Container Service for Kubernetes:Use the passwordless component to pull an image from an ACR Enterprise Edition instance in the same account

Étape 1 : Installer le composant

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

3. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez la carte aliyun-acr-credential-helper (managed), puis cliquez sur Install.

4. Sur la page Install component aliyun-acr-credential-helper, consultez les paramètres AcrInstanceInfo et les autres options. AcrInstanceInfo contient les paramètres pour chaque instance ACR associée au composant. Les autres options correspondent aux paramètres du composant. Si vous n'avez pas besoin de modifier les namespaces ou les ServiceAccounts surveillés par le composant, vous pouvez conserver les paramètres par défaut.

   Après l'installation du composant, vous pouvez modifier ses paramètres en cliquant sur Configurations sur la carte aliyun-acr-credential-helper (managed) de la page Add-ons .

   Paramètres d'association d'instance ACR :

   AcrInstanceInfo		Description
   InstanceId		L'ID de l'instance ACR. Vous pouvez obtenir l'ID depuis la console Container Registry. Important Laissez ce champ vide pour les instances ACR Personal Edition. Ce champ est obligatoire pour les instances ACR Enterprise Edition.
   regionId		L'ID de la région où l'instance ACR est déployée. Vous pouvez obtenir l'ID depuis la console Container Registry. Important Ce paramètre est requis pour les tirages d'images interrégions.
   domains		Les noms de domaine utilisés par le composant sans mot de passe pour accéder à l'instance ACR. Par défaut, cela inclut tous les noms de domaine (Internet et VPC) de l'instance ACR spécifiée. Pour spécifier plusieurs noms de domaine, séparez-les par des virgules (,).
   Paramètres pour les tirages d'images intercomptes Ces paramètres s'appliquent aux tirages d'images intercomptes. Si vous n'avez pas besoin de cette fonctionnalité, laissez les champs vides.	assumeRoleARN	Aucune configuration n'est requise pour les tirages au sein du même compte. Pour les tirages intercomptes, consultez Tirer des images entre comptes.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Paramètres du composant

   Paramètre	Description
   Enable RRSA	Sélectionnez cette case pour activer RRSA. Aucune configuration n'est requise pour les tirages au sein du même compte. Pour les tirages intercomptes, consultez Tirer des images entre comptes.
   watchNamespace	Les namespaces dans lesquels vous souhaitez activer les tirages d'images sans mot de passe. La valeur par défaut est default. Définissez la valeur sur all pour activer cette fonctionnalité pour tous les namespaces. Pour spécifier plusieurs namespaces, séparez-les par des virgules (,). Nous vous recommandons de spécifier uniquement vos namespaces métier et d'éviter d'utiliser all ou les namespaces des composants système du cluster afin d'éviter toute perturbation des tirages d'images système.
   serviceAccount	Spécifie le ServiceAccount auquel s'applique le composant sans mot de passe géré. La valeur par défaut est Default. Une valeur de Default applique le composant au ServiceAccount par défaut dans les namespaces spécifiés. Si vous définissez la valeur sur *, le composant s'applique à tous les ServiceAccounts du namespace spécifié. Pour spécifier plusieurs ServiceAccounts, séparez-les par une virgule (,).
   expiringThreshold	Le seuil d'expiration des identifiants dans le composant. La valeur par défaut est 15m.
   notifyEmail	Aucune configuration n'est requise.

Étape 2 : Tirer une image

Après avoir installé et configuré le composant sans mot de passe, spécifiez un ServiceAccount associé au composant lors de la création d'une charge de travail. Cela permet le tirage d'images sans mot de passe.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the passwordless component.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Étape 1 : Installer le composant

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

3. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez la carte aliyun-acr-credential-helper, puis cliquez sur Install.

