容器镜像服务 ACR：使用免密组件托管版拉取容器镜像

场景一：配置同账号拉取镜像

1. 登录容器服务管理控制台，在左侧导航栏单击集群。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择集群信息。

3. 在左侧导航栏，选择运维管理 > 组件管理。

4. 在组件管理页面，选择安全页签，找到aliyun-acr-credential-helper托管，单击卡片中的配置。

5. 在aliyun-acr-credential-helper托管参数配置对话框，单击右侧的添加，在instanceId中输入ACR企业版实例ID。单击确定。

场景二：配置跨地域拉取镜像

1. 登录容器服务管理控制台，在左侧导航栏单击集群。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择集群信息。

3. 在左侧导航栏，选择运维管理 > 组件管理。

4. 在组件管理页面，选择安全页签，找到aliyun-acr-credential-helper托管，单击卡片中的配置。

5. 在aliyun-acr-credential-helper 参数配置对话框，单击右侧的添加，在instanceId中输入ACR企业版实例ID，regionId中输入ACR企业版实例的RegionID。单击确定。

场景三：配置跨账号拉取镜像

使用RRSA进行跨账号拉取

基于适用于服务账户的RAM角色（RAM Roles for Service Accounts，简称RRSA）功能，可以在集群内为组件实现Pod维度的权限隔离。

1. 启用集群的RRSA功能。具体操作，请参见启用RRSA功能。

2. 配置跨账号RAM用户的容器镜像服务资源访问权限。

   集群开启RRSA功能后，需要按照以下步骤进行配置。假设A用户为集群所有者，B用户为容器镜像服务实例所有者，现在需要授权A用户的集群具备访问B用户容器镜像服务资源的权限。

   1. 配置A用户的RAM角色

      在A用户中创建一个角色，添加AliyunSTSAssumeRoleAccess权限策略，授予这个角色具有角色扮演的权限。按照如下修改其信任策略。

      • 将示例中的<oidc_issuer_url>替换为当前集群中OIDC提供商的URL。该URL可在容器服务管理控制台集群信息页面的基本信息页签获取。

      • 将示例中的<oidc_provider_arn>替换为当前集群OIDC提供商的ARN。该ARN可在容器服务管理控制台集群信息页面的基本信息页签获取。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B用户的RAM角色

      在B用户中创建一个拥有ACR相关权限的角色，单击RAM角色名称。选择信任策略，添加A用户角色ARN。对B用户的角色添加如下权限策略，授予这个角色获取实例信息及拉取镜像权限。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      该RAM角色可以为其设置RAM角色最大会话时间，设置时间范围为3600秒到43200秒，而角色会话时间在下文的配置项中步骤7的expireDuration也需要设置。推荐此处取值的设置和配置项的expireDuration的值一致。允许expireDuration小于等于角色最大会话时间。

3. 登录容器服务管理控制台，在左侧导航栏单击集群。

4. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择集群信息。

5. 在左侧导航栏，选择运维管理 > 组件管理。

6. 在组件管理页面，选择安全页签，找到aliyun-acr-credential-helper托管，单击卡片中的配置。

7. 在aliyun-acr-credential-helper参数配置对话框，单击右侧的添加，输入assumeRoleARN，expireDuration，rrsaRoleARN，rrsaOIDCProviderRoleARN。单击确定。