Elastic Container Instance:Extraer imágenes de ACR sin secrets

Cuando una instancia de ACR y un recurso de ECI se encuentran en la misma cuenta de Alibaba Cloud, el acceso sin secrets está habilitado de forma predeterminada para las instancias de Personal Edition y para las instancias de Enterprise Edition que utilizan un nombre de dominio predeterminado. Opcionalmente, puede configurar un rol de Resource Access Management (RAM) para restringir este acceso; por ejemplo, para permitir extracciones únicamente desde una instancia específica de ACR.

Esta configuración consta de dos pasos.

Paso 1: Crear y autorizar un rol de RAM

1. Cree un rol de RAM para un servicio de confianza de Alibaba Cloud. Para más información, consulte Create a RAM role for a trusted Alibaba Cloud service.

   Tome en cuenta los siguientes parámetros:

   • Tipo de entidad de seguridad: Cloud Service

   • Nombre de la entidad de seguridad: Elastic Container Instance

   • Nombre del rol: acr-test (ejemplo)

2. Cree una política de permisos personalizada. Para más información, consulte Create a custom permission policy.

   La siguiente política permite la extracción de imágenes solo desde la instancia de ACR especificada. Para más información sobre cómo escribir una política de permisos, consulte Policy elements.

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. Adjunte la política de permisos personalizada al rol de RAM. Para más información, consulte Grant permissions to a RAM role.

4. Busque el nuevo rol acr-test y haga clic en su nombre para abrir la página de detalles. Compruebe los permisos y obtenga el ARN.

   En la sección Basic Information, busque el campo ARN (con formato acs:ram::<AccountID>:role/acr-test) y haga clic en el botón de copia situado junto a él. En la pestaña Permissions, compruebe que la política personalizada acr esté adjunta.

Paso 2: Especificar el rol de RAM

Al llamar a la operación CreateContainerGroup para crear una instancia de ECI o a la operación CreateImageCache para crear una caché de imágenes, establezca el parámetro AcrRegistryInfo.N.ArnService para especificar el rol de RAM que se usará al crear el recurso. El parámetro se describe en la siguiente tabla. Para más información, consulte CreateContainerGroup y CreateImageCache.

El siguiente ejemplo muestra cómo pasar parámetros a través de OpenAPI para crear una instancia de ECI:

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

Paso 1: Crear y autorizar roles de RAM

1. En la Cuenta A, propietaria del recurso de ECI, cree y autorice un rol de RAM.

   1. Cree un rol de RAM para un servicio de confianza de Alibaba Cloud. Para más información, consulte Create a RAM role for a trusted Alibaba Cloud service.

      Tome en cuenta los siguientes parámetros:

      • Tipo de entidad de seguridad: Cloud Service

      • Nombre de la entidad de seguridad: Elastic Container Instance

      • Nombre del rol: role-assume (ejemplo)

   2. Otorgue al rol role-assume permisos para llamar a la operación AssumeRole de Security Token Service (STS). Para más información, consulte Grant permissions to a RAM role.

      Adjunte la política de sistema AliyunSTSAssumeRoleAccess.

   3. Busque el rol role-assume recién creado, haga clic en su nombre para ir a la página de detalles y, a continuación, compruebe los permisos y la política de confianza, y obtenga el ARN.

      • Permisos y ARN

        El ARN del rol de RAM es acs:ram::<AccountID>:role/role-assume. Al rol se le otorga la política de sistema AliyunSTSAssumeRoleAccess, que le permite llamar a la operación AssumeRole de STS.

      • Política de confianza

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "eci.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

2. En la Cuenta B, propietaria de la instancia de ACR, cree y autorice un rol de RAM.

   1. Cree un rol de RAM para una cuenta de confianza de Alibaba Cloud. Para más información, consulte Create a RAM role for a trusted Alibaba Cloud account.

      Tome en cuenta los siguientes parámetros:

      • Tipo de entidad de seguridad: Alibaba Cloud Account

      • Nombre de la entidad de seguridad: Other Alibaba Cloud Account. Introduzca el ID de la Cuenta A, propietaria del recurso de ECI.

      • Nombre del rol: role-acr (ejemplo)

   2. Otorgue al rol role-acr permisos para extraer imágenes de ACR. Para más información, consulte Grant permissions to a RAM role.

      Adjunte la política de sistema AliyunContainerRegistryFullAccess.

   3. Modifique la política de confianza para permitir que el rol role-assume asuma el rol role-acr. Para más información, consulte Modify the trust policy of a RAM role.

      De forma predeterminada, cualquier usuario o rol de RAM autorizado en la Cuenta A puede asumir el rol role-acr. Se recomienda modificar la política de confianza para lograr una autorización precisa.

      En la sección Principal, cambie el valor del campo RAM por el ARN del rol role-assume. Esto garantiza que solo el rol role-assume pueda asumir el rol role-acr. Ejemplo:

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. Compruebe los permisos y la política de confianza, y obtenga el ARN.

      • Permisos y ARN

        El ARN del rol role-acr es acs:ram::<AccountID>:role/role-acr. Puede hacer clic en el botón de copia para copiar el valor. En la pestaña Permissions, compruebe que la política de sistema AliyunContainerRegistryFullAccess esté adjunta y que el alcance del recurso sea a nivel de cuenta.

      • Política de confianza

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "RAM": ["acs:ram::10051309xxxx:role/role-assume"]
              }
            }
          ],
          "Version": "1"
        }

Paso 2: Especificar los roles de RAM

Cuando llame a la operación CreateContainerGroup o CreateImageCache, puede establecer parámetros de AcrRegistryInfo para especificar una instancia de ACR de otra cuenta de Alibaba Cloud. Tome en cuenta lo siguiente:

• Si la instancia de ACR pertenece a otra cuenta de Alibaba Cloud, debe establecer los parámetros ArnService y ArnUser para especificar los roles de RAM destinados a la configuración de permisos.

• Si la instancia de ACR Enterprise Edition utiliza un nombre de dominio personalizado, también debe establecer el parámetro InstanceId.

Para más información, consulte CreateContainerGroup y CreateImageCache.

El siguiente ejemplo muestra cómo pasar parámetros a través de OpenAPI para crear una instancia de ECI:

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.1.ArnUser=acs:ram::1298452580******:role/role-acr