Container Registry:Sincronización de instancias entre cuentas

Notas de uso

• La instancia de origen debe ser una instancia Enterprise Edition. La instancia de destino puede ser una instancia Basic o Advanced Edition.

  Para actualizar una instancia Enterprise Edition, vaya a la consola de Container Registry (ACR) y haga clic en Upgrade en la esquina inferior derecha de la tarjeta de la instancia.

• No se admite la sincronización desde regiones de nube pública hacia regiones que no son de nube pública, como Finance Cloud y Gov Cloud.

• En algunas regiones, existen restricciones especiales, como la falta de acceso a la red pública para los buckets de Object Storage Service (OSS), por lo que solo se admiten custom sync links.

Contexto

La sincronización de instancias entre cuentas permite sincronizar imágenes entre cualquier combinación de cuentas de Alibaba Cloud y usuarios de RAM.

Sincronizar instancias automáticamente entre cuentas

Configure una regla de sincronización para replicar automáticamente una imagen a una instancia de destino en otra cuenta cuando la imagen se envíe a la instancia de origen. Este tema asume que la instancia de origen pertenece a la Cuenta A y la instancia de destino pertenece a la Cuenta B.

Para sincronizar imágenes existentes, utilice uno de los siguientes métodos:

• Si tiene pocas imágenes existentes, sincronícelas manualmente. Para obtener más información, consulte Manually synchronize instances across accounts y CreateRepoSyncTask.

• Si tiene una gran cantidad de imágenes existentes, utilice la solución Replicación de OSS + Importación de imágenes ACR:

  1. Copie todos los archivos del bucket de OSS de la instancia de origen al bucket de OSS de la instancia de ACR de destino. Para obtener más información, consulte Data replication.

  2. Create an import rule, seleccione OSS Bucket como origen de la migración e inicie una tarea de importación de imágenes.

Antes de empezar

Antes de empezar, obtenga la siguiente información:

• Los UID de la Cuenta A y la Cuenta B.

  Nota

  Si utiliza un usuario de RAM, obtenga el UID de la cuenta de Alibaba Cloud a la que pertenece dicho usuario.

• La región y el ID de la instancia de destino.

  Inicie sesión en la consola de ACR. En la barra de navegación superior, seleccione una región. En la página Instances, haga clic en la instancia Enterprise Edition deseada. En la página Overview, consulte la Region de la instancia. En la sección Instance , localice el Instance ID.

• La sincronización automática de instancias entre cuentas se puede realizar por namespace o por repositorio:

  • La sincronización por namespace requiere un nombre de namespace coincidente tanto en la instancia de origen como en la de destino. También debe habilitarse la creación automática de repositorios para el namespace en la instancia de destino. Para obtener más información sobre cómo habilitar la creación automática de repositorios, consulte Create a namespace.

  • La sincronización por repositorio requiere un nombre de namespace y de repositorio de imágenes coincidentes tanto en la instancia de origen como en la de destino.

Paso 1: Otorgar permisos en la Cuenta B

En la Cuenta B, otorgue a la Cuenta A los permisos necesarios para sincronizar imágenes con la instancia de destino.

1. Cree el rol aliyuncontainerregistrycrossaccoutsyncrole.

   Nota

   El nombre del rol debe ser exactamente aliyuncontainerregistrycrossaccoutsyncrole. Este nombre exacto, incluido el error tipográfico, es obligatorio.

   1. Inicie sesión en la consola de RAM con la Cuenta B.

   2. En el panel de navegación izquierdo, elija Identities > Roles. En la página que aparece, haga clic en Create Role.

   3. En la página Create Role, establezca Principal Type en Cloud Account, especifique los detalles de la cuenta de Alibaba Cloud y luego haga clic en OK.

   4. En el cuadro de diálogo Create Role, introduzca aliyuncontainerregistrycrossaccoutsyncrole como nombre del rol y haga clic en Confirm.

2. Cree una política de acceso.

   1. En el panel de navegación izquierdo de la consola de RAM, elija Permissions > Policies y haga clic en Create Policy.

   2. En la página Create Policy, seleccione JSON Editor. Reemplace el campo Resource en el siguiente contenido según sea necesario, copie el contenido en el cuadro de texto y luego haga clic en Confirm. Después, en el cuadro de diálogo Create Policy, introduzca un Policy Name y una Description.

      Nota

      Resource: El recurso autorizado. El formato es acs:cr:<region_of_destination_instance_in_Account_B>:<UID_of_Account_B>:instance/<ID_of_destination_instance_in_Account_B>.

      Si la Cuenta B es un usuario de RAM, el valor UID_of_Account_B en el parámetro Resource corresponde al UID de la cuenta de Alibaba Cloud a la que pertenece dicho usuario.