4. Sur la page Parameters, sélectionnez un mode d'autorisation dans la liste déroulante tokenMode et cliquez sur OK. Après l'installation du composant, vous devez le configurer avant de pouvoir tirer des images. Pour plus d'informations, consultez Étape 2 : Mettre à jour la configuration du composant (ajouter une instance ACR).

   tokenMode	Description
   auto	(Recommandé) Le composant détecte l'heure de création du cluster et choisit automatiquement un mode d'autorisation. Les clusters créés avant le 3 avril 2023 utilisent le mode workerRole. Les clusters créés le 3 avril 2023 ou après cette date utilisent le mode managedRole. Important Les versions d'aliyun-acr-credential-helper publiées le 3 avril 2023 ou après cette date fournissent un paramètre qui vous permet de personnaliser le rôle RAM dont dépend le composant. Pour plus d'informations, consultez [Annonce de modification de produit] Annonce sur la modification des autorisations requises par le composant aliyun-acr-credential-helper.
   managedRole	Le composant utilise le rôle AliyunCSManagedAcrRole autorisé dans les Prérequis pour obtenir des autorisations.
   workerRole	Le composant utilise le rôle RAM de nœud de travail du cluster pour obtenir des autorisations. Vous devez accorder des autorisations spécifiques au rôle RAM de nœud de travail. Sélectionner workerRole comme mode de composant Si vous sélectionnez workerRole comme mode d'autorisation du composant, le rôle RAM de nœud de travail du cluster doit disposer des autorisations suivantes. Pour savoir comment accorder des autorisations, consultez Gérer les autorisations de rôle RAM. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Important Sélectionnez ce mode si vous devez tirer des images entre comptes en assumant un rôle.

Étape 2 : Mettre à jour la configuration du composant

Après l'installation du composant sans mot de passe, vous devez configurer le ConfigMap acr-configuration pour ajouter une instance ACR avant de pouvoir tirer des images. Vous pouvez procéder via la console ou kubectl.

Étape 3 : Tirer une image

Après avoir installé et configuré le composant sans mot de passe, spécifiez un ServiceAccount associé au composant lors de la création d'une charge de travail. Cela permet le tirage d'images sans mot de passe.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the passwordless component.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Activer l'utilisation immédiate des ServiceAccounts

Lorsqu'elle est activée, le composant sans mot de passe utilise un Webhook pour surveiller les modifications des ServiceAccounts dans le cluster. Lorsqu'un nouveau ServiceAccount est créé, le composant injecte immédiatement le Secret sans mot de passe. Cela s'avère utile dans les scénarios où un ServiceAccount est utilisé immédiatement après sa création, par exemple lorsqu'un Helm Chart crée simultanément un ServiceAccount et un Deployment. Cette fonctionnalité peut affecter les performances du composant et n'est pas recommandée pour une utilisation générale.

data:
  webhook-configuration: |
    enable: true
    failure-policy: Ignore
    timeout-seconds: 10

Dépanner les échecs de tirage d'images

Une cause possible est une configuration incorrecte du composant sans mot de passe, par exemple :

• Les informations d'instance configurées dans le composant sans mot de passe ne correspondent pas à l'instance ACR.

• L'adresse d'image utilisée pour le tirage ne correspond pas au nom de domaine spécifié dans les informations d'instance du composant.

Suivez les étapes de cette rubrique pour résoudre le problème.

Si le composant est correctement configuré mais que le tirage d'image échoue toujours, cela peut être dû à un conflit entre un champ imagePullSecrets spécifié manuellement dans le YAML de la charge de travail et le composant sans mot de passe. Pour résoudre ce problème, supprimez manuellement le champ imagePullSecrets et recréez le Pod.

Comment utiliser imagePullSecrets ?

Les instances ACR Personal Edition créées le 9 septembre 2024 ou après cette date ne prennent pas en charge le composant sans mot de passe. Pour ces instances, nous vous recommandons de stocker le nom d'utilisateur et le mot de passe dans un Secret et de le référencer dans le champ imagePullSecrets.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Use the Secret created in the previous step.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Replace with the ACR image address.