Container Registry:Pull images from an ACR Enterprise Edition instance in the same account using the credential-free add-on

Paso 1: Instalar el complemento

1. Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.

2. En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Add-ons.

3. En la página Add-ons, haga clic en la pestaña Security, busque la tarjeta aliyun-acr-credential-helper (managed) y luego haga clic en Install.

4. En la página Install add-on aliyun-acr-credential-helper, revise la configuración de AcrInstanceInfo y las demás opciones. AcrInstanceInfo contiene los ajustes de cada instancia de ACR asociada al complemento. Las demás opciones corresponden a la configuración del complemento. Si no necesita cambiar los namespaces ni los ServiceAccounts que supervisa el complemento, mantenga la configuración predeterminada.

   Después de instalar el complemento, puede modificar su configuración haciendo clic en Configurations en la tarjeta aliyun-acr-credential-helper (managed), ubicada en la página Add-ons .

   Configuración de asociación de instancias de ACR:

   AcrInstanceInfo		Descripción
   InstanceId		ID de la instancia de ACR. Puede obtenerlo desde la consola de Container Registry. Importante Deje este campo vacío para las instancias de ACR Personal Edition. Este campo es obligatorio para las instancias de ACR Enterprise Edition.
   regionId		ID de la región donde se despliega la instancia de ACR. Puede obtenerlo desde la consola de Container Registry. Importante Este parámetro es obligatorio para extraer imágenes entre regiones.
   domains		Nombres de dominio que utiliza el complemento sin credenciales para acceder a la instancia de ACR. De forma predeterminada, incluye todos los nombres de dominio (internet y VPC) de la instancia de ACR especificada. Para indicar varios nombres de dominio, sepárelos con comas (,).
   Configuración para la extracción de imágenes entre cuentas Esta configuración aplica a la extracción de imágenes entre cuentas. Si no necesita esta función, deje los campos vacíos.	assumeRoleARN	No se requiere configuración para las extracciones dentro de la misma cuenta. Para las extracciones entre cuentas, consulte Pull images across accounts.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Configuración del complemento

   Parámetro	Descripción
   Enable RRSA	Seleccione esta casilla para habilitar RRSA. No se requiere configuración para las extracciones dentro de la misma cuenta. Para las extracciones entre cuentas, consulte Pull images across accounts.
   watchNamespace	Namespaces donde desea habilitar la extracción de imágenes sin credenciales. El valor predeterminado es default. Establezca el valor en all para habilitar esta función en todos los namespaces. Para especificar varios namespaces, sepárelos con comas (,). Se recomienda indicar únicamente los namespaces de su negocio y evitar el uso de all o de namespaces destinados a componentes del sistema del clúster, con el fin de prevenir interrupciones en la extracción de imágenes del sistema.
   serviceAccount	Especifica el ServiceAccount al que se aplica el complemento sin credenciales administrado. El valor predeterminado es Default. El valor Default aplica el complemento al ServiceAccount predeterminado de los namespaces indicados. Si establece el valor en *, el complemento se aplica a todos los ServiceAccounts de dichos namespaces. Para especificar varios ServiceAccounts, sepárelos con una coma (,).
   expiringThreshold	Umbral de caducidad de las credenciales en el complemento. El valor predeterminado es 15m.
   notifyEmail	No requiere configuración.

Paso 2: Extraer una imagen

Después de instalar y configurar el complemento sin credenciales, especifique un ServiceAccount asociado al complemento cuando cree una carga de trabajo. Esto habilita la extracción de imágenes sin credenciales.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Paso 1: Instalar el complemento

1. Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.

2. En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Add-ons.

3. En la página Add-ons, haga clic en la pestaña Security, busque la tarjeta aliyun-acr-credential-helper y luego haga clic en Install.

4. En la página Parameters, seleccione un modo de permiso en la lista desplegable tokenMode y haga clic en OK. Después de instalar el complemento, debe configurarlo antes de poder extraer imágenes. Para obtener más información, consulte Step 2: Update the add-on configuration (add an ACR instance).

   tokenMode	Descripción
   auto	(Recomendado) El complemento detecta la fecha de creación del clúster y elige automáticamente un modo de permiso. Los clústeres creados antes del 3 de abril de 2023 usan el modo workerRole. Los clústeres creados el 3 de abril de 2023 o después usan el modo managedRole. Importante Las versiones de aliyun-acr-credential-helper publicadas el 3 de abril de 2023 o después incluyen un parámetro que le permite personalizar el rol de RAM del que depende el complemento. Para obtener más información, consulte [Product Change] Announcement on changing the permissions required by the aliyun-acr-credential-helper add-on.
   managedRole	El complemento usa el rol AliyunCSManagedAcrRole autorizado en Prerequisites para obtener permisos.
   workerRole	El complemento usa el rol de RAM de worker del clúster para obtener permisos. Debe otorgar permisos específicos a dicho rol de RAM de worker. Seleccionar workerRole como modo del complemento Si selecciona workerRole como modo de permiso del complemento, el rol de RAM de worker del clúster debe contar con los siguientes permisos. Para obtener información sobre cómo otorgar permisos, consulte Manage RAM role permissions. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Importante Seleccione este modo si necesita extraer imágenes entre cuentas asumiendo un rol.

Paso 2: Actualizar la configuración del complemento

Una vez instalado el complemento sin credenciales, debe configurar el ConfigMap acr-configuration para agregar una instancia de ACR antes de extraer imágenes. Puede hacerlo mediante la consola o kubectl.

Paso 3: Extraer una imagen

Después de instalar y configurar el complemento sin credenciales, especifique un ServiceAccount asociado al complemento cuando cree una carga de trabajo. Esto habilita la extracción de imágenes sin credenciales.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Habilitar el uso inmediato de ServiceAccounts

Cuando está habilitada, el complemento sin credenciales usa un Webhook para supervisar los cambios de ServiceAccount en el clúster. Al crear un nuevo ServiceAccount, el complemento inyecta inmediatamente el Secret sin credenciales. Esto resulta útil en escenarios donde un ServiceAccount se emplea justo después de su creación, como cuando un Helm Chart crea simultáneamente un ServiceAccount y un Deployment. Esta función puede afectar el rendimiento del complemento, por lo que no se recomienda para uso general.

data:
  webhook-configuration: |
    enable: true
    failure-policy: Ignore
    timeout-seconds: 10

Solucionar errores al extraer imágenes

Una posible causa es que la configuración del complemento sin credenciales sea incorrecta. Por ejemplo:

• La información de la instancia configurada en el complemento sin credenciales no coincide con la instancia de ACR.

• La dirección de la imagen utilizada para la extracción no coincide con el nombre de dominio especificado en la información de la instancia del complemento.

Siga los pasos de este tema para solucionar el problema.

Si el complemento está bien configurado pero la extracción de la imagen sigue fallando, es probable que exista un conflicto entre el campo imagePullSecrets especificado manualmente en el YAML de la carga de trabajo y el complemento sin credenciales. Para resolverlo, elimine manualmente el campo imagePullSecrets y vuelva a crear el Pod.

¿Cómo uso imagePullSecrets?

Las instancias de ACR Personal Edition creadas a partir del 9 de septiembre de 2024 no admiten el complemento sin credenciales. Para estas instancias, se recomienda almacenar el nombre de usuario y la contraseña en un Secret y hacer referencia a él en el campo imagePullSecrets.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Use the Secret created in the previous step.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Replace with the ACR image address.