找到新建立的acr-test角色，單擊角色名稱進入詳情頁面，確認許可權並擷取ARN。

   

步驟二：指定RAM角色

調用CreateContainerGroup介面建立ECI執行個體，以及調用CreateImageCache介面建立鏡像緩衝時，您可以設定AcrRegistryInfo.N.ArnService參數來指定建立資源時使用的RAM角色。相關參數說明如下表所示。更多資訊，請參見CreateContainerGroup和CreateImageCache。

以建立ECI執行個體為例，您可以通過OpenAPI傳入以下參數：

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

步驟一：建立RAM角色並授權

1. 在ECI執行個體等資源歸屬帳號A下建立RAM角色並授權。

   1. 建立一個可信實體為阿里雲服務的RAM角色。具體操作，請參見建立可信實體為阿里雲服務的RAM角色。

      需要注意的配置項如下：

      • 可信實體類型：阿里雲服務

      • 角色類型：普通服務角色

      • 角色名稱：樣本為role-assume

      • 受信服務：Elastic Container Instance

   2. 為role-assume角色授予調用STS服務AssumeRole介面的許可權。具體操作，請參見為RAM角色精確授權。

      要添加的權限類別型為系統策略，權限原則名稱為AliyunSTSAssumeRoleAccess。

   3. 找到新建立的role-assume角色，單擊角色名稱進入詳情頁面，確認許可權和信任策略，並擷取ARN。

      • 許可權和ARN

        

      • 信任策略

        

2. 在ACR執行個體歸屬帳號B下建立RAM角色並授權。

   1. 建立一個可信實體為阿里雲帳號的RAM角色。具體操作，請參見建立可信實體為阿里雲帳號的RAM角色。

      需要注意的配置項如下：

      • 可信實體類型：阿里雲帳號

      • 角色名稱：樣本為role-acr

      • 信任的雲帳號：其他雲帳號，此處填寫ECI執行個體等資源歸屬帳號A

   2. 為role-acr角色授予拉取ACR鏡像的許可權。具體操作，請參見為RAM角色精確授權。

      要添加的權限類別型為系統策略，權限原則名稱為AliyunContainerRegistryFullAccess。

   3. 修改信任策略，將role-acr角色授信給role-assume角色。具體操作，請參見修改RAM角色的信任策略。

      預設情況下，role-acr角色可以被帳號A下授權的任何RAM使用者或RAM角色扮演。建議您修改信任策略進行精確授信。

      在Principal處，將RAM欄位的值改為role-assume角色的ARN，則表示role-acr角色只可以被role-assume角色扮演。樣本如下：

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. 確認許可權和信任策略，並擷取ARN。

      • 許可權和ARN

        

      • 信任策略

        

步驟二：指定RAM角色建立資源

調用CreateContainerGroup介面建立ECI執行個體，以及調用CreateImageCache介面建立鏡像緩衝時，您可以設定AcrRegistryInfo相關參數來指定其他阿里雲帳號下的ACR執行個體。相關注意事項如下：

• 如果ACR執行個體屬於其他阿里雲帳號，則必須設定ArnService和ArnUser來指定RAM角色，以配置許可權。

• 如果ACR執行個體為使用自訂網域名的企業版執行個體，則必須設定InstanceId來指定ACR執行個體。

更多資訊，請參見CreateContainerGroup和CreateImageCache。

以建立ECI執行個體為例，您可以通過OpenAPI傳入以下參數：

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.N.ArnUser=acs:ram::1298452580******:role/role-acr