      {
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "cr:CreateSyncRule",
                      "cr:CreateRepositorySync",
                      "cr:UpdateSyncRule"
                  ],
                  "Resource": "acs:cr:cn-beijing:151356101970****:instance/cri-4im1o411ls8g****"
              },
              {
                  "Effect": "Allow",
                  "Action": [
                      "cr:CreateSyncRule",
                      "cr:CreateRepositorySync",
                      "cr:UpdateSyncRule"
                  ],
                  "Resource": "acs:cr:cn-hangzhou:151356101970****:instance/cri-4im1o411ls8gxr****"
              }
          ],
          "Version": "1"
      }

3. Asocie la política de acceso que creó al rol aliyuncontainerregistrycrossaccoutsyncrole.

   1. En la página Policies, busque y haga clic en el nombre de la política de acceso que creó.

   2. Haga clic en la pestaña References y luego en Attach Policy.

   3. En el panel Add Permission, establezca Resource Scope en Account, configure Principal como Principal y luego haga clic en OK.

   4. Haga clic en Off.

4. Modifique la política de confianza del rol aliyuncontainerregistrycrossaccoutsyncrole.

   1. En el panel de navegación izquierdo de la consola de RAM, elija Identities > Roles.

   2. En la página Roles, busque y haga clic en aliyuncontainerregistrycrossaccoutsyncrole.

   3. Haga clic en la pestaña Trust Policy y luego en Edit Trust Policy.

   4. En el editor, reemplace el valor del campo Service en la siguiente política con su información y luego haga clic en Save trust policy document.

      Nota

      Service: El principal autorizado. El formato es <UID_of_Account_A>@cr.aliyuncs.com.

      Si la Cuenta A es un usuario de RAM, el valor UID_of_Account_A en el parámetro Service corresponde al UID de la cuenta de Alibaba Cloud a la que pertenece dicho usuario.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "125287961064****@cr.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

Paso 2: Crear una regla de sincronización en la Cuenta A

1. Inicie sesión en la consola de ACR con la Cuenta A.

2. En la barra de navegación superior, seleccione una región.

3. En el panel de navegación izquierdo, haga clic en Instances.

4. En la página Instances, haga clic en la instancia Enterprise Edition que desea gestionar.

5. En el panel de navegación izquierdo, elija Distribution > Instance Replication. En la página que aparece, haga clic en Create Rule.

6. En el cuadro de diálogo Create Rule, complete el paso Instance y haga clic en Next.

   Parámetro	Descripción
   Rule Name	Introduzca un nombre para la regla de sincronización.
   Sync Scenario	Establezca Replication Scenario en Across Accounts.
   Destination UID	Introduzca el UID de la cuenta de Alibaba Cloud a la que pertenece la instancia de destino.
   Destination instance	Seleccione la región de la instancia de destino e introduzca su ID de instancia.

7. En el paso Replication Information, establezca Replication Level en namespace o repositorio, seleccione el namespace o repositorio correspondiente, configure una regla de filtrado para las versiones del repositorio y luego haga clic en Create Rule.

   En la página de gestión de instancias, elija Distribution > Replication Record. En la página Replication Record, si el estado de la tarea de sincronización es Completed y la imagen aparece en la instancia de destino, la sincronización se completó correctamente.

Sincronizar instancias manualmente entre cuentas

Puede enviar manualmente una imagen desde una instancia de origen a una instancia de destino en otra cuenta. Este tema asume que la instancia de origen está en la Cuenta A y la instancia de destino está en la Cuenta B.

1. Obtenga los UID de la Cuenta A y la Cuenta B, así como la región y el ID de la instancia de destino. Para obtener más información, consulte la sección Antes de empezar.

2. Otorgue a la Cuenta A permisos para sincronizar imágenes con la instancia en la Cuenta B. Para más detalles, consulte el Paso 1.

3. Inicie sesión en la consola de Container Registry.

4. En la barra de navegación superior, seleccione una región.

5. En el panel de navegación izquierdo, haga clic en Instances.

6. En la página Instances, haga clic en la instancia Enterprise Edition que desea gestionar.

7. En el panel de navegación izquierdo de la página de gestión de la instancia Enterprise Edition, elija Repository > Repositories.

8. En la página Repositories, haga clic en el nombre del repositorio de imágenes deseado.

9. En el panel de navegación izquierdo de la página de detalles del repositorio, haga clic en Image Version. Localice la versión de imagen deseada y haga clic en Replication en la columna Actions.

10. En el cuadro de diálogo Sync, establezca Replication Scenario en Across Accounts, introduzca los siguientes detalles del destino: UID de la cuenta, región, ID de instancia, namespace, nombre del repositorio y versión de la imagen. Luego, haga clic en Confirm.

    En la página de gestión de instancias, elija Distribution > Replication Record. En la página Replication Record, si el estado de la tarea de sincronización es Completed y la imagen aparece en la instancia de destino, la sincronización manual se completó correctamente.