容器服务 Kubernetes 版 ACK：使用免密组件拉取容器镜像

场景一：配置同账号拉取镜像

1. 创建自定义权限策略，策略内容如下。具体操作，请参见步骤一：创建自定义权限策略。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

2. 为集群的Worker RAM角色授权。具体操作，请参见步骤二：为集群的Worker RAM角色授权。

3. 设置acr-configuration配置项，即修改acr-configuration配置项中ConfigMap的配置，用于拉取企业版的私有镜像。

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email:"c*@aliyuncs.com"
       acr-registry-info:|
         - instanceId: "cri-instanceId"
           regionId: "cn-hangzhou"
           domains: "instance.default.domain.com,instance.custom.domain.com"

场景二：配置跨地域拉取镜像

如需拉取的镜像与当前ACK集群不属于同一地域时，您需要修改配置项acr-configuration中的ConfigMap。

data:
    service-account: "default"
    watch-namespace: "all"
    expiring-threshold: "15m"
    notify-email:"c*@aliyuncs.com"
    acr-registry-info: |
      - instanceId: "cri-instanceId"
        regionId: "cn-beijing"
      - instanceId: "cri-instanceId"
        regionId: "cn-hangzhou"            

场景三：配置跨账号拉取镜像

使用RRSA进行跨账号拉取

基于适用于服务账户的RAM角色（RAM Roles for Service Accounts，简称RRSA）功能，可以在集群内为组件实现Pod维度的权限隔离。

1. 启用集群的RRSA功能。具体操作，请参见启用RRSA功能。

2. 配置跨账号RAM用户的容器镜像服务资源访问权限。

   集群开启RRSA功能后，需要按照以下步骤进行配置。假设A用户为集群所有者，B用户为容器镜像服务实例所有者，现在需要授权A用户的集群具备访问B用户容器镜像服务资源的权限。

   1. 配置A用户的RAM角色

      在A用户中创建一个角色，添加AliyunSTSAssumeRoleAccess权限策略，授予这个角色具有角色扮演的权限。按照如下修改其信任策略。

      • 将示例中的<oidc_issuer_url>替换为当前集群中OIDC提供商的URL。该URL可在容器服务管理控制台集群信息页面的基本信息页签获取。

      • 将示例中的<oidc_provider_arn>替换为当前集群OIDC提供商的ARN。该ARN可在容器服务管理控制台集群信息页面的基本信息页签获取。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B用户的RAM角色

      在B用户中创建一个拥有ACR相关权限的角色，选择信任策略管理，添加A用户角色ARN。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                <A用户创建角色的ARN>
              ]
            }
          }
        ],
        "Version": "1"
      }

      然后对B用户的角色添加如下权限策略，授予这个角色获取实例信息及拉取镜像权限。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      该RAM角色可以设置角色最大会话时间，可设置时间范围为3600秒到43200秒，而角色会话时间在下文的配置项中的expireDuration也需要设置。推荐此处取值的设置和配置项的expireDuration的值一致。允许expireDuration小于等于角色最大会话时间。

3. 设置acr-configuration配置项

   按照如下配置内容，修改acr-configuration配置项中ConfigMap的配置。

   data:
     service-account: "default"
     watch-namespace: "all"
     expiring-threshold: "15m"
     notify-email: "c*@aliyuncs.com"
     acr-registry-info:
       - instanceId: "cri-xxx"
         regionId: "cn-hangzhou"
         domains: "instance.default.domain.com,instance.custom.domain.com"
         rrsaRoleARN: aUserRoleARN
         rrsaOIDCProviderRoleARN: aUserClusterOIDCProviderRoleARN
         assumeRoleARN: bUserRoleARN
         expireDuration: 3600
     rrsa:
       enable: true

   配置项键	配置项说明	配置项值
   rrsaRoleARN	上文中A用户创建的角色的ARN。	acs:ram::aaa
   rrsaOIDCProviderRoleARN	上文中A用户ACK控制台集群基本信息中的提供商ARN。	acs:ram::bbb
   assumeRoleARN	上文中B用户创建的角色的ARN。	acs:ram::ccc
   expireDuration	上文中B用户创建的角色的会话时间，等同于免密组件生成的临时凭证的有效期。 重要 expireDuration的值不应大于B用户创建角色的最大会话时间。	默认为3600。取值范围为[3600, 43200]，单位为秒。 同时需要将B用户创建角色的最大会话时间调整为43200。

使用角色扮演进行跨账号拉取

使用RAM用户（子账号）的AK及SK进行跨账号拉取