Container Registry:Pull images across accounts with the password-free component

En la Cuenta A, habilite la función RRSA para el clúster de ACK y cree un rol de RAM con permisos de asunción de roles.

1. Habilite la función RRSA para el clúster de ACK.

   1. Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.

   2. En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Cluster Information.

   3. En la pestaña Basic Information, dentro de la sección Security and Auditing, haga clic en Enable junto a RRSA OIDC.

   4. En el cuadro de diálogo Enable RRSA, haga clic en Confirm. Espere a que el estado del clúster cambie de Updating a Running. Con esto, RRSA queda habilitado.

   5. Una vez habilitado RRSA, coloque el cursor sobre la etiqueta Enabled junto a RRSA OIDC en la sección Security and Auditing. Se mostrarán la URL y el ARN (Alibaba Cloud Resource Name) del proveedor de OIDC.

2. Create a RAM role for an OIDC identity provider y actualice su directiva de confianza con el siguiente contenido.

   • Reemplace <oidc_issuer_url> con la URL del proveedor de OIDC que obtuvo en el paso anterior.

   • Reemplace <oidc_provider_arn> con el ARN del proveedor de OIDC que obtuvo en el paso anterior.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. Asigne la directiva de permisos AliyunSTSAssumeRoleAccess al rol para otorgarle permisos de asunción de roles y, a continuación, registre su ARN. Para obtener más información, consulte Manage permissions for a RAM role.

   1. En la página de detalles del rol, vaya a la pestaña Authorization y haga clic en Authorize.

   2. En el panel Authorize, dentro de Policies, busque y seleccione la directiva AliyunSTSAssumeRoleAccess y, después, haga clic en OK.

   3. En la página de detalles del rol, dentro de la sección Basic Information, consulte y registre el ARN del rol de RAM. Para ver instrucciones detalladas, consulte How do I view the ARN of a RAM role?

En la Cuenta B, cree un rol de RAM con permisos para extraer imágenes privadas y configúrelo para que el rol de RAM de la Cuenta A pueda asumirlo.

1. Create a RAM role for a trusted Alibaba Cloud account. Edite la directiva de confianza con el siguiente script para permitir que el rol de la Cuenta A lo asuma.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "<ARN of the role created in Account A>"
           ]
         }
       }
     ],
     "Version": "1"
   }

2. Create a custom permission policy con el siguiente contenido y attach it to the RAM role para otorgar permisos de obtención de información de la instancia y extracción de imágenes.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. Set the maximum session duration for the RAM role a un valor de entre 3,600 y 43,200 segundos. El valor predeterminado es 3,600 segundos.

   Asegúrese de que este valor coincida con el expireDuration de la configuración del componente descrita más adelante. El valor de expireDuration no puede superar la duración máxima de la sesión.

4. En la página de detalles del rol, dentro de la sección Basic Information, consulte y registre el ARN del rol de RAM.

En la Cuenta A, instale el componente sin contraseña para el clúster de ACK y modifique su configuración.

Para obtener más información sobre las diferencias entre los siguientes componentes, consulte Comparison of password-free components .

En la Cuenta A, consulte el rol de RAM de Worker del clúster y otórguele permisos de asunción de roles.

1. Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.

2. En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Cluster Information.

3. En la página Cluster Information, haga clic en la pestaña Basic Information. En la sección Cluster Resources, haga clic en el enlace situado a la derecha de Worker RAM Role.

4. Asigne la directiva de permisos AliyunSTSAssumeRoleAccess al rol para otorgarle permisos de asunción de roles y, a continuación, registre su ARN. Para obtener más información, consulte Manage permissions for a RAM role.

   1. En la página de detalles del rol, vaya a la pestaña Authorization y haga clic en Authorize.

   2. En el panel Authorize, dentro de Policies, busque y seleccione la directiva AliyunSTSAssumeRoleAccess y, después, haga clic en OK.

   3. En la página de detalles del rol, dentro de la sección Basic Information, consulte y registre el ARN del rol de RAM. Para ver instrucciones detalladas, consulte How do I view the ARN of a RAM role?

En la Cuenta B, cree un rol de RAM con permisos para extraer imágenes privadas y configúrelo para que el rol de RAM de Worker del clúster de ACK en la Cuenta A pueda asumirlo.

1. Create a RAM role for a trusted Alibaba Cloud account.

2. Create a custom permission policy con el siguiente contenido y attach it to the RAM role para otorgar permisos de obtención de información de la instancia y extracción de imágenes.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. En la página de detalles del rol de RAM, haga clic en la pestaña Trust Policy y seleccione Edit Trust Policy con el siguiente contenido. Esto permite que el rol de RAM de Worker del clúster de ACK en la Cuenta A asuma el rol de RAM en la Cuenta B.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "<ARN of the role created under Account A>"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. En la página de detalles del rol, dentro de la sección Basic Information, consulte y registre el ARN del rol de RAM. Para ver instrucciones detalladas, consulte How do I view the ARN of a RAM role?

En la Cuenta A, instale el componente sin contraseña para el clúster de ACK y modifique su configuración.

1. Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.

2. En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Add-ons .

3. En la página Add-ons, haga clic en la pestaña Security, busque el componente aliyun-acr-credential-helper y haga clic en Install. En el cuadro de diálogo que aparece, establezca la opción tokenMode en workerRole y, a continuación, haga clic en Confirm.

4. Modifique el ConfigMap del componente sin contraseña.

   1. En el panel de navegación izquierdo, seleccione Configurations > ConfigMaps.

   2. En la página ConfigMaps, seleccione kube-system en la lista desplegable Namespace. Luego, busque acr-configuration y haga clic en Edit YAML en la columna Actions. Actualice la configuración con base en el siguiente ejemplo.

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email: "c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR Enterprise Edition instance ID.
              regionId: "cn-hangzhou"                                  # ACR Enterprise Edition region ID.
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition access domain name.
              assumeRoleARN: "<ARN of the role created under Account B>"
              expireDuration: 3600                                     # Maximum session duration for the RAM role under Account B. Default: 3600.

En la Cuenta B, cree un usuario de RAM y asegúrese de que tenga los permisos cr.** necesarios.

1. Create a RAM user.

2. Create a custom permission policy con el siguiente contenido y attach it to the RAM user para otorgar permisos de obtención de información de la instancia y extracción de imágenes.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. Create an AccessKey pair y registre el AccessKey ID y el AccessKey Secret.

En la Cuenta A, instale el componente sin contraseña para el clúster de ACK y modifique su configuración.

1. Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.

2. En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Cluster Information.

3. En la página Clusters, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Add-ons .

4. En la página Add-ons, haga clic en la pestaña Security, busque el componente aliyun-acr-credential-helper y haga clic en Install. En el cuadro de diálogo que aparece, establezca la opción tokenMode en auto y, a continuación, haga clic en OK.

5. Modifique el ConfigMap del componente sin contraseña.

   1. En el panel de navegación izquierdo, seleccione Configurations > ConfigMaps.

   2. En la página ConfigMaps, seleccione kube-system en la lista desplegable Namespace. Luego, busque acr-configuration y haga clic en Edit YAML en la columna Actions. Actualice la configuración con base en el siguiente ejemplo.

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email: "c*@example.com"
       acr-registry-info: |
         - instanceId: ""                        # ACR Enterprise Edition instance ID.             
           regionId: "cn-hangzhou"               # ACR Enterprise Edition region ID.    
           customAccessKey: "xxxxx"              # AccessKey ID of the RAM user under Account B.
           customAccessKeySecret: "xxxxxx"       # AccessKey Secret of the RAM user under Account B.