从ACR免密拉取镜像

跨账号拉取镜像

免密组件托管版支持基于适用于服务账户的RAM角色（RAM Roles for Service Accounts，简称RRSA）跨账号拉取镜像。

1. 启用集群的RRSA功能。具体操作，请参见启用RRSA功能。

   集群中RRSA功能开启后，在基本信息页签的安全与审计区域，将鼠标悬浮至RRSA OIDC右侧已开启上面，即可查看提供商的URL链接和ARN信息。

2. 配置跨账号RAM用户的容器镜像服务资源访问权限。

   集群开启RRSA功能后，需要按照以下步骤进行配置。假设A用户为集群所有者，B用户为容器镜像服务实例所有者，现在需要授权A用户的集群具备访问B用户容器镜像服务资源的权限。

   1. 配置A用户的RAM角色

      在A用户中创建一个角色，添加AliyunSTSAssumeRoleAccess权限策略，授予这个角色具有角色扮演的权限。按照如下修改其信任策略。

      • • 将示例中的<oidc_issuer_url>替换为上一步获取的当前集群中OIDC提供商的URL。

        • 将示例中的<oidc_provider_arn>替换为上一步获取的当前集群OIDC提供商的ARN。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B用户的RAM角色

      在B用户中创建一个拥有ACR相关权限的角色，单击RAM角色名称。选择信任策略，添加A用户角色ARN。对B用户的角色添加如下权限策略，授予这个角色获取实例信息及拉取镜像权限。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      该RAM角色可以为其设置RAM角色最大会话时间，设置时间范围为3600秒到43200秒，而角色会话时间在下文的配置项中步骤7中的expireDuration也需要设置。推荐此处取值的设置和配置项的expireDuration的值一致。允许expireDuration小于等于角色最大会话时间。

3. 登录容器服务管理控制台，在左侧导航栏单击集群列表。

4. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择集群信息。

5. 在左侧导航栏，选择运维管理 > 组件管理。

6. 在组件管理页面，选择安全页签，找到aliyun-acr-credential-helper托管，单击卡片中的配置。

7. 在aliyun-acr-credential-helper参数配置对话框，单击右侧的添加，输入assumeRoleARN，expireDuration，rrsaRoleARN，rrsaOIDCProviderRoleARN。单击确定。

使用ACR个人版

关联ACR个人版实例时，请将instanceId留空。

data:
    service-account: default
    watch-namespace: all
    expiring-threshold: 15m
    notify-email: c*@example.com 
    acr-registry-info: |
      - instanceId: ""  # ACR个人版ID留空
        regionId: cn-xxxx

组件模式选择workerRole

组件权限模式选择workerRole时，集群Worker RAM角色必须拥有以下权限：

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "cr:GetAuthorizationToken",
                "cr:ListInstanceEndpoint",
                "cr:PullRepository"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

跨账号拉取镜像

免密组件非托管版支持使用以下三种方式进行跨账号拉取镜像，它们的实现原理不同，但目的都是使ACR：

• 使用RRSA：使A用户集群中的特定ServiceAccount扮演B用户的角色，使用这些ServiceAccount的Pod可以拉取B用户的私有镜像。

• 使用Worker RAM角色扮演：使A用户集群的Worker RAM角色扮演B用户拥有ACR相关权限的RAM角色，然后免密组件通过Worker RAM拉取B用户的私有镜像。需要使用此种方法时，免密组件需要使用workerRole模式。

• 使用RAM用户的AK及SK：A用户的免密组件保存B用户的RAM用户的AK及SK，拉取B用户的私有镜像。这种方法配置较为简单，但是RAM用户的AK及SK直接明文保存，有泄露的风险。

data:
  webhook-configuration: |
    enable: true
    failure-policy: Ignore
    timeout-seconds: 